Android权限模型

Android

Word count: 1.6kReading time: 6 min

 2021/10/08   Share

Android系统架构

Android的总体架构被描述为“运行在Linux上的Java”，但是仅仅指的是Android应用层和框架层。

Android架构分为

Android应用层(允许开发者不需要关注底层代码即可对设备功能进行拓展和提升)
Android框架层(为上层提供API，充当应用层和Dalvik层的“粘合剂”，API包含各种构件(Building Block),如管理UI元素、访问共享数据存储等)
Dalvik虚拟机层(为基层操作系统提供高效的抽象层，基于寄存器)
用户空间原生代码层(为Dalvik提供服务，包含系统服务、网络服务、程序库)
Linux内核

Android架构

安全边界和安全策略执行

安全边界也叫信任边界，用于分隔不同信任级别的特殊区域，如用户空间和内核空间的边界，内核空间能直接对底层进行操作，而用户空间受到CPU的安全边界控制，无法访问所有内存。

权限模型

Android操作系统使用两套独立但是相互配合的权限模型

Android沙箱，在底层，Linux内核使用用户和用户组来实施权限控制，用于对文件系统和其他Android特定资源进行访问控制
以DalvikVM和Android框架层实现第二套权限模型，在用户安装应用时向用户公开，定义应用使用的权限。实际上，第二套权限模型的某些权限直接映射到底层操作系统上的特定用户、用户组和权能(Capability)

Android沙箱

Android继承了Unix的进程隔离机制与最小权限原则，具体而言，进程以隔离的用户环境运行，不能相互干扰，比如发送信号或访问其他进程的内存空间。

Android沙箱的几个概念：

标准的Linux进程隔离
大多数进程拥有唯一的UID
严格限制文件系统权限

Android沿用Linux的UID/GID权限模型，但是使用了AID(Android ID)替代passwd、group文件，AID文件位于system/core/include/private/android_filesystem_config.h

#define AID_ROOT             0  /* traditional unix root user */  
  
#define AID_SYSTEM        1000  /* system server */  
  
#define AID_RADIO         1001  /* telephony subsystem, RIL */  
#define AID_BLUETOOTH     1002  /* bluetooth subsystem */  
#define AID_GRAPHICS      1003  /* graphics devices */  
#define AID_INPUT         1004  /* input devices */  
#define AID_AUDIO         1005  /* audio devices */  
#define AID_CAMERA        1006  /* camera devices */  
#define AID_LOG           1007  /* log devices */  
#define AID_COMPASS       1008  /* compass device */  
#define AID_MOUNT         1009  /* mountd socket */  
#define AID_WIFI          1010  /* wifi subsystem */  
#define AID_ADB           1011  /* android debug bridge (adbd) */  
#define AID_INSTALL       1012  /* group for installing packages */  
#define AID_MEDIA         1013  /* mediaserver process */  
#define AID_DHCP          1014  /* dhcp client */  
#define AID_SDCARD_RW     1015  /* external storage write access */  
#define AID_VPN           1016  /* vpn system */  
#define AID_KEYSTORE      1017  /* keystore subsystem */  
#define AID_USB           1018  /* USB devices */  
#define AID_DRM           1019  /* DRM server */  
#define AID_AVAILABLE     1020  /* available for use */  
#define AID_GPS           1021  /* GPS daemon */  
#define AID_UNUSED1       1022  /* deprecated, DO NOT USE */  
#define AID_MEDIA_RW      1023  /* internal media storage write access */  
#define AID_MTP           1024  /* MTP USB driver access */  
#define AID_NFC           1025  /* nfc subsystem */  
#define AID_DRMRPC        1026  /* group for drm rpc */  
  
#define AID_SHELL         2000  /* adb and debug shell user */  
#define AID_CACHE         2001  /* cache access */  
#define AID_DIAG          2002  /* access to diagnostic resources */  
  
/* The 3000 series are intended for use as supplemental group id's only. 
 * They indicate special Android capabilities that the kernel is aware of. */  
#define AID_NET_BT_ADMIN  3001  /* bluetooth: create any socket */  
#define AID_NET_BT        3002  /* bluetooth: create sco, rfcomm or l2cap sockets */  
#define AID_INET          3003  /* can create AF_INET and AF_INET6 sockets */  
#define AID_NET_RAW       3004  /* can create raw INET sockets */  
#define AID_NET_ADMIN     3005  /* can configure interfaces and routing tables. */  
#define AID_NET_BW_STATS  3006  /* read bandwidth statistics */  
#define AID_NET_BW_ACCT   3007  /* change bandwidth statistics accounting */  
  
#define AID_MISC          9998  /* access to misc storage */  
#define AID_NOBODY        9999  
  
#define AID_APP          10000 /* first app user */