現為工業技術研究院資通所 F 組工程師
近幾年嵌入式設備因各種領域的智慧型裝置崛起而變的熱門,有些領域因成本結構考量,會使用現有的系統搭配上自家的調整與最佳化技術。
有些嵌入式設備出廠後並沒有做後續更新,也因此易受到安全漏洞的影響,就連 OpenWrt 也無例外。雖然社群盡最大力氣去為 OpenWrt 帶來所謂縱深防護,但大多軟體套件只有少數人維護,對於此不足,來自 bootlin 的 Thomas Petazzoni 於 2019 試圖將 SELinux 機制帶入 OpenWrt,而他的成果也被社群所接受。
他的成果仍然位於早期移植階段,也就是 user-space 套件與相關的 kernel 選項,並沒有針對 OpenWrt 調整 Reference Policy。要了解的是 SELinux 的效用不只有單靠 SELinux 機制的運作,而是其所使用的 Policy 是否根據系統行為來進行限制。
現今,因資安事件不斷,資安已是必須考量的問題,在 OpenWrt 上開啟 SELinux 無疑的為我們帶來更多的防護。然而,系統如果缺乏適合的 Policy 運作,將使得保護失效並帶來安全的錯覺。我們的實作填補了此縫隙,為系統帶來 SELinux 的防護,期望提供每個人更加安全的環境 (prevention rather than mitigation)。