Merge tag 'dm-4.4-changes' of git://git.kernel.org/pub/scm/linux/kernel/git/device...
[firefly-linux-kernel-4.4.55.git] / security / smack / smack.h
1 /*
2  * Copyright (C) 2007 Casey Schaufler <casey@schaufler-ca.com>
3  *
4  *      This program is free software; you can redistribute it and/or modify
5  *      it under the terms of the GNU General Public License as published by
6  *      the Free Software Foundation, version 2.
7  *
8  * Author:
9  *      Casey Schaufler <casey@schaufler-ca.com>
10  *
11  */
12
13 #ifndef _SECURITY_SMACK_H
14 #define _SECURITY_SMACK_H
15
16 #include <linux/capability.h>
17 #include <linux/spinlock.h>
18 #include <linux/lsm_hooks.h>
19 #include <linux/in.h>
20 #if IS_ENABLED(CONFIG_IPV6)
21 #include <linux/in6.h>
22 #endif /* CONFIG_IPV6 */
23 #include <net/netlabel.h>
24 #include <linux/list.h>
25 #include <linux/rculist.h>
26 #include <linux/lsm_audit.h>
27
28 /*
29  * Use IPv6 port labeling if IPv6 is enabled and secmarks
30  * are not being used.
31  */
32 #if IS_ENABLED(CONFIG_IPV6) && !defined(CONFIG_SECURITY_SMACK_NETFILTER)
33 #define SMACK_IPV6_PORT_LABELING 1
34 #endif
35
36 #if IS_ENABLED(CONFIG_IPV6) && defined(CONFIG_SECURITY_SMACK_NETFILTER)
37 #define SMACK_IPV6_SECMARK_LABELING 1
38 #endif
39
40 /*
41  * Smack labels were limited to 23 characters for a long time.
42  */
43 #define SMK_LABELLEN    24
44 #define SMK_LONGLABEL   256
45
46 /*
47  * This is the repository for labels seen so that it is
48  * not necessary to keep allocating tiny chuncks of memory
49  * and so that they can be shared.
50  *
51  * Labels are never modified in place. Anytime a label
52  * is imported (e.g. xattrset on a file) the list is checked
53  * for it and it is added if it doesn't exist. The address
54  * is passed out in either case. Entries are added, but
55  * never deleted.
56  *
57  * Since labels are hanging around anyway it doesn't
58  * hurt to maintain a secid for those awkward situations
59  * where kernel components that ought to use LSM independent
60  * interfaces don't. The secid should go away when all of
61  * these components have been repaired.
62  *
63  * The cipso value associated with the label gets stored here, too.
64  *
65  * Keep the access rules for this subject label here so that
66  * the entire set of rules does not need to be examined every
67  * time.
68  */
69 struct smack_known {
70         struct list_head                list;
71         struct hlist_node               smk_hashed;
72         char                            *smk_known;
73         u32                             smk_secid;
74         struct netlbl_lsm_secattr       smk_netlabel;   /* on wire labels */
75         struct list_head                smk_rules;      /* access rules */
76         struct mutex                    smk_rules_lock; /* lock for rules */
77 };
78
79 /*
80  * Maximum number of bytes for the levels in a CIPSO IP option.
81  * Why 23? CIPSO is constrained to 30, so a 32 byte buffer is
82  * bigger than can be used, and 24 is the next lower multiple
83  * of 8, and there are too many issues if there isn't space set
84  * aside for the terminating null byte.
85  */
86 #define SMK_CIPSOLEN    24
87
88 struct superblock_smack {
89         struct smack_known      *smk_root;
90         struct smack_known      *smk_floor;
91         struct smack_known      *smk_hat;
92         struct smack_known      *smk_default;
93         int                     smk_initialized;
94 };
95
96 struct socket_smack {
97         struct smack_known      *smk_out;       /* outbound label */
98         struct smack_known      *smk_in;        /* inbound label */
99         struct smack_known      *smk_packet;    /* TCP peer label */
100 };
101
102 /*
103  * Inode smack data
104  */
105 struct inode_smack {
106         struct smack_known      *smk_inode;     /* label of the fso */
107         struct smack_known      *smk_task;      /* label of the task */
108         struct smack_known      *smk_mmap;      /* label of the mmap domain */
109         struct mutex            smk_lock;       /* initialization lock */
110         int                     smk_flags;      /* smack inode flags */
111 };
112
113 struct task_smack {
114         struct smack_known      *smk_task;      /* label for access control */
115         struct smack_known      *smk_forked;    /* label when forked */
116         struct list_head        smk_rules;      /* per task access rules */
117         struct mutex            smk_rules_lock; /* lock for the rules */
118 };
119
120 #define SMK_INODE_INSTANT       0x01    /* inode is instantiated */
121 #define SMK_INODE_TRANSMUTE     0x02    /* directory is transmuting */
122 #define SMK_INODE_CHANGED       0x04    /* smack was transmuted */
123 #define SMK_INODE_IMPURE        0x08    /* involved in an impure transaction */
124
125 /*
126  * A label access rule.
127  */
128 struct smack_rule {
129         struct list_head        list;
130         struct smack_known      *smk_subject;
131         struct smack_known      *smk_object;
132         int                     smk_access;
133 };
134
135 /*
136  * An entry in the table identifying IPv4 hosts.
137  */
138 struct smk_net4addr {
139         struct list_head        list;
140         struct in_addr          smk_host;       /* network address */
141         struct in_addr          smk_mask;       /* network mask */
142         int                     smk_masks;      /* mask size */
143         struct smack_known      *smk_label;     /* label */
144 };
145
146 #if IS_ENABLED(CONFIG_IPV6)
147 /*
148  * An entry in the table identifying IPv6 hosts.
149  */
150 struct smk_net6addr {
151         struct list_head        list;
152         struct in6_addr         smk_host;       /* network address */
153         struct in6_addr         smk_mask;       /* network mask */
154         int                     smk_masks;      /* mask size */
155         struct smack_known      *smk_label;     /* label */
156 };
157 #endif /* CONFIG_IPV6 */
158
159 #ifdef SMACK_IPV6_PORT_LABELING
160 /*
161  * An entry in the table identifying ports.
162  */
163 struct smk_port_label {
164         struct list_head        list;
165         struct sock             *smk_sock;      /* socket initialized on */
166         unsigned short          smk_port;       /* the port number */
167         struct smack_known      *smk_in;        /* inbound label */
168         struct smack_known      *smk_out;       /* outgoing label */
169 };
170 #endif /* SMACK_IPV6_PORT_LABELING */
171
172 struct smack_onlycap {
173         struct list_head        list;
174         struct smack_known      *smk_label;
175 };
176
177 /* Super block security struct flags for mount options */
178 #define FSDEFAULT_MNT   0x01
179 #define FSFLOOR_MNT     0x02
180 #define FSHAT_MNT       0x04
181 #define FSROOT_MNT      0x08
182 #define FSTRANS_MNT     0x10
183
184 #define NUM_SMK_MNT_OPTS        5
185
186 enum {
187         Opt_error = -1,
188         Opt_fsdefault = 1,
189         Opt_fsfloor = 2,
190         Opt_fshat = 3,
191         Opt_fsroot = 4,
192         Opt_fstransmute = 5,
193 };
194
195 /*
196  * Mount options
197  */
198 #define SMK_FSDEFAULT   "smackfsdef="
199 #define SMK_FSFLOOR     "smackfsfloor="
200 #define SMK_FSHAT       "smackfshat="
201 #define SMK_FSROOT      "smackfsroot="
202 #define SMK_FSTRANS     "smackfstransmute="
203
204 #define SMACK_DELETE_OPTION     "-DELETE"
205 #define SMACK_CIPSO_OPTION      "-CIPSO"
206
207 /*
208  * How communications on this socket are treated.
209  * Usually it's determined by the underlying netlabel code
210  * but there are certain cases, including single label hosts
211  * and potentially single label interfaces for which the
212  * treatment can not be known in advance.
213  *
214  * The possibility of additional labeling schemes being
215  * introduced in the future exists as well.
216  */
217 #define SMACK_UNLABELED_SOCKET  0
218 #define SMACK_CIPSO_SOCKET      1
219
220 /*
221  * CIPSO defaults.
222  */
223 #define SMACK_CIPSO_DOI_DEFAULT         3       /* Historical */
224 #define SMACK_CIPSO_DOI_INVALID         -1      /* Not a DOI */
225 #define SMACK_CIPSO_DIRECT_DEFAULT      250     /* Arbitrary */
226 #define SMACK_CIPSO_MAPPED_DEFAULT      251     /* Also arbitrary */
227 #define SMACK_CIPSO_MAXLEVEL            255     /* CIPSO 2.2 standard */
228 /*
229  * CIPSO 2.2 standard is 239, but Smack wants to use the
230  * categories in a structured way that limits the value to
231  * the bits in 23 bytes, hence the unusual number.
232  */
233 #define SMACK_CIPSO_MAXCATNUM           184     /* 23 * 8 */
234
235 /*
236  * Ptrace rules
237  */
238 #define SMACK_PTRACE_DEFAULT    0
239 #define SMACK_PTRACE_EXACT      1
240 #define SMACK_PTRACE_DRACONIAN  2
241 #define SMACK_PTRACE_MAX        SMACK_PTRACE_DRACONIAN
242
243 /*
244  * Flags for untraditional access modes.
245  * It shouldn't be necessary to avoid conflicts with definitions
246  * in fs.h, but do so anyway.
247  */
248 #define MAY_TRANSMUTE   0x00001000      /* Controls directory labeling */
249 #define MAY_LOCK        0x00002000      /* Locks should be writes, but ... */
250 #define MAY_BRINGUP     0x00004000      /* Report use of this rule */
251
252 #define SMACK_BRINGUP_ALLOW             1       /* Allow bringup mode */
253 #define SMACK_UNCONFINED_SUBJECT        2       /* Allow unconfined label */
254 #define SMACK_UNCONFINED_OBJECT         3       /* Allow unconfined label */
255
256 /*
257  * Just to make the common cases easier to deal with
258  */
259 #define MAY_ANYREAD     (MAY_READ | MAY_EXEC)
260 #define MAY_READWRITE   (MAY_READ | MAY_WRITE)
261 #define MAY_NOT         0
262
263 /*
264  * Number of access types used by Smack (rwxatlb)
265  */
266 #define SMK_NUM_ACCESS_TYPE 7
267
268 /* SMACK data */
269 struct smack_audit_data {
270         const char *function;
271         char *subject;
272         char *object;
273         char *request;
274         int result;
275 };
276
277 /*
278  * Smack audit data; is empty if CONFIG_AUDIT not set
279  * to save some stack
280  */
281 struct smk_audit_info {
282 #ifdef CONFIG_AUDIT
283         struct common_audit_data a;
284         struct smack_audit_data sad;
285 #endif
286 };
287
288 /*
289  * These functions are in smack_access.c
290  */
291 int smk_access_entry(char *, char *, struct list_head *);
292 int smk_access(struct smack_known *, struct smack_known *,
293                int, struct smk_audit_info *);
294 int smk_tskacc(struct task_smack *, struct smack_known *,
295                u32, struct smk_audit_info *);
296 int smk_curacc(struct smack_known *, u32, struct smk_audit_info *);
297 struct smack_known *smack_from_secid(const u32);
298 char *smk_parse_smack(const char *string, int len);
299 int smk_netlbl_mls(int, char *, struct netlbl_lsm_secattr *, int);
300 struct smack_known *smk_import_entry(const char *, int);
301 void smk_insert_entry(struct smack_known *skp);
302 struct smack_known *smk_find_entry(const char *);
303 int smack_privileged(int cap);
304
305 /*
306  * Shared data.
307  */
308 extern int smack_enabled;
309 extern int smack_cipso_direct;
310 extern int smack_cipso_mapped;
311 extern struct smack_known *smack_net_ambient;
312 extern struct smack_known *smack_syslog_label;
313 #ifdef CONFIG_SECURITY_SMACK_BRINGUP
314 extern struct smack_known *smack_unconfined;
315 #endif
316 extern int smack_ptrace_rule;
317
318 extern struct smack_known smack_known_floor;
319 extern struct smack_known smack_known_hat;
320 extern struct smack_known smack_known_huh;
321 extern struct smack_known smack_known_invalid;
322 extern struct smack_known smack_known_star;
323 extern struct smack_known smack_known_web;
324
325 extern struct mutex     smack_known_lock;
326 extern struct list_head smack_known_list;
327 extern struct list_head smk_net4addr_list;
328 #if IS_ENABLED(CONFIG_IPV6)
329 extern struct list_head smk_net6addr_list;
330 #endif /* CONFIG_IPV6 */
331
332 extern struct mutex     smack_onlycap_lock;
333 extern struct list_head smack_onlycap_list;
334
335 #define SMACK_HASH_SLOTS 16
336 extern struct hlist_head smack_known_hash[SMACK_HASH_SLOTS];
337
338 /*
339  * Is the directory transmuting?
340  */
341 static inline int smk_inode_transmutable(const struct inode *isp)
342 {
343         struct inode_smack *sip = isp->i_security;
344         return (sip->smk_flags & SMK_INODE_TRANSMUTE) != 0;
345 }
346
347 /*
348  * Present a pointer to the smack label entry in an inode blob.
349  */
350 static inline struct smack_known *smk_of_inode(const struct inode *isp)
351 {
352         struct inode_smack *sip = isp->i_security;
353         return sip->smk_inode;
354 }
355
356 /*
357  * Present a pointer to the smack label entry in an task blob.
358  */
359 static inline struct smack_known *smk_of_task(const struct task_smack *tsp)
360 {
361         return tsp->smk_task;
362 }
363
364 static inline struct smack_known *smk_of_task_struct(const struct task_struct *t)
365 {
366         struct smack_known *skp;
367
368         rcu_read_lock();
369         skp = smk_of_task(__task_cred(t)->security);
370         rcu_read_unlock();
371         return skp;
372 }
373
374 /*
375  * Present a pointer to the forked smack label entry in an task blob.
376  */
377 static inline struct smack_known *smk_of_forked(const struct task_smack *tsp)
378 {
379         return tsp->smk_forked;
380 }
381
382 /*
383  * Present a pointer to the smack label in the current task blob.
384  */
385 static inline struct smack_known *smk_of_current(void)
386 {
387         return smk_of_task(current_security());
388 }
389
390 /*
391  * logging functions
392  */
393 #define SMACK_AUDIT_DENIED 0x1
394 #define SMACK_AUDIT_ACCEPT 0x2
395 extern int log_policy;
396
397 void smack_log(char *subject_label, char *object_label,
398                 int request,
399                 int result, struct smk_audit_info *auditdata);
400
401 #ifdef CONFIG_AUDIT
402
403 /*
404  * some inline functions to set up audit data
405  * they do nothing if CONFIG_AUDIT is not set
406  *
407  */
408 static inline void smk_ad_init(struct smk_audit_info *a, const char *func,
409                                char type)
410 {
411         memset(&a->sad, 0, sizeof(a->sad));
412         a->a.type = type;
413         a->a.smack_audit_data = &a->sad;
414         a->a.smack_audit_data->function = func;
415 }
416
417 static inline void smk_ad_init_net(struct smk_audit_info *a, const char *func,
418                                    char type, struct lsm_network_audit *net)
419 {
420         smk_ad_init(a, func, type);
421         memset(net, 0, sizeof(*net));
422         a->a.u.net = net;
423 }
424
425 static inline void smk_ad_setfield_u_tsk(struct smk_audit_info *a,
426                                          struct task_struct *t)
427 {
428         a->a.u.tsk = t;
429 }
430 static inline void smk_ad_setfield_u_fs_path_dentry(struct smk_audit_info *a,
431                                                     struct dentry *d)
432 {
433         a->a.u.dentry = d;
434 }
435 static inline void smk_ad_setfield_u_fs_inode(struct smk_audit_info *a,
436                                               struct inode *i)
437 {
438         a->a.u.inode = i;
439 }
440 static inline void smk_ad_setfield_u_fs_path(struct smk_audit_info *a,
441                                              struct path p)
442 {
443         a->a.u.path = p;
444 }
445 static inline void smk_ad_setfield_u_net_sk(struct smk_audit_info *a,
446                                             struct sock *sk)
447 {
448         a->a.u.net->sk = sk;
449 }
450
451 #else /* no AUDIT */
452
453 static inline void smk_ad_init(struct smk_audit_info *a, const char *func,
454                                char type)
455 {
456 }
457 static inline void smk_ad_setfield_u_tsk(struct smk_audit_info *a,
458                                          struct task_struct *t)
459 {
460 }
461 static inline void smk_ad_setfield_u_fs_path_dentry(struct smk_audit_info *a,
462                                                     struct dentry *d)
463 {
464 }
465 static inline void smk_ad_setfield_u_fs_path_mnt(struct smk_audit_info *a,
466                                                  struct vfsmount *m)
467 {
468 }
469 static inline void smk_ad_setfield_u_fs_inode(struct smk_audit_info *a,
470                                               struct inode *i)
471 {
472 }
473 static inline void smk_ad_setfield_u_fs_path(struct smk_audit_info *a,
474                                              struct path p)
475 {
476 }
477 static inline void smk_ad_setfield_u_net_sk(struct smk_audit_info *a,
478                                             struct sock *sk)
479 {
480 }
481 #endif
482
483 #endif  /* _SECURITY_SMACK_H */