Linux 中的安全模組LSM是一種輕量級的訪問控制框架。使用者在執行系統呼叫時，先通過核心介面依次執行功能性的錯誤檢查，接著進行傳統的DAC檢查，在訪問核心之前通過LSM鉤子函式呼叫LSM，LSM根據具體的訪問控制策略來決定方法的合法性，以此來實現訪問控制。訪問控制的架構圖：

1, DAC (Discretionary Access Control) 自主訪問控制
Linux檔案系統中對檔案的操作屬於DAC，DAC的主要內容包括以下幾個概念： 主體、客體、許可權（rwx）、所有權（ugo)，由客體的屬主對自己的客體進行管理，由主體決定是否將自己客體的訪問許可權授權給其他主體，這種控制方式是自主的。下面的例子看到bigxu使用者對xgx管理的客體沒有寫許可權，當bigxu主體對test.c檔案進行寫操作的時候會被拒絕，xgx使用者可以決定test.c能否被bigxu使用者寫操作這就是DAC.在DAC系統中，檔案的所有者是建立這個檔案的計算機的使用者，此檔案的自主訪問控制權限由它的建立者來決定如何設定和分配;

[email protected]-UC7300-series:/home/xgx/smack/smack_test$ ls -lth test.c 
-rw-r--r-- 1 xgx xgx 356 Jul 16 20:13 test.c
[email protected]-UC7300-series:/home/xgx/smack/smack_test$ whoami
bigxu
[email protected]-UC7300-series:/home/xgx/smack/smack_test$ echo "a" >> test.c 
-bash: test.c: Permission denied
 
[email protected]-UC7300-series:/home/xgx/smack/smack_test$ 

2，LSM鉤子
LSM框架下的訪問策略包括selinux，smack，tomoyo，yama 使用者還可以註冊自己的鉤子函式。每個策略都是通過各自的init函式呼叫register_security函式來註冊，註冊到LSM框架的模組被載入成功後，就可以進行訪問控制。LSM裡面給出了結構體security_operations，裡面給出了很多鉤子函式，實現了相關鉤子函式就可以實現訪問控制了。
3，SMACK
下面具體介紹一下如何enable的smack，enable smack 需要重新1）編譯核心，enable smack選項。

重現編譯好核心之後
在/etc/fstab 中新增
smackfs /smack smackfs smackfsdef=* 0 0
建立/smack 目錄，執行mount -a
2）原始碼編譯安裝smackload
./configure
make && make install
原始碼下載地址https://github.com/smack-team/smack
3）smack rule
subject:
主體，系統中程序
object：
客體，核心客體物件，如檔案、訊息佇列、套接字、客體也可以是linux程序
label：
標籤，Smack安全標籤是C語言的字串，系統預設的安全標籤是“_”。
access：
訪問方式，Smack最初版本的訪問方式有rwxat。其中，在程序之間通訊中，一個程序傳送訊息或者資料包給另一個程序時，這樣的操作屬於寫操作。
access Rule：
（1）安全標籤是“*”的程序發起的任何形式的訪問都被拒絕；
（2）安全標籤是“^”的程序發起的讀或執行的請求都被容許；
（3）任何程序對安全標籤是“_”的客體發起的讀或執行的請求都被容許；
（4）任何程序對安全標籤是“*”的客體發起的任何形式的請求都被容許；
（5）如果主體和客體的安全標籤相同，那麼該主體對該客體發起的任何形式的訪問都被容許。
（6）可以根據自己的安全需求，在主、客體安全標籤都已經存在的前提下，通過“smackload”工具寫入安全策略。
（7）其他策略都被拒絕
4，測試
測試一

root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack a.out 
a.out access="_" execute="aaa"
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack test.txt 
test.txt access="bbb"
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# su xgx
xgx@bigxu-UC7300-series:~/smack/smack_test$ ./a.out 
open failed 
xgx@bigxu-UC7300-series:~/smack/smack_test$ su
Password: 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# echo "aaa bbb rwx" |smack
smackaccess  smackcipso   smackctl     smackload    
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# echo "aaa bbb rwx" |smackload 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# su xgx
xgx@bigxu-UC7300-series:~/smack/smack_test$ ./a.out 
2222222222

測試二 設定檔案的transmutation屬性
當資料夾沒有設定T屬性的時候，主題建立的客體屬性和主題一致。當資料夾設定了T屬性時，檔案中建立的檔案屬性和資料夾一直（需要新增規則）。

root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack a.out 
a.out access="_" execute="eee"
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack testdir/
testdir/ access="dirbbb"
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# echo "eee dirbbb rwxat" | smackload 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# su xgx
xgx@bigxu-UC7300-series:~/smack/smack_test$ ./a.out 
xgx@bigxu-UC7300-series:~/smack/smack_test$ su
Password: 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack testdir/test1.txt 
testdir/test1.txt access="eee" 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack -t testdir/
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack testdir/
testdir/ access="dirbbb" transmute="TRUE"
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# su
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# su xgx
xgx@bigxu-UC7300-series:~/smack/smack_test$ ./a.out 
xgx@bigxu-UC7300-series:~/smack/smack_test$ su
Password: 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack testdir/test1.txt 
testdir/test1.txt access="eee"
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# rm testdir/test1.txt 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# su xgx
xgx@bigxu-UC7300-series:~/smack/smack_test$ ./a.out 
xgx@bigxu-UC7300-series:~/smack/smack_test$ su
Password: 
root@bigxu-UC7300-series:/home/xgx/smack/smack_test# chsmack testdir/test1.txt 
testdir/test1.txt access="dirbbb"
root@bigxu-UC7300-series:/home/xgx/smack/smack_test#