Add dump_systemstate.service

Change-Id: Ib1fbb601e03c21f6e74e5cc53e6e09380fd9e736

Rename crash-service.service as bugreport.service

- Executable name is also changed as bugreport-service.
- Therefore, a change in set_capability is also included.

Change-Id: I407982d19f92f1084911d930e8ba070b47d2287f

Add uwb-manager service.

- Add it to commmon & tv profiles.

Change-Id: Ic424c600012bd80f171ac490ec93daa4ed060c3b

Add obex service to tv profile.

Change-Id: I52840afeecff41d138969244c020871cffc10acf

Add /usr/bin/qemu-arm-binfmt to ASLR exception list

/usr/bin/qemu-arm-binfmt is linked to /usr/bin/qemu-arm on mic-bootstrap.
(http://download.tizen.org/snapshots/tizen/unified/tizen-unified_20210223.1/repos/standard/packages/armv7l/mic-bootstrap-x86-arm-1.0-10.17.armv7l.rpm)

Sometime local mic fails with mic error message. (Ubuntu 18.04 latest, mic 0.28.12)
===========================================================================================
[02/24 16:52:12 KST] #################### generic-security.post ####################
[02/24 16:52:12 KST] Give capabilities to daemons via set_capability from security-config package
[02/24 16:52:20 KST] Run security-test
[02/24 16:52:31 KST] /opt/share/security-config/test/image_test.sh: line 26: /bin/cat: Permission denied
[02/24 16:52:31 KST] /opt/share/security-config/test/image_test.sh: line 86: /bin/cat: Permission denied
[02/24 16:52:31 KST] /tmp/ks-postscript-yPaRp7: line 298: /bin/security-manager-cmd: Permission denied
[02/24 16:52:31 KST] #################### generic-dbus-policychecker.post ####################
[02/24 16:52:31 KST]
[02/24 16:52:31 KST] /tmp/ks-postscript-yPaRp7: Checking D-Bus policy file: /etc/dbus-1/system.d/alarm-service.conf
[02/24 16:52:31 KST] /tmp/ks-postscript-yPaRp7: /usr/bin/dbuspolicy-checker: /bin/sh: bad interpreter: Permission denied
[02/24 16:52:31 KST] /tmp/ks-postscript-yPaRp7: line 309: /bin/wc: Permission denied
[02/24 16:52:31 KST] /tmp/ks-postscript-yPaRp7: line 309: /bin/grep: Permission denied
[02/24 16:52:31 KST]
[02/24 16:52:31 KST] /tmp/ks-postscript-yPaRp7: line 311: [: -gt: unary operator expected
===========================================================================================

sh-3.2# cat /opt/share/security-config/test/log/aslr_not_applied_files
/usr/bin/protoc
/usr/bin/qemu-arm-binfmt
/usr/sbin/glibc_post_upgrade
/usr/sbin/ldconfig

sh-3.2# cat /opt/share/security-config/test/log/aslr_test_tmpfile
/usr/bin/protoc
/usr/bin/qemu-arm
/usr/bin/qemu-arm-binfmt
/usr/sbin/glibc_post_upgrade
/usr/sbin/ldconfig

sh-3.2# cat /opt/share/security-config/test/log/image_test_log
         ASLR not applied list ######

Change-Id: I488ab3a8e24e2ee94b74ac1cb8ed2af46fe98677

Add prebuilt included services(lhd, gpsd) to systemd service list

- Added prebuilt plugin included services - lhd.service and gpsd.service
- to systemd_service list of wearable profile teporarily

Change-Id: Ibae6c3a714d7b49a4d093045638db86f0d3d153f
Signed-off-by: Yunjin Lee <yunjin-.lee@samsung.com>

Add factory-reset & factory-reset-launch services to tv profile.

Change-Id: Ia895615eaa629979431139350fb7121c34e21a8f

Fix a typo in spec file.

Change-Id: I3420291c8bd5e8d430cc1f1a463c77fadf5048e9

Include onlycap list file in profile packages.

- Remove onlycap list file from security-config main rpm.

Change-Id: I5f37e7a21a8d1eada3095d29ed95797a226d7e6e

Add smartreply service to tv profile.

Change-Id: I29d5a0ff40023f818463db53af7469dc3b77a062

Add exception lists for SMACK execute label test.

- Some executables need to be set SMACK execute label.
- Add exeception list file to include those cases.

Change-Id: I24a3abb50b6d5a2c43db276ab1219f64ef2a309a

Include network_fw uid to dialout gid

Change-Id: Ib24dfdbf4a0cb0edab83b8f9df53eb223e56c9e4

Include onlycap list files in all profiles.

Change-Id: Ibb604b782108ace1ae30e82627792d434f291931

Add cap_sys_module capability to wfd-manager.

Change-Id: Ie9b10ac6f1d97b71eb73f0d1ab65a5d5f5b370cd

Add cap_sys_module capability to net-config.

Change-Id: I516cd739a0851f4b0c0bc8bc2a3efc523a9ef618

Give cap_mac_admin to wrt-service

- "eip" option is applied, but restricted to use by only chromium-efl app.

Change-Id: I025a3c34c84179d4986c25216288a088c555c4bf

Support to check wildcard for path_exception.list

- File path can be changed by it's pacakge version.
- Wildcard(*) can be added in path_exception.list.
- Compare each exception list line to distinguish a wildcard pattern.

Change-Id: Ieaea75e7e59f3468251fcd8c0271dd9af5e0deb0

Give cap_kill to sdbd & sdbd-service.

Change-Id: I68ec6f1d95857f797d582eabde9581165e944ce2

Fix /usr/bin/touch path

Change-Id: Iabe01813e8873a5e7b0cf1c3bd709e9cfe1cee0a

Merge "Add FOTA script to apply privilege mapping changes" into tizen

Add emergency-target-holder.service

Change-Id: I8cad5e7059a7831bfd1a72aea7734d71c5dae1ef

Add FOTA script to apply privilege mapping changes

4.0
- native systemsettings.admin -> core systemsettings.admin
- web filesystem.read -> core systemsettings.admin
- web filesystem.write -> core systemsettings.admin
- web setting -> core systemsettings.admin
- web networkbearerselection -> core network.set

5.5
- native systemsettings.admin -> core systemsettings.admin,
                                      internal/buxton/systemsettings
- web filesystem.read -> core filesystem.read
- web filesystem.write -> core filesystem.write
- web setting -> core internal/buxton/systemsettings

6.0
- web networkbearerselection -> core network.set,
                                     netowrk.route

Change-Id: I5f69666cb3774fd2bba2c175e3df327b15d1f3ed
Signed-off-by: Yunjin Lee <yunjin-.lee@samsung.com>

Fix typo in netlabel_config.

Change-Id: I1ea188fd6765520dd99c4b025b0c322420c10a94

Update path check exception list

- Add followings:
    /usr/share/icu/65.1/install-sh
    /usr/share/icu/65.1/mkinstalldirs

Change-Id: I73c3fcaf9bb89d20fb3edfa78f6f19e2132dc5b8
Signed-off-by: Yunjin Lee <yunjin-.lee@samsung.com>

Update path check exception list

- Add followings:
    /usr/bin/strace-log-merge
    /usr/bin/gdb-add-index
    /usr/bin/gcore

Change-Id: I952feb03bf409287091425e1efbe553009048bd2
Signed-off-by: Yunjin Lee <yunjin-.lee@samsung.com>

Add exception list for path check test.

Add below scripts for exception lists.
/usr/share/upgrade/scripts/600.gpsd.patch.sh
/opt/etc/dump.d/module.d/dump_gpsd.sh

Change-Id: I2d02bb5fdcff9fe011687d301bcb8f4074e372ba

Launch all apps when running SMACK rule test.

- Some SMACK rules are dynamically added while launching apps.
- To compare all SMACK rules, launching all apps before running security test.

Change-Id: I562d2bafaab0ea2dffdeaecfc41f85bfb8e04e09

Merge "Modify netlabel to support privilege-smack mapping." into tizen

Change smack label of tlm.service (User -> System)

Change-Id: Ic0f90d5790c98c024aad655058aceb13cfa27edc

Give capabilities to sdbd-service

Change-Id: I2f5c72c66eb53dbad5442dc2c8341b4c98198287

Give capabilities to support update-control.

- cap_sys_admin to /usr/bin/update-manager
- cap_dac_override to /usr/sbin/img-verifier

Change-Id: I97330c8ba642e34bbff97b800bebc1faa95107d9

Add system_fw to disk group.

- To support OS upgrade with removable storage.
- Upgrade trigger script needs to ramdisk-recovery under /dev.

Change-Id: I60eb8465b7bf37d0b92984b70d65cec07c422e43

Add ramdisk-flush service.

- Add cap_sys_admin to /usr/sbin/blockdev

Change-Id: Iab2897f172d8ab93114696a07861ff7496b2f828

Modify netlabel to support privilege-smack mapping.

- 10.0.2.2, 10.0.2.16 and 192.168.129.3 for appdebugging privilege.
- All other IPs for internet privilege.

Change-Id: Ic4723bd35b63ff6aed1852b46bf65f4a7a038b19

Add tizen-theme-manager.service to all profiles.

Change-Id: I52d2776b82207f760555e2bd3a4722dc45b7da7d

Merge "Change Smack label fro crash-service to System::Privileged" into tizen

Add capi-ui-gesture.service to wearable profile

Change-Id: I2d79fd2d36f20f50a8cd67113e0783462b090dc2
Signed-off-by: Sungwook Park <sungwook79.park@samsung.com>

Change Smack label fro crash-service to System::Privileged

The System::Privileged label is needed because on newer kernels (>=
4.20) it's not possible to read/ptrace processes listed in onlycap set.
Crash-service needs the right to do ptrace to correctly generate
reports.

Change-Id: Iad849f0b11eb3eece8d537fd2856daf59ffe757c

Add cap_net_raw to bluetooth-meshd

Change-Id: I7c69b3a6774b77daa0a728c9e41da7f7c6b8c354

Refactor capability test.

- Do not refer capability exception list.
- Read set_capability script then generate allowed lists automatically.

Change-Id: I4dbb2f2c71dce91b0f2f2ba99c59c67dcac74105

Add engine-loader.service

Change-Id: I4904f8ec285da5e6a77e838012a2b9695ec920d8

Merge "add peripheral-bus.service to all targets/emulators" into tizen

Give cap_dac_override to /usr/bin/peripheral-bus

Change-Id: I463917631ed78c085086c2ca00278a82cb2d8000

add peripheral-bus.service to all targets/emulators

Change-Id: Iae2e109c8c7a481c6f40d9d2a5faf3d11ad78da0

Add capabilities to pkg_recovery & unified-backend

- cap_chown, cap_dac_override and cap_fowner are added.

Change-Id: I196e985101b4b24ec59f12b4541dff4be0511645

add system-update-cleanup.service and fix capability exception

Change-Id: I92ca69292c00c14212d8a54e872b91df62b8b9ef

add systemd-boot-check-no-failures.service to all targets/emulators

Change-Id: I0740613a3d3822387855e0f29e6cbef2c8b8c125

add setup-adaptor.service to iot profile (target only)

Change-Id: Iab754ddbbe072642f5c1726fc7a0d65424fce369

exclude *.dll files from ASLR test

Change-Id: I37c78839d2a6d77afb48e347516eb7e19401fe0a

add update-manager.service to iot profile

Change-Id: Ia996423d2fe0d856c24025bc61a0891c01f85341

Add nan-manager.service to IoT profiles

Change-Id: I6535b3224ee76aa78bddae852e2976dd7c3b11cf

add some files to capability exception list

Change-Id: I72f84db83b6e4bd6df408517ed2b61ec709f3635

Security-test: Ignore target that will not be included in the image

- qemu-aarch64

Change-Id: I13855bfafb784459e346e9f1f9bf2f0997cd6aed
Signed-off-by: Yunjin Lee <yunjin-.lee@samsung.com>

Revert "revert unreviewed patch"

This reverts commit 0d0fddfeaf03675527c442f8307aa8773d5fb2da.

Change-Id: I9ecff7e9a08e05f0eb2314b522d748c9c291111d

revert unreviewed patch

Change-Id: I17e1003c49e0fa1fef21a488ff80497f4e3d30f3

add bluetooth-meshd configuration

Merge "Use tizen-build.conf to distinguish a profile" into tizen

Use tizen-build.conf to distinguish a profile

- Check profile info before moving failed lists of systemd units.

Change-Id: Iebc30d76a1ee5d007ef810c3c92c9de62213188c

Add IoT headed / IoT headless profiles.

- IoT headed : Enable askuser, Install IoT service lists
- IoT headless : Disable askuser, Install IoT service lists

TODO : Check IoT specific service lists later.

Change-Id: I759cea1b85a18b7b750a08d5927ce17dcc7d7c81

Add priv_appdebugging group ID.

Change-Id: I972eaec1e8cda66fd9ef9d080bd2102b80fee381

Fix capability to dotnet executables

- dotnet-loader, dotnet-hydra-loader, dotnet

Change-Id: I821251574d70e4c34bb969b39ffd927d85c0bf53

Add nan-manager.service

- network_fw / network_fw / System
- cap_net_admin & cap_net_raw are added.

Change-Id: Ib0d6f74ae772053642493bd6563f54f23887a919

Add capability to dotnet executables
- dotnet-loader, dotnet-hydra-loader, dotnet

Change-Id: Ibfbf2c2d051ad16e3cc4755f788f00ccac3b9c84

Add smartreply.service to Mobile and Common

Change-Id: Ic509286eaccf91eaf9e28ad6671d60f47ab31e9f
Signed-off-by: Sungwook Park <sungwook79.park@samsung.com>

Add user-runtime-dir@.service

- root / root / System::Privileged
- It was a part of systemd-logind.service, now separated.

Change-Id: I7c079af0488b270478107e7b542a4d69d9f9d426

Add modes.service

- system_fw / system_fw / System permissions

Change-Id: Ia44c6ec69eeb54a20ecd90de65050d2e0d9cbf34

Add dumpysys-service.service

- log / log / System permissions

Change-Id: I9c18722a14b9b9c716e1990e08b3929568845a80

Add scmirroring.server.service

- multimedia_fw / multimedia_fw / System permissions.

Change-Id: I971779804aa3e37f614f542ba57c60b926f49369

Add capability for the app-defined-loader

Change-Id: I3586503e0c83cc35ae6321cf1b4bdd63b0e09297
Signed-off-by: hyunho <hhstark.kang@samsung.com>

Add mtp-responder-dummy.service

- network_fw / network_fw / System permission
- systemd socket unit : mtp-responder-dummy.socket

Change-Id: I858147652b2cdaaad28ce664e3e8b343c44cea36

Enable move_systemd_unit for dbus & systemd socket also.

- Failed dbus & systemd socket units will be moved to not permitted path.
- Add tts related dbus services to the exception list.

Change-Id: Ida83ef56aa1906da9661d2b1e06ab838a627eb97

Fix not deleting systemd list files in the post script.

- When image is being created, systemd list files are not overrided with
  those in each profile RPM.
- The detail reason is not found, because no problem if RPMs are installed
  manually in run-time.
- By the way, if not deleting files in the post script, this issue can be addressed.

Change-Id: If451950c13daf67ef1b1fe7f42794a94502ca1e1

Run systemd unit tests for common profile also.

- For common profile, use the same list in mobile profile.
- It will not disable systemd unit, just for checking the status.
- Failed lists will be disabled later.

Change-Id: Ia0c9a1a07092e3dbc23c1a88fa8ba82008389d64

Run aslr test in all profiles.

- Previously, aslr test was executed only for mobile / wearable.
- Now, make it run for all profiles, but execute permission is retrieved
  only in case of mobile / werarable profiles.

Change-Id: I291866495ae5db0fdaf77af47fc87fb770e4669d

Use readelf instead of execstack for DEP test

- execstack can give a execute permission, so it may need to be removed.

Change-Id: Idcc53b495b7797dbbf26004c98847c1676764d30

Add wait-mount@opt-usr.service

- system_fw / system_fw / System permissions
- Added for emulator profiles

Change-Id: I9b93f11dfa76dda49897fbc2f2655f8bae456604

Fix typo in systemd service list.

Change-Id: I7a3ea651198b06072ecb46480159b6cf8af1ba06

Merge "systemd service test" into tizen

systemd service test

- Check systemd service / systemd socket / dbus service
- Disable moving not permitted systemd socket & dbus service for now.
- "Exec*=" should not have prefixes one of "!", "!!" and "+".

Change-Id: Icaf728cf7b2f9b1915e8792e297e8106054beac3

Change UID / GID for stablity_monitor & crash_worker

- Generally, UID / GID for system daemons need to set below 2000.
- For System Domain, range should be set as 200-249.

Change-Id: I1b54302e08d542460c0bc277e5793b21d80a8c5d

Add clat.service

- network_fw / network_fw / System permissions
- cap_net_admin To create and configure interface, modify routing tables
- cap_net_raw To open raw socket
- cap_ipc_lock clatd calls mmap(MAP_LOCKED) with a 1M buffer. MAP_LOCKED first checks capable(CAP_IPC_LOCK)
- cap_setuid To forge UID when passing socket credentials via UNIX domain sockets
- cap_setgid To forge GID when passing socket credentials via UNIX domain sockets

Change-Id: Ie36a2d060215d27374fa0fd6e9a78a442fb9453b

Add dlog_cleanup.service

log / log / System permissions.

Change-Id: I2ed9268e5019d34e8ac9a111ced2a330091687c5

Add user and group for stability-monitor

Change-Id: Iefc6b75d22741e76a039b78d6d862122d7443bd1

Add stability-monitor.service

Change-Id: I409bc3116175317f2bca3c2d38dabb89c2ac2dd1

Merge "Change crash-service as non root." into tizen

Change crash-service as non root.

- crash_worker / crash_worker / System permissions needed.
- This will require following capabilities.

setcap cap_dac_override,cap_kill,cap_sys_ptrace=ei /bin/crash-manager
   cap_dac_override - create directory
   cap_kill - send signals to processes
   cap_sys_ptrace - read /proc/<pid>/ files

setcap cap_dac_override,cap_kill,cap_sys_ptrace=ei /bin/crash-service
   cap_dac_override - create directory
   cap_kill - send signals to processes
   cap_sys_ptrace - read /proc/<pid>/ files

setcap cap_dac_read_search,cap_sys_ptrace=ei /sbin/minicoredumper
   cap_dac_read_search - access to read any binary file
   cap_sys_ptrace - read /proc/<pid>/ files

setcap cap_syslog=ei /bin/dlogutil
    cap_syslog is needed because android logger returns incorrect values without this capability (this is bug in the kernel driver).

setcap cap_dac_override=ei /bin/buxton2ctl
    buxton2ctl needs access to write to /run/buxton2/ directory

setcap cap_dac_override,cap_kill,cap_sys_ptrace+ei /bin/livedumper
   cap_dac_override  - create livedump/ directory to
   cap_sys_ptrace - read /proc/<pid>/ files

setcap cap_dac_read_search,cap_sys_ptrace=ei /usr/libexec/crash-stack
   reads /proc/<pid>/{maps, task, status}, and all binary files

setcap cap_dac_read_search,cap_sys_ptrace=ei /bin/memps
   reads files from /proc/ and /sys/

setcap cap_sys_ptrace=ei /bin/top
   read /proc/<pid>/files

setcap cap_dac_read_search=ei /bin/df
   counting of disk space usage (eg /opt/usr/home/owner/media)

setcap cap_dac_read_search=ei /bin/du

Change-Id: I0073cf19f717855941b317fa1ec6b6af5793d869

Give capabilities to stability-monitor

cap_sys_ptrace        To attach in process and readlink for working
cap_sys_module        To load/unload kernel module
cap_kill              To kill processes

Change-Id: Iac3d91ed4ee647609b029c5ecae4171e8282770f

Add dummyasm.service

- service_fw / service_fw / System permission

Change-Id: Ief511d2a5ccc1696cd62a621883922c4853d4694

Add smartreply.service to wearable target

Change-Id: I3ce472946d1a816379bf5eba3a54487cb474f61c
Signed-off-by: Sungwook Park <sungwook79.park@samsung.com>

Add smartcard-service.service

- network_fw / network_fw / System permissions

Change-Id: I37d44736e416d2971d704ee088c84ff8b4cf7a95

Fix typo.

- Add missing "fi" in "if-then-fi".

Change-Id: I21ca8c61b7c841279b49078a97770e8b0d382bd5

Add capability to dotnet-hydra-launcher

Change-Id: I0ecab62e91bc1259517e791c2bf725386cbf6e3c

Move key-manager script into key-manager package

Change-Id: Ie426090e04b87af3c5cfaf9f58ca0ae37bafecbd
Signed-off-by: Dongsun Lee <ds73.lee@samsung.com>

Add batterymonitor.service to wearable emulator

Change-Id: I627203644b7b2340eeb6ad334608ebee0c6ad7aa

Add crash-service.service.

- root / root / System permissions
- It is too complicated to change as non-root service, due to too many tools are
related with this service.
- Need to consider again to retrieve root permissions later.

Change-Id: I03ace80d04b11e00ad9824aa26a9324afe7cff8e

Merge "Support additional privilege-mount lists." into tizen

Run central-key-manager service in the upgrade script.

Change-Id: Ie6364b62132c321a7db7c9bf9abe834733c2b6c1
Signed-off-by: Dongsun Lee <ds73.lee@samsung.com>

Support additional privilege-mount lists.

- Put addtional lists in each profiles to add privilege-mount list.
- This lists will be used in case lists cannot be added automatically
while creating an image. (ex : dev node)
- Currently only mobile profile have this list. If needed, other profiles
can have it as similar way.

Change-Id: Ia154121ea9a1343e6de67f0c18d1e1ca68fcb84e

Add asp-manager.service

- network_fw / network_fw / System permissions.

Change-Id: I568826caee71c80c4c1ba7dc93ede56482dffa2e

Merge "Add edge-orchestration services to wearable & tv profiles." into tizen