Bluefin-DX 41中屏幕自动旋转功能失效的SELinux权限问题分析

问题背景

在升级到Bluefin-DX 41稳定版后，许多用户报告其2合1笔记本电脑的屏幕自动旋转功能停止工作。这个问题主要影响联想Yoga等可转换设备，当设备从笔记本模式切换到平板模式时，屏幕方向无法根据设备物理方向自动调整。

根本原因分析

通过系统日志和SELinux审计记录，可以确定问题的根源在于SELinux安全策略限制了iio-sensor-proxy服务对加速度计传感器的访问权限。具体表现为：

1. iio-sensor-proxy服务尝试写入/sys/devices路径下的传感器节点文件时被SELinux阻止
2. 审计日志显示大量"avc: denied"条目，表明iiosensorproxy_t上下文被拒绝访问sysfs_t类型的文件
3. 虽然文件系统权限设置为-rw-r--r--，但SELinux策略覆盖了这些基础权限

技术细节

iio-sensor-proxy是Linux系统中负责处理工业I/O(Industrial I/O)传感器数据的守护进程，特别是用于加速度计、陀螺仪等设备。在Bluefin-DX 41中，默认的SELinux策略没有正确授权该服务访问必要的系统资源。

关键被拒绝的操作包括：

• 写入加速度计X/Y/Z轴使能文件(in_accel_[xyz]_en)
• 写入时间戳使能文件(in_timestamp_en)
• 创建Unix域数据报套接字
• 写入缓冲区使能文件(buffer/enable)

解决方案

临时解决方案

对于需要立即恢复功能的用户，可以通过创建自定义SELinux策略模块来解决：

1. 收集SELinux拒绝记录：

sudo grep iio-sensor /var/log/audit/audit.log | grep denied | audit2allow -M iio_sensor

2. 编译并安装策略模块：

sudo checkmodule -M -m iio_sensor.te -o iio_sensor.mod
sudo semodule -i iio_sensor.pp

3. 重启相关服务：

sudo systemctl restart iio-sensor-proxy.service

推荐的完整解决方案

更完整的解决方案是创建一个更全面的策略模块，确保覆盖所有必要的权限：

1. 创建iio_sensor.te文件，内容如下：

module iio_sensor 1.0;

require {
    type syslogd_var_run_t;
    type iiosensorproxy_t;
    type device_t;
    type sysfs_t;
    class dir { add_name search write };
    class chr_file { open read };
    class file { create write };
    class unix_dgram_socket create;
}

allow iiosensorproxy_t device_t:chr_file { open read };
allow iiosensorproxy_t self:unix_dgram_socket create;
allow iiosensorproxy_t sysfs_t:dir write;
allow iiosensorproxy_t sysfs_t:dir add_name;
allow iiosensorproxy_t sysfs_t:file { create write };
allow iiosensorproxy_t syslogd_var_run_t:dir search;

2. 编译并安装策略：

checkmodule -M -m iio_sensor.te -o iio_sensor.mod
semodule_package -o iio_sensor.pp -m iio_sensor.mod
sudo semodule -i iio_sensor.pp

3. 验证功能是否恢复：

monitor-sensor

系统影响与注意事项

1. 此修改仅影响iio-sensor-proxy服务的SELinux上下文权限，不会降低整体系统安全性
2. 策略修改后需要重启服务或系统才能生效
3. 在KDE等桌面环境中，还需要确保触摸模式已启用，否则桌面环境可能会忽略方向变化
4. 此问题预计将在未来的Fedora更新中通过官方SELinux策略修正得到解决

结论

Bluefin-DX 41中的屏幕自动旋转问题是由SELinux策略限制导致的，通过创建适当的策略模块可以安全地恢复功能。这反映了Linux安全模型在实际应用中的灵活性，同时也展示了当默认策略需要调整时的解决方案。对于普通用户，等待上游修复可能是最简单的选择；而对于需要立即解决问题的用户，自定义SELinux策略提供了可行的临时解决方案。