Merge tag 'leaks-5.1-rc1' of git://git.kernel.org/pub/scm/linux/kernel/git/tobin...
[sfrench/cifs-2.6.git] / fs / crypto / hooks.c
1 /*
2  * fs/crypto/hooks.c
3  *
4  * Encryption hooks for higher-level filesystem operations.
5  */
6
7 #include <linux/ratelimit.h>
8 #include "fscrypt_private.h"
9
10 /**
11  * fscrypt_file_open - prepare to open a possibly-encrypted regular file
12  * @inode: the inode being opened
13  * @filp: the struct file being set up
14  *
15  * Currently, an encrypted regular file can only be opened if its encryption key
16  * is available; access to the raw encrypted contents is not supported.
17  * Therefore, we first set up the inode's encryption key (if not already done)
18  * and return an error if it's unavailable.
19  *
20  * We also verify that if the parent directory (from the path via which the file
21  * is being opened) is encrypted, then the inode being opened uses the same
22  * encryption policy.  This is needed as part of the enforcement that all files
23  * in an encrypted directory tree use the same encryption policy, as a
24  * protection against certain types of offline attacks.  Note that this check is
25  * needed even when opening an *unencrypted* file, since it's forbidden to have
26  * an unencrypted file in an encrypted directory.
27  *
28  * Return: 0 on success, -ENOKEY if the key is missing, or another -errno code
29  */
30 int fscrypt_file_open(struct inode *inode, struct file *filp)
31 {
32         int err;
33         struct dentry *dir;
34
35         err = fscrypt_require_key(inode);
36         if (err)
37                 return err;
38
39         dir = dget_parent(file_dentry(filp));
40         if (IS_ENCRYPTED(d_inode(dir)) &&
41             !fscrypt_has_permitted_context(d_inode(dir), inode)) {
42                 fscrypt_warn(inode->i_sb,
43                              "inconsistent encryption contexts: %lu/%lu",
44                              d_inode(dir)->i_ino, inode->i_ino);
45                 err = -EPERM;
46         }
47         dput(dir);
48         return err;
49 }
50 EXPORT_SYMBOL_GPL(fscrypt_file_open);
51
52 int __fscrypt_prepare_link(struct inode *inode, struct inode *dir)
53 {
54         int err;
55
56         err = fscrypt_require_key(dir);
57         if (err)
58                 return err;
59
60         if (!fscrypt_has_permitted_context(dir, inode))
61                 return -EPERM;
62
63         return 0;
64 }
65 EXPORT_SYMBOL_GPL(__fscrypt_prepare_link);
66
67 int __fscrypt_prepare_rename(struct inode *old_dir, struct dentry *old_dentry,
68                              struct inode *new_dir, struct dentry *new_dentry,
69                              unsigned int flags)
70 {
71         int err;
72
73         err = fscrypt_require_key(old_dir);
74         if (err)
75                 return err;
76
77         err = fscrypt_require_key(new_dir);
78         if (err)
79                 return err;
80
81         if (old_dir != new_dir) {
82                 if (IS_ENCRYPTED(new_dir) &&
83                     !fscrypt_has_permitted_context(new_dir,
84                                                    d_inode(old_dentry)))
85                         return -EPERM;
86
87                 if ((flags & RENAME_EXCHANGE) &&
88                     IS_ENCRYPTED(old_dir) &&
89                     !fscrypt_has_permitted_context(old_dir,
90                                                    d_inode(new_dentry)))
91                         return -EPERM;
92         }
93         return 0;
94 }
95 EXPORT_SYMBOL_GPL(__fscrypt_prepare_rename);
96
97 int __fscrypt_prepare_lookup(struct inode *dir, struct dentry *dentry)
98 {
99         int err = fscrypt_get_encryption_info(dir);
100
101         if (err)
102                 return err;
103
104         if (fscrypt_has_encryption_key(dir)) {
105                 spin_lock(&dentry->d_lock);
106                 dentry->d_flags |= DCACHE_ENCRYPTED_WITH_KEY;
107                 spin_unlock(&dentry->d_lock);
108         }
109
110         d_set_d_op(dentry, &fscrypt_d_ops);
111         return 0;
112 }
113 EXPORT_SYMBOL_GPL(__fscrypt_prepare_lookup);
114
115 int __fscrypt_prepare_symlink(struct inode *dir, unsigned int len,
116                               unsigned int max_len,
117                               struct fscrypt_str *disk_link)
118 {
119         int err;
120
121         /*
122          * To calculate the size of the encrypted symlink target we need to know
123          * the amount of NUL padding, which is determined by the flags set in
124          * the encryption policy which will be inherited from the directory.
125          * The easiest way to get access to this is to just load the directory's
126          * fscrypt_info, since we'll need it to create the dir_entry anyway.
127          *
128          * Note: in test_dummy_encryption mode, @dir may be unencrypted.
129          */
130         err = fscrypt_get_encryption_info(dir);
131         if (err)
132                 return err;
133         if (!fscrypt_has_encryption_key(dir))
134                 return -ENOKEY;
135
136         /*
137          * Calculate the size of the encrypted symlink and verify it won't
138          * exceed max_len.  Note that for historical reasons, encrypted symlink
139          * targets are prefixed with the ciphertext length, despite this
140          * actually being redundant with i_size.  This decreases by 2 bytes the
141          * longest symlink target we can accept.
142          *
143          * We could recover 1 byte by not counting a null terminator, but
144          * counting it (even though it is meaningless for ciphertext) is simpler
145          * for now since filesystems will assume it is there and subtract it.
146          */
147         if (!fscrypt_fname_encrypted_size(dir, len,
148                                           max_len - sizeof(struct fscrypt_symlink_data),
149                                           &disk_link->len))
150                 return -ENAMETOOLONG;
151         disk_link->len += sizeof(struct fscrypt_symlink_data);
152
153         disk_link->name = NULL;
154         return 0;
155 }
156 EXPORT_SYMBOL_GPL(__fscrypt_prepare_symlink);
157
158 int __fscrypt_encrypt_symlink(struct inode *inode, const char *target,
159                               unsigned int len, struct fscrypt_str *disk_link)
160 {
161         int err;
162         struct qstr iname = QSTR_INIT(target, len);
163         struct fscrypt_symlink_data *sd;
164         unsigned int ciphertext_len;
165
166         err = fscrypt_require_key(inode);
167         if (err)
168                 return err;
169
170         if (disk_link->name) {
171                 /* filesystem-provided buffer */
172                 sd = (struct fscrypt_symlink_data *)disk_link->name;
173         } else {
174                 sd = kmalloc(disk_link->len, GFP_NOFS);
175                 if (!sd)
176                         return -ENOMEM;
177         }
178         ciphertext_len = disk_link->len - sizeof(*sd);
179         sd->len = cpu_to_le16(ciphertext_len);
180
181         err = fname_encrypt(inode, &iname, sd->encrypted_path, ciphertext_len);
182         if (err) {
183                 if (!disk_link->name)
184                         kfree(sd);
185                 return err;
186         }
187         /*
188          * Null-terminating the ciphertext doesn't make sense, but we still
189          * count the null terminator in the length, so we might as well
190          * initialize it just in case the filesystem writes it out.
191          */
192         sd->encrypted_path[ciphertext_len] = '\0';
193
194         if (!disk_link->name)
195                 disk_link->name = (unsigned char *)sd;
196         return 0;
197 }
198 EXPORT_SYMBOL_GPL(__fscrypt_encrypt_symlink);
199
200 /**
201  * fscrypt_get_symlink - get the target of an encrypted symlink
202  * @inode: the symlink inode
203  * @caddr: the on-disk contents of the symlink
204  * @max_size: size of @caddr buffer
205  * @done: if successful, will be set up to free the returned target
206  *
207  * If the symlink's encryption key is available, we decrypt its target.
208  * Otherwise, we encode its target for presentation.
209  *
210  * This may sleep, so the filesystem must have dropped out of RCU mode already.
211  *
212  * Return: the presentable symlink target or an ERR_PTR()
213  */
214 const char *fscrypt_get_symlink(struct inode *inode, const void *caddr,
215                                 unsigned int max_size,
216                                 struct delayed_call *done)
217 {
218         const struct fscrypt_symlink_data *sd;
219         struct fscrypt_str cstr, pstr;
220         int err;
221
222         /* This is for encrypted symlinks only */
223         if (WARN_ON(!IS_ENCRYPTED(inode)))
224                 return ERR_PTR(-EINVAL);
225
226         /*
227          * Try to set up the symlink's encryption key, but we can continue
228          * regardless of whether the key is available or not.
229          */
230         err = fscrypt_get_encryption_info(inode);
231         if (err)
232                 return ERR_PTR(err);
233
234         /*
235          * For historical reasons, encrypted symlink targets are prefixed with
236          * the ciphertext length, even though this is redundant with i_size.
237          */
238
239         if (max_size < sizeof(*sd))
240                 return ERR_PTR(-EUCLEAN);
241         sd = caddr;
242         cstr.name = (unsigned char *)sd->encrypted_path;
243         cstr.len = le16_to_cpu(sd->len);
244
245         if (cstr.len == 0)
246                 return ERR_PTR(-EUCLEAN);
247
248         if (cstr.len + sizeof(*sd) - 1 > max_size)
249                 return ERR_PTR(-EUCLEAN);
250
251         err = fscrypt_fname_alloc_buffer(inode, cstr.len, &pstr);
252         if (err)
253                 return ERR_PTR(err);
254
255         err = fscrypt_fname_disk_to_usr(inode, 0, 0, &cstr, &pstr);
256         if (err)
257                 goto err_kfree;
258
259         err = -EUCLEAN;
260         if (pstr.name[0] == '\0')
261                 goto err_kfree;
262
263         pstr.name[pstr.len] = '\0';
264         set_delayed_call(done, kfree_link, pstr.name);
265         return pstr.name;
266
267 err_kfree:
268         kfree(pstr.name);
269         return ERR_PTR(err);
270 }
271 EXPORT_SYMBOL_GPL(fscrypt_get_symlink);