操作系统安全chap 8(1)

Beijing Institute of Technology. Zhuhai
ZHBIT
病毒和蠕虫 逻辑炸弹 特洛伊木马 后门 隐蔽通道
Beijing Institute of Technology. Zhuhai
ZHBIT
操作系统安全和信息系统安全
实际上从来没有一个操作系统的运行是完美无缺的，也没 有一个厂商敢保证自己的操作系统不会出错。 在信息系统中与安全相关的每一个漏洞都会使整个系统的 安全控制机制变得毫无价值。这个漏洞如果被入侵者发现， 后果将是十分严重的。 从计算机信息系统的角度分析，可以看出在信息系统安全 所涉及的众多内容中，操作系统、网络系统与数据库管理系 统的安全问题是核心。 操作系统的安全性在计算机信息系统的整体安全性中具有 至关重要的作用。
当然两种或多种分离形式的结合也是可 能的。所列出的分离策略基本上是按其实 现复杂度递增及所提供的安全性递减的次 序列出的。然而前两种方法是非常直接且 将导致资源利用率严重下降的方法。
硬件安全机制
绝大多数实现操作系统安全的硬件 机制也是传统操作系统所要求的。优秀 的硬件保护性能是高效、可靠的操作系 统的基础。计算机硬件安全的目标是保 证其自身的可靠性并为系统提供基本安 全机制。其中基本安全机制包括存储保 护、运行保护、I/O保护等。

安全内核是实现参照监视器概念的一种技术，其 理论依据是: 在一个大型操作系统中，只有其中的一 小部分软件用于安全目的。所以在重新生成操作系统 过程中，可用其中安全相关的软件来构成操作系统的 一个可信内核，称为安全内核。安全内核必须给以适 当的保护，不能篡改。同时，绝不能有任何绕过安全 内核存取控制检查的存取行为存在。此外安全内核必 须尽可能地小，便于进行正确性验证。
Beijing Institute of Technology. Zhuhai
ZHBIT
1973年，mpson提出了隐蔽通道的概念，他发现两 个被限制通信的实体之间如果共享某种资源，那么它们可以 利用隐蔽通道传递信息。 同年，D.E.Bell和Padula提出了第一个可证明的安全系 统的数学模型，即BLP模型。 可验证安全操作系统（provably secure operating system， PSOS）提供了一个层次结构化的基于权能的安全操作系统设 计，1975年前后开始开发。 安全内核操作系统（kernelized secure operating system,KSOS）是美国国防部研究计划局1977年发起的一个 安全操作系统研制项目，由Ford太空通讯公司承担。
Beijing Institute of Technology. Zhuhai
ZHBIT
在1992到1993年之间，美国国家安全局（NSA）和安全计算公司 （SCC）的研究人员在TMach项目和LOCK项目的基础上，共同设计 和实现了分布式可信Mach系统（distributed trusted Mach， DTMach）。 与传统的基于TCSEC标准的开发方法不同，1997年美国国家安全 局和安全计算公司完成的DTOS安全操作系统采用了基于安全威胁的 开发方法。 SELinux以Flask安全体系结构为指导，通过安全判定与安全实施的 分离实现了安全策略的独立性，借助访问向量缓存（AVC）实现了对 动态策略的支持。
Beijing Institute of Technology. Zhuhai
ZHBIT
安全操作系统的研究发展
Multics是开发安全操作系统最早期的尝试。 Adept-50是一个分时安全操作系统，可以实际投入使用， 1969年C.Weissman发表了有关Adept-50安全控制的研究成 果。 1969年mpson通过形式化表示方法运用主体 （subject）、客体（object）和访问矩阵（access matrix） 的思想第一次对访问控制问题进行了抽象。 1972年，J.P.Anderson在一份研究报告中提出了参照监视 器（reference monitor）、访问验证机制（reference validation mechanism）、安全内核（security kernel）和安 全建模（modeling）等重要思想。
Beijing Institute of Technology. Zhuhai
ZHBIT
极可靠操作系统（extremely reliable operating system,EROS） 是一种基于权能（capability，又称能力）的高性能微内核实时安 全操作系统，是GNOSIS（后命名为KeyKOS）体系结构的第三代。 其他还有一些安全操作系统开发项目，如Honeywell的STOP、 Gemini的GEMSOS、DEC的VMM(virtual machine monitor)，以及 HP和Data General等公司开发的安全操作系统。 在我国，也进行了许多有关安全操作系统的开发研制工作，并 取得了一些研究成果。 1999年10月19日，我国国家技术监督局发布了国家标准 GB17859－1999《计算机信息系统安全保护等级划分准则》，为 计算机信息系统安全保护能力划分了等级。该标准已于2001年起 强存储保护是一 个最基本的要求，这主要是指保护用户在 存储器中的数据。保护单元为存储器中的 最小数据范围，可为字、字块、页面或段。 保护单元越小，则存储保护精度越高。
ZHBIT
2. 内存管理的访问控制

一般的计算机系统结构
一般的计算机系统结构
操作系统的安全内核
操作系统安全性
操作系统是连接硬件与其他应用软件之间的桥梁， 它提供的安全服务有内存保护、文件保护、普通实体保 护（对实体的一般存取控制）、访问鉴别（用户身份鉴 别）等。 一个操作系统的安全性可以从如下几方面加以考虑。 (1) 物理上分离。要求进程使用不同的物理实体。例如将 不同的打印机设置成具有不同的安全级别。 (2) 时间上分离。具有不同安全要求的进程在不同的时间 运行。 (3) 逻辑上分离。操作系统通过限制程序的存取，使得程 序不能存取其允许范围外的实体，从而使用户感觉自己 的操作是在没有其他进程的情况下独立进行。 (4) 密码上分离。进程以一种其他进程不可知的方式隐藏 数据及计算。
Beijing Institute of Technology. Zhuhai
ZHBIT
基本定义及术语
以下列举一些重要的有关操作系统安全的定义和术语。 ● 可信计算基（trusted computing base，TCB）: 计算机 系统内保护装置的总体，包括硬件、固件、软件和负责执行 安全策略的组合体。它建立了一个基本的保护环境并提供一 个可信计算系统所要求的附加用户服务。 ● 安全模型（security model）: 用形式化的方法来描述如 何实现系统的机密性、完整性和可用性等安全要求。 ● 安全内核（security kernel）: 通过控制对系统资源的访 问来实现基本安全规程的计算机系统的中心部分。 ● 敏感标记（sensitivity label）: 用以表示客体安全级别并 描述客体数据敏感性的一组信息，在可信计算基中把敏感标 记作为强制访问控制决策的依据。
Beijing Institute of Technology. Zhuhai
ZHBIT
UCLA Secure UNIX也是美国国防部研究计划局于1978年 前后发起的一个安全操作系统研制项目，由加利福尼亚大 学承担。UCLA Secure UNIX的系统设计方法及目标几乎与 KSOS相同。 1983年，美国国防部出版了历史上第一个计算机安全评 价标准——《可信计算机系统评价准则（TCSEC）》， 1985年，美国国防部对TCSEC进行了修订。 LINVS Ⅳ是1984年开发的基于UNIX的一个实验安全操作 系统，系统的安全性可达到美国国防部橘皮书的B2级。 Secure Xenix是IBM公司于1986年在SCO Xenix的基础上 开发的一个安全操作系统，它最初是在IBM PC/AT平台上 实现的。
Beijing Institute of Technology. Zhuhai
ZHBIT
一般来说，操作系统安全与安全操作系统的含义 不尽相同。从各种不同的角度分析操作系统的安全 性，既可以对主流操作系统进行安全性增强，也可 以按照特定目标设计实现专门的或通用的安全操作 系统。安全操作系统通常与相应的安全等级相对应， 例如，根据TCSEC标准，通常称B1级以上的操作系 统为安全操作系统。
Beijing Institute of Technology. Zhuhai
ZHBIT
1987年，美国Trusted Information Systems公司以Mach操作系 统为基础开发了B3级的Tmach（Trusted Mach）操作系统。 1989年，加拿大多伦多大学开发了与UNIX兼容的安全TUNIS操 作系统。 ASOS（army secure operating system）是针对美军的战术需要 而设计的军用安全操作系统，由TRW公司1990年开发完成。 OSF/1是开放软件基金会于1990年推出的一个安全操作系统，被 美国国家计算机安全中心（NCSC）认可为符合TCSEC的B1级。 UNIX SVR4.1ES是UI（UNIX国际组织）于1991年推出的一个安 全操作系统，被美国国家计算机安全中心（NCSC）认可为符合 TCSEC的B2级。
Beijing Institute of Technology. Zhuhai
安全内核
安全内核是指系统中与安全性实 现有关的部分，包括引用验证机制、 访问控制机制、授权机制和授权管理 机制等部分。 安全内核方法是一种 最常用的建立安全操作系统的方法， 可避免通常设计中固有的安全问题。 安全内核方法以指导设计和开发的一 系列严格的原则为基础，能够极大地 提高用户对系统安全控制的信任度。
Beijing Institute of Technology. Zhuhai
ZHBIT
2001年前后，我国安全操作系统研究人员相继推出了一批基于 Linux的安全操作系统开发成果。 2000年11月18日，公安部计算机信息系统安全产品质量监督检 验中心，在网站上发布公告: “国内首家 安全操作系统通过检测”。 安胜安全操作系统v1.0于2001年2月20日首家通过了中国国家信 息安全产品测评认证中心的测评认证，获得国家信息安全产品型号 认证。 2001年3月8日，我国国家技术监督局发布了国家标准 GB/T18336－2001《信息技术安全技术 信息技术安全性评估准 则》，它基本上等同于国际通用安全评价准则（CC）。