第二章 操作系统安全机制

5
计算机科学与工程系
内存储器是操作系统中的共享资源， 内存被用户程序与系统程序所共享
在多道环境下更是被多个进程所共享。
6
计算机科学与工程系
内存保护的目的
防止对内存的未授权访问； 防止对内存的错误读写，如向只读单元写； 防止用户的不当操作破坏内存数据区、程序区或
系统区；
多道程序环境下，防止不同用户的内存区域互不
计算机科学与工程系
口令鉴别机制 口令鉴别机制
• （1）静态口令鉴别机制 • 传统的静态口令鉴别机制是利用用户名和口令核对 的方法对系统进行维护。用户登录系统时，系统通 过对比用户输入的口令和用户ID，来判断用户身份 的合法性。
计算机科学与工程系
口令鉴别机制
• （2）动态口令鉴别机制
• 基本原理是在客户端登录过程中，基于用户的秘密通行短语加入不 确定因素，对通行短语和不确定因素进行变换，所得结果作为认证 数据（即动态口令），提交给认证服务器，认证服务器接收到用户 的认证数据后，以事先规定的算法去验算认证数据，从而实现对用 户身份的认证。由于客户端每次生成认证数据都采用不同的不确定 因素值，保证了客户端每次提交的认证数据都不相同，因此动态口 令机制有效的提高了身份认证的安全性。 • 根据口令生成时不确定因素的选择方式，动态口令机制有时间同步 机制、挑战/应答机制、事件同步机制等。
13
计算机科学与工程系
2.3 标记保护法
多对基址与边界寄存器技术的问题：只能保护 数据区不被其他用户程序访问，不能控制自身 程序对同一个数据区内单元有选择的读或写。
例如，一个程序中若没有数组越界溢出检 查，当向该数组区写入时就有可能越界到其他 数据单元，甚至越界到程序代码区（这就是缓 冲区溢出的一种情况），而代码区是严格禁止 写的。
14
计算机科学与工程系
解决方法：
按其内容要求进行保护，例如有的单元只 读，读/写、或仅执行（代码单元）等不同要 求，可以在每个内存字单元中专用几个比特 来标记该字单元的属性。
除了标记读、写、执行等属性外，还可以 标记该单元的数据类型，如数据、字符、地 址、指针或未定义等。
15
计算机科学与工程系
加标记的内存
计算机科学与工程系
鉴别协议的目的
1、在诚实的情况下，声称者A能向验证者B证明他确实是A； 在声称者A向验证者B声称他的身份后，验证者B不能获 得任何有用的信息，B也不能模仿A向其他第三方证明他 就是A。 3、任何不同于A的实体C以A的身份，让B相信C是A的概率 可忽略不计
Bob? or Eve?
Alice? or Eve?
计算机科学与工程系
3.1.1 存储保护 存储保护主要指保护用户在 存储器中的数据， 对于在内存中一次只能运行一个进程的操作系统， 存储保护机制应能防止用户程序对操作系统的影 响。而允许多个进程同时执行的多道操作系统还 需要进一步要求存储保护机制对各个进程的存储 空间进行相互隔离。
计算机科学与工程系
影响；
将用户与内存隔离，不让用户知道数据或程序在
内存中的具体位置；
7
计算机科学与工程系
常用的内存保护技术
单用户内存保护技术 多道程序的保护技术 分段与分页保护技术 和内存标记保护法
8
计算机科学与工程系
2.1 单用户内存保护问题
可以利用地址界限寄存器在内存中规 定一条区域边界（一个内存地址），用户 程序运行时不能跨越这个地址。利用该寄 存器也可以实现程序重定位功能，可以指 定用户程序的装入地址。
11
计算机科学与工程系
如果使用多对基址和边界寄存器，还
可以把用户的可读写数据区与只读数 据区和程序区互相隔离，这种方法可 以防止程序自身的访问错误。例如， 可以防止向程序区或只读数据区写访 问。
12
计算机科学与工程系
系统区
基地址寄存器
程序R内存区 程序S内存区
边界址寄存器
程序T内存区
多道程序的保护
操作系统安全
第三章 操作系统安全机制
3.1 硬件安全机制 优秀的硬件保护设施是实现高效、安全、可靠 的操作系统的基础，计算机硬件安全的目标是保 证其自身的可靠性，并为操作系统提供基本的安 全设施，常用的有：存储保护、运行保护和I/O 保护等。
保护（或称内在保护）是指一种控制程序、 进程或用户对计算机系统资源的访问机制。
计算识(identification)：用来标明用户身份，确保用户的 惟一性和可辨认性的标志，一般选用用户名称和用户 标识符(UID)来标明一个系统用户，名称和标识符均为 公开的明码信息。用户标识是有效实施其他安全策略， 如用户数据保护和安全审计的基础。通过为用户提供 标识，TCB能使用户对自己的行为负责。 鉴别(authentication)：用特定信息对用户身份、设备 和其他实体的真实性进行确认，用于鉴别的信息是非 公开的和难以仿造的，如口令(也称密钥)。用户鉴别 是有效实施其他安全策略的基础。
24
计算机科学与工程系
系统还可以为每个物理页分配一 个密码，只允许拥有相同密码的进程 访问该页，该密码由操作系统装入进 程的状态字中，由硬件对进程的密码 进行检验。这种安全机制有效地保护 了虚拟存储器的安全。
25
计算机科学与工程系
3.1.2 运行保护
安全操作系统很重要的一点是进行分层设计，而运行域 正是这样一种基于保护环的等级式结构。运行域是进程 运行的区域，在最内层具有最小环号的环具有最高特权， 而在最外层具有最大环号的环是最小的特权环。 设置两环系统是很容易理解的，它只是为了隔离操作系 统程序与用户程序。这就像生活中的道路被划分为机动 车道和非机动车道一样，各种车辆和行人各行其道，互 不影响，保证了各自的安全。对于多环结构，它的最内 层是操作系统，它控制整个计算机系统的运行；靠近操 作系统环之外的是受限使用的系统应用环，如数据库管 理系统或事务处理系统；最外一层则是各种不同用户的 应用环。
3.1.1 存储保护 在多道程序中，一个重要的问题是防止一道程
序在存储和运行时影响到其他程序。操作系统可以
在硬件中有效使用硬保护机制进行存储器的安全保 护，现在比较常用的有界址、界限寄存器、重定位、 特征位、分段、分页和段页式机制等。
计算机科学与工程系
3.1.1 存储器保护
内存储器是操作系统中的共享资源，即 使对于单用户的个人计算机，内存也是被 用户程序与系统程序所共享，在多道环境 下更是被多个进程所共享。为了防止共享 失去控制和产生不安全问题，对内存进行 保护是必要的。
• 知识、口令、密码
基于你所拥有的（What you have ）
• 身份证、信用卡、钥匙、智能卡、令牌等
基于你的个人特征（What you are）
• 指纹，笔迹，声音，手型，脸型，视网膜，虹膜
双因素、多因素认证
计算机科学与工程系
对固定口令的攻击 固定口令的重放：远程登录
密钥搜索：敌手随机地猜测口令
17
计算机科学与工程系
分段技术的作用
分段技术就是试图解决较大程序的装入、 调度、运行和安全保护等问题的一种技术。 分段以模块（过程或子程序）为单位。 采用分段技术，用户不知道他的程序实 际使用的内存物理地址。这种隐藏对保护 用户代码与数据的安全是极有好处的。
18
计算机科学与工程系
分段技术的优点：
计算机科学与工程系
一次口令 固定口令方案存在的主要问题：防止窃听和随后 的口令重放（无时变参数） 解决办法：每个口令只用一次 变体：
• 一次口令的共享列表
• 顺序更新一次口令 • 基于单向函数的一次口令序列：
w,H(w),H(H(w)), …
计算机科学与工程系
身份认证的基本途径 基于你所知道的（What you know ）
20
计算机科学与工程系
段的管理方式存在的问题与困难
（1）由于各段的长度不相同，对内存管理造 成了困难，容易产生内存“碎片”。
这是一个很大的安全漏洞。
21
计算机科学与工程系
（2）在许多情况下（如段内部包含动态数 据结构）要求在使用段方式时允许段的尺 寸可以增大。为了保证安全起见，要求系 统检查所产生的地址，验证其是否超出所 访问的段的末端。
?
Alice Eve
计算机科学与工程系
?
Bob
3.2 主体标识与鉴别 标识鉴别机制的设计和实现需要达到两个方面的
要求：
• （1）标识鉴别系统的设计要协助安全操作系统实现
新增的安全功能和安全策略，包括增加新的用户属性，
并通过扩展标识鉴别命令来支持这些属性。 • （2）标识鉴别系统本身的安全性要达到安全操作系 统本身的安全级别要求，增加新的安全功能，提高安 全性。
22
计算机科学与工程系
（3）段名不易在指令中编码，由操作系统查 名字表的速度也会很慢。解决的办法是由编 译器把段名转化为数字，并建立一张数字与 段名之间的对照表。但这又为段的共享带来 麻烦，因为每个调用者都必须知道该段的编 号。
23
计算机科学与工程系
分段与分页的问题与作用
为了解决分段可能产生的内存碎片问题， 引入了分页技术。分页是把目标程序与内存 都划分成相同大小的片段，这些片段就称为 “页”。 分页技术解决了碎片问题，但损失了分段 技术的安全功能。 由于段具有逻辑上的完整意义，而页则没 有这样的意义，程序员可以为段规定某些安 全控制要求，但却无法指定各页的访问控制 要求。
E E E E 代码 代码 代码 代码
………………..
OR RW 数据 数据
其中E表示执行，R表示读，W表示写，OR表 示只读。
16
计算机科学与工程系
2.4
分段与分页技术
对于稍微复杂一些的用户程序，通常按 功能划分成若干个模块（过程）。每个模块 有自己的数据区，各模块之间也可能有共享 数据区。各用户程序之间也可能有共享模块 或共享数据区。 这些模块或数据区有着不同的访问属性 和安全要求，使用上述各种保护技术很难满 足这些要求。