实现操作系统安全的几种策略

“name”是该段存放的数据名字 ,存放该段的起始 地址 “, addr”是该段起始地址的增量 。如图 3 所 示。
5 0 实现操作系统安全的几种策略 第 33 卷
权限实行控制和限制 ,以达到隔离的效果 ; ④加密隔离 :采用加密算法对相应的对象进行
加密 。
3 可共享的数据 、程序和文件的保护
随着操作系统的发展 ,多用户操作系统已经成 为主流 。现今的很多操作系统都往往会有两三个 甚至更多的合法用户 ,这些用户在不同的时间使用 同一个操作系统 ,同一个硬盘 。在这种情况下 ,如 何确保每一个用户的私人文档不能被其它用户无 意或有意的访问 、修改甚至删除 ,就成为了安全操 作系统的重要课题 。并且随着系统复杂性的不断 增加和用户数量的不断增大 ,这一保护机制实现的 复杂性和难度也在不断增加 。
第一个寄存器叫基址寄存器 ,存放某一用户程序在 存储器中的起始地址 ; 第二个寄存器叫边界源自文库存 器 ,存放该用户程序在存储器中的终止地址 。如图 2 所示 。
例如 ,假设栅栏寄存器的地址为 x ,即在存储 器地址 0～x 部分装入系统程序 ,而在存储器地址 x + 1 及以后的部分装入多个不同的用户程序 :用 户程序 1 ,用户程序 2 ……。对于用户程序 1 ,设置 两个寄存器 : ①基址寄存器 1 ,内容为 x + 1 ; ②边界 寄存器 1 ,内容为 y 。通过这两个寄存器限定了用 户程序 1 所能够使用的存储器地址范围是 x + 1～ y 。同理 ,对于用户程序 2 有 ①基址寄存器 2 ,内容 为 y + 1 ; ②边界寄存器 2 ,内容为 z 。限定了用户程 序 2 所能够使用的存储器地址范围是 y + 1～z。 依此类推 。和栅栏保护一样 , 在调用用户程序 1 时 ,首先检测其所在的存储器地址是否在 x + 1～y 的范围之内 ,如果是 ,则该用户程序可以顺利运行 ; 如果不是 ,则操作系统自动报错并终止该用户程序 的运行 。
该栅栏地址也会随操作系统占用空间需要的 变化而变化 。
但是 ,栅栏保护虽然保证了整个存储空间中的 系统软件和用户软件的相互分离 ,却并不能避免不 同用户程序之间的相互干扰 。
(2) 基址边界保护 基址边界保护是栅栏保护的发展 ,它在采用栅 栏寄存器的基础上还对每一个不同的用户程序都 采用两个寄存器以确定其在存储器中的地址空间 。
(3) 口令保护 随着操作系统的发展 ,口令的使用已经越来越 广泛 。在现今的操作系统中 ,用户不仅可以对个体 的数据 、程序或文件加上口令 ,还可以对应用软件 甚至整个操作系统和计算机系统都加上口令 。这 就大大提高了个体的数据 、程序和文件的安全性 。 但是 ,口令保护也存在着一些不利因素 : ①由于口令数量的迅速增加 ,现在对于一个计 算机用户来说往往拥有几个甚至几十个不同的口 令 ,繁琐而众多的口令之间如果没有用户非常熟悉 的逻辑联系或是记忆方法 ,很容易被用户遗忘 ,而 遗忘口令往往使得该口令对应的数据 、程序 、文件 甚至系统无法打开 ,给用户造成诸多不便 。 ②口令如果被盗取或被破解 ,保护功能将自然 失效 。 ③由于口令的无限制使用 ,使得用户除了能够 给自己的数据 、程序或文件加上口令 ,还可以给其 他用户的甚至是公用的数据 、程序或文件加上口 令 ,甚至可能出现对自己无法打开的 、其他用户已 经加载了口令的数据 、程序或文件加上另一重口令 从而造成其他合法用户也无法打开该数据 、程序或 文件的恶意行为 。
②暂时隔离 :在特殊需要的时间段内 ,对某一 个或某些进程或线程实施隔离 ,该时间段结束后解 除隔离 ;
③软件隔离 :在软件层面上对各个进程的访问
① 收到本文时间 :2004 年 5 月 19 日 © 1995-2005 Tsinghua Tongfang Optical Disc Co., Ltd. All rights reserved.
图1
例如 ,在栅栏寄存器中存入地址 x ,即系统程 序只能调用存储器中的 0～x 地址部分 ,应用程序 只能调用存储器中地址大于 x 的部分 。对于任意 一个应用程序 ,操作系统首先检测其在存储器中的 开始地址 ,如发现该地址大于或等于 x1 ,则该应用 程序可以顺利执行 ;如发现该地址小于 x1 ,则说明 该应用程序在存储器中侵入了系统程序部分 ,操作 系统将报错并中止该应用程序 。
图2
图3
容 用 一 个 形 如 ( name , addr ) 的 二 元 组 表 示 。
© 1995-2005 Tsinghua Tongfang Optical Disc Co., Ltd. All rights reserved.
5 2 实现操作系统安全的几种策略 第 33 卷
4 存储空间安全
由于操作系统的多道程序机制 ,必须使得各个 进程访问的存储空间相互独立且不能相互访问 。 一般而言 ,实现存储空间的相互独立有以下三种方 式 :栅栏保护 、基址边界保护和段页式保护 。
(1) 栅栏保护 栅栏保护是最简单的存储空间安全机制 ,它用 一道“栅栏”将主存储器分为系统程序部分和用户 程序部分 。如图 1 所示 。 所谓的“栅栏”是一个固定的存储器地址 ,它规 定了系统程序只能使用该“栅栏”之前的存储空间 , 而用户程序只能使用该地址之后的存储空间 ,从而 避免了“撞车”。 栅栏保护可以使用一个存放系统程序存储空 间末地址的栅栏寄存器 ,亦即用户程序装入的开始
Zhu Yashu Zhu Jingzhou (Computer College , Wuhan University , Wuhan 430079) ( Wuhan Digital Engineering Institute , Wuhan 430074)
Abstract : Operating system is t he most important software in computer system , so its security is more important t han ot her elements in t he whole information security area. Taking t he objects t hat need to be protected by t he operating system as t he clue , t his paper provides several security policies for operating system.
(3) 隔离保护 :在支持多进程和多线程的操作 系统中 ,必须保证同时运行的多个进程和线程之间 是相互隔离的 ,即各个进程和线程分别调用不同的 系统资源 ,且每一个进程和线程都无法判断是否还 有其它的进程或线程在同时运行 。一般的隔离保 护措施有以下 4 种 :
①物理隔离 :不同的进程和线程调用的系统资 源在物理上是隔离的 ;
© 1995-2005 Tsinghua Tongfang Optical Disc Co., Ltd. All rights reserved.
第 33 卷 (2005) 第 1 期 计算机与数字工程 5 1
地址 ,从而确保了二者的分离 。
Key words :security of operating system , security of storage space , isolation protection , grouping protection Class number :TP316
作为整个计算机系统中最重要的软件 ,操作系 统对维持计算机的安全和稳定运行起着不可替代 的重要作用 。由于处于整个计算机系统中硬件和 软件接口的特殊地位 ,使得操作系统成为各种攻击 的主要目标 。
操作系统作为计算机系统中最重要的软件 ,其安全在整个信息安全领域内显得尤为重要 。本文以操作系统需要保护 的对象为线索 ,提供了几种操作系统的安全策略 。
关键词 :操作系统安全 存储空间安全 隔离保护 分组保护 中图分类号 : TP316
Several Pol icies f or Achieving the Security of Operating System
2 操作系统的保护措施
为了保障计算机系统的安全运行 ,操作系统一 般提供以下 3 种保护措施 :
(1) 过滤保护 ;分析所有针对受保护对象的访 问 ,过滤恶意攻击以及可能带来不安全因素的非法 访问 。
(2) 安全检测保护 ;对所有用户的操作进行分 析 ,阻止那些超越权限的用户操作以及可能给操作 系统带来不安全因素的用户操作 。
(1) 无保护 在“无保护”的操作系统中 ,计算机硬盘内的数 据 、程序和文件缺省是共享的 ,也就是说 ,任何合法 的用户都能访问这些缺省是共享的数据 、程序和文 件 ,对他们施行读 、写甚至是删除操作 。一般来说 , 在“无保护”的机制下 ,使用同一操作系统的合法用 户往往数量很少且彼此之间相互了解和信任 。 在“无保护”的操作系统中 ,仍然有一些系统文 件是受口令保护的 ,只有具有操作系统管理员权限 的用户才能够打开和读写这些系统文件 。 随着计算机系统和计算机网络的急速发展 ,使用 同一操作系统的用户或具有访问同一计算机系统权 限的合法用户的数量已经大大增加了 ,用户数量的增 长直接导致了他们之间的相互信任程度的不确定性 。 所以 ,在多数情况下“, 无保护”的操作系统已经不能 够适应现今复杂的计算机网络环境了 。 (2) 分组保护 由于不是每一个操作系统的合法用户都是数 量很少且彼此之间相互信任的 ,所以又产生了“分 组保护”。“分组保护”一般将所有的合法用户分为 若干个不同的组 ,将具有相同或类似需要的一个或 多个用户分为同一个组 ,而将需求不同的用户划分 在不同的组中 。一个用户只能属于一个组 ,不能同 时属于两个或多个不同的组 。 对于处于同一组内的一个或若干个用户来说 , 由于他们的需求类似 ,所以赋予他们对于某些文件 相同的访问权限 。 对于被赋予了某种访问权限的一个文件来说 , 所有的用户可分为两类 “: 本组用户”和“其它组用 户”。他们对于该文件往往具有不同的访问权限 。 比如 “, 本组用户”对该文件既具有读的权限又具有
因此 ,尽可能的保障操作系统的安全运行 ,有 效的防止各种针对操作系统的恶意攻击 ,避免用户 的错误操作给操作系统带来的危害 ,就成为了计算 机系统安全的一个重要内容 。
1 操作系统的保护对象
操作系统的保护对象一般有 :可共享的数据 、 程序和文件 ;存储器 ;可共享的 I/ O 设备 ,如磁盘 、 打印机等 。
由于对每一个应用程序都采用了基址和边界 寄存器 ,基址边界保护克服了栅栏保护的缺点 ,有 效的避免了不同用户程序之间的干扰 。
(3) 段页式保护 段页式保护又分为段式保护和页式保护 。 ①段式保护 段式保护在基址边界保护的基础上继续将一 个程序划分成多个不同的部分 ,每一部分称为一 段 。这一段可以是主程序 ,也可以是主程序的一个 子程序 ,或者是一个数组 ,等等 。每一个段内的内
第 33 卷 (2005) 第 1 期 计算机与数字工程 4 9
实现操作系统安全的几种策略 ①
朱亚殊1) 朱荆州2)
(武汉大学计算机学院1) 武汉 430079) (武汉数字工程研究所2) 武汉 430074)
摘 要
写的权限 ,而“其它组用户”对该文件只具有读的权 限而没有写的权限 。从而在一定程度上保证了系 统中可共享的数据 、程序和文件的安全 。
采用分组保护的操作系统的安全性明显要强 于无保护的操作系统 。但是 ,分组保护机制在提供 了一定程度上的安全性的同时 ,也给处于不同组中 的用户之间的交流带来了不便 。