应用安全支撑平台体系结构与实现机制研究

实施 ， 一 步 明 确 了 信 息 安 全 等 级 保 护 制 度 的基 本 内 容 。０ ４ 进 ２０
年， 国家 《 于 信 息 安 全 等 级 保 护 工作 的 实 施 意 见 》 将 等 级 保 关 ，
何 构 建 应 用 安 全 支 撑 平 台 ，能够 为 等 级 保 护 工 作 的 全 面 、深
全 公 安 部 重 点实 验 室 开 放基 金 项 目。
作者简介：龚雷 （９ １ ，男 ，安徽枞阳人 ，博士研究生 ，研究方 向为信息安全： 赵勇 （９ Ｏ ，男，山西左权人，博士 ，讲 师，研究方向为 １８ 一） １ ８ 一）
信 息 安全 。Ｅｍａｌ ｏｇｅ ｓｙ ｓｈ ．ｏ — ｉ ：ｇ ｎ ｌ ｋ ＠ ｏ ｕｔ ｍ ｉ
入 、 持 续 性 开展 ， 供 切 实 可 行 的 理 论 依 据 与 技 术 保 障 ， 可 提 对
护 从 计 算 机 信 息 系 统 安 全 保 护 的 一 项 制 度 ， 升 到 国家 信 息 提
收 稿 日期 ：２ １—７０ ；修 订 日期 ：２ １—９１ 。 ０ ００—８ ０ ００—０
在着如 下典型的安全问题， 括 ： 包 应 用 系统 自身 的 复 杂 性 导致 安 全 漏 洞 不 可 避 免 。 有 应 现
了应用 间信 息流的安 全 隔离。利 用应用 安全封 装机 制 ， 系统 内核层对 来 自上层应 用的信 息流加 以分析 和判 决，确保 了安 在
全机 制 的 通 用 性 与 不 可 旁 路 性 。
关键 词 ： 息安全 等级保 护； 安全体 系结构； 应用 安全 ；可信 域；应 用安 全封装 信 中 图法分类号 ： Ｐ ０ Ｔ ３９ 文献标 识码 ： Ａ 文章 编号 ：０ ０７ ２ ２ １） ７２ １－４ １０—０４（０ １ ０—２７０
及 定 级 ， 重 要 的 ， 是 围绕 信 息 安 全 保 障 全 过 程 的一 项 基 础 更 它
性 的管 理 制 度 ， 一 项 基 础 性 和 制 度 性 的 工 作 ｎ 在 等 级 保 护 是 。
工 作 实 际 开 展 过 程 中 ，信 息 系 统 大 多 是 由计 算 机 应 用 系 统 所
作 的 意见 》 出 ， 级 保 护 工 作 必 须 分 步骤 、 阶 段 、 计划 的 指 等 分 有
安 全 保 障 的 一 项 基 本 制 度 。２ ０ 年 ７月 ，重 要 信 息 系 统 等 级 ０７
保 护 定 级 工 作 会 议 在 北 京 召 开 ，标 志 着 等 级 保 护 制 度 在 全 国 范 围内的全面贯彻 与执行 。 等 级 保 护 不 仅 是 对 信 息 安 全 产 品 或 系 统 的 检 测 、 估 以 评
ｌｅ ．Ｔ ｅ ｌ ｆｒ ａｓ ｔｉ ｓｈ ｃｎ ｌｇ ｌ ｄａｐｉａ ｏ ｃ ｉ ｃｐｕａ ｏ ｓ ｍｋ ｍｅ ｔ ａｙｅ ｎ ｊｄ ｅｈ ｆｒ ａ ｄ ｈ ａ ｏｍ ｌ ｕｉｚ ｅｅｈ ｏｏ ｃ ｌ ｌ ｔ ｎｓ ｕ ｔ ｅ ａｓｌｔ ｎｉ ｓ ｔ ｅ ｌｏ ｎｌｚ ｄ ｕ ｇ ｅｎｏ－ ｔ ｐｔ ｏ ｌｅ ｔ ｔ ｙ ａ ｅ ｐ ｃ ｉ ｅｒ ｙ ｎ ｉ ｎｙ ｅ ａ ａ ｔ ｉ
＿
２ １ ２ １，Ｖ １ ２ Ｎｏ７ ２ ８ ０ １ ｏ． ， ． ３ １ 应 用 系统 典 型 安全 问题
计算机 工程与设 计 Ｃ ｍｐ ｔ ｎ ｉ ｅ ｎ ｄ ｅｉ ｏ ｕｅ Ｅ ｇ ｅｒ ｇａ ｓ ｎ ｒ ｎ ｉ ｎＤ ｇ
根 据 上 述 设 计 思 路 ， 用 安 全 支 撑 平 台 的 体 系 结 构 如 图 应 １ 示 ， 体 系 结 构 可 以分 为 ４ 层 次 ， 括 硬 件 层 、 所 该 个 包 内核 层 、 系 统 层 和 应 用 层 。硬 件 层 利 用 可 信 平 台模 块 （ｕｔ ｌｆｒ ｔ ｓ ｄｐａ ｏｍ ｒ ｅ ｔ
Ｓ ｉ ｃ， Ｂ ｉｎ ｉｅｓｙｏ Ｔ ｃ ｏｏ ｙ ｅ ｉｇ１０ ２ ， Ｃ ｉ ） ｃ ｎｅ ｅ ｉ Ｕｎ ｒ ｔ ｆ ｅｈ ｌｇ ，Ｂ ｉ ０ １４ ｈ ａ ｅ ｊ ｇ ｖ ｉ ｎ ｊ ｎ ｎ
Ａｂ ｔａ ｔ ｈ ｐ ｃ ｌｅ ｕ ｔ ｒ ｂｅ ｆ ｐ ｌ ａｉｎｓ ｓｅ ｌｓｉ ｅ ｒｔｃｉｎｗｏｋｉａ ａｙ ｅ ，ａ ｄｔｅ ｅａ ｐｉａｉｎｓ ｃ ｒ ｓｒ ｃ：Ｔ ｅ ｙ ｉａ ｃ ｒ ｙｐｏ ｌｍｓ ａ ｐ ｉ ｔ ｔｍｓｎｃａ ｓｆ ｄｐ ｏｅ ｔ ｒ ｎ ｌｚ ｄ ｎ ｎｔ ｐ ｌ ｔｏ ｅ ｕ ｔ ｔ ｓ ｉ ｏ ｃ ｏ ｙ ｉ ｉ ｏ ｓ ｈ ｈ ｃ ｉ ｙ
ｓ ｐ ｏ ｔ ｅｐ ａ ｆ ｒ ｉ ｅ ｉ ｎ ｄ Ｔ ｅｐ ａ ｆ ｒ ｉ ａ ｅ ｎ ｔ ｓｅ ｏ ｕ ｉ ｇｔ ｃ ｎ ｌ ｇ ｎ ａ ｔ ｒ ｉ ｇ ｒ ｃｐ ｅ ｄ ｖ ｄ ｓｒ ｓ ｕ ｃ ｓ ｕ ｐ ｒ ｖ ｌｔｏ ｍ ｄ ｓｇ ｅ ． ｈ ｌｔｏ ｍ ｂ ｓ ｄ ｏ ｕ ｔ ｄ ｃ ｍｐ ｔ ｈ ｏ ｏ ｙ ａ ｄｌ ｓ ｐ ｖ ｌ ｅ ｉ ｉ ｌ ， ｉ ｉ ｅ ｅ ｏ ｒ ｅ ｉ ｓ ｓ ｒ ｎ ｅ ｅ ｉ ｅ ｐ ｎ ｉ ｐ ｌ ａｉ ｎ ｅ ｖ ｒ ｎ ｎ ｔ ｅ ｅ ａ ａ ｔ ｐ ｉｇ ｔ ｐ ｃｆｃｐ ｏ ｅ ｓ ｓ ａ ｄｔ ｅ ｅ ｓ ｐｔｕ ｔ ｄａ ｄｕ ｔ ｓｅ ｏ ｉ ｓ ｓ ａ ｅ ｎ ａ ｐ ｉ ｔ ｎ ｉ ｍｅ ｔ ｎ ｏｓ ｖ ｒ ｌ ｒｓｍａ ｐ ｎ ｓ ｅ ｉ ｒ ｃ ｓ ｅ ， ｎ ｎ ｓ ｔ ｓｅ ｎ ｎ ｒ ｔｄ ｄ ｍａｎ ， ｏ ｔ ｔ ｈ ｃ ｏ ｏ ｉ ｐ ｏ ｉ ｈ ｕ ｒ ｕ ｈ ｔ
ｍａｉｎｆｏ ｆｏ ａ ｐｉａｉｎｌｙ ｒ ｓ ａ ｅｇ ｎ ｒ ｌ ａｉｎｓｃ ｒ ｅｈ ｎｓ ｃｎｂ ｕ ｒ ｔｅ ｄｃ ｎ ｏ ｅｂ ｐ ｓｅ ． ｔ ｗ ｒｍ ｐ ｌ ｔ ｅ， ｏｔ ｔ ｈ ｅ ｅ ａｉ ｔ ｅ ｕ ｉ ｍ ｃ ａ ｉｍ ａ ｅｇ ａａ ｅ ｄａ ａ ｎ ｔ ｙ ａｓ ｄ ｏ ｌ ｃ ｏ ａ ｈ ｔ ｚ ｏ ｙ ｔ ｎ ｎ ｂ Ｋｅ ｒ ｓ ｉｆｒ ａｉｎｓｃ ｒ ｌｓｉｅ ｒｔｃｉｎ；ｓ ｃ ｒ ｒｈｔｃｕ ｅ ａ ｐｉａｉｎｓ ｃ ｒ ；ｔｕ ｔｄｄ ｍ ａｎ ｐ ｌ ａｉｎｓ ｃ ｒ ｙｗｏ ｄ ： ｎ ｏｍ ｔ ｕ ｉ ｃａｓｆ ｄｐ ｏｅ ｔ ｏ ｅ ｔ ｙ ｉ ｏ ｅ ｕ ｔ ａｃ ｉ ｔｒ； ｐ ｌ ｔ ｅｕ ｉ ｉ ｙ ｅ ｃ ｏ ｙ ｔ ｒｓｅ ｏ ｉ ；ａ ｐｉ ｔｏ ｅｕ ｉ ｃ ｙ ｔ
Ｒｅ ｅ ｒｈ ｏ ｒ ｈ ｔｃｕ ｅａ ｄｉ ｐ ｅ ｅ ｔｔｏ ｆａ ｐ ｉａｉ ｎｓ ｃ ｒｔ ｕ ｐｏ ｔ ｅｐｌｔｏ ｍ ｓ ａｃ ｎａ ｃ ｉｅ ｔ ｒ ｎ ｍ ｌｍ ｎ ａｉ ｎｏ ｐ ｌｃ ｔｏ ｅ ｕ ｉｙｓ ｐ ｒｉ ａｆ ｒ ｖ
ＧｏＮＧ ｉ ． ＺＨＡ Ｏ ｎｇ Ｌｅ 一 ， Ｙｏ 。
计 算 机 工 程 与 设计 Ｃ ｍ ｕ ｒ ｎｉ ｅｎ ａｄ ｅｉ ２ １， ｏ ３， ｏ ｏ ｐｔ Ｅ ｇ ｅ ｇ ｎ Ｄ ｓ ｎ ０ １ Ｖ １ ２ Ｎ ７ ｅ ｎｒ ｉ ｇ ．
．
２ ７ ２１
应用安全 支撑平 台体 系结构与实现机制研 究
龚 雷 ， 赵 勇
（． 放 军信 息 工程 大 学 电子技 术 学院 ，河 南 郑 州 ４ ０ ０ ； ． 息 网络 安全 公安 部 重点 实验 室 ， 海 ２ １０ ； １解 ５０ ４ ２ 信 上 ０２４ ３ ．北京 工 业 大学 计 算机 学院 ，北京 １０ ２ ） ０ １４
构 成 ，应 用 系 统 安 全 与 整 个 信 息 系 统 关 系 密切 ，在 一 定 程 度 上 ， 直 接 影 响 到 等 级 保 护 工 作 的 有 效 性 与 可 持 续 性 。为此 ， 会
本 文 将 针 对 现 有 应 用 系 统 的典 型 安 全 问题 加 以 分 析 ，研 究 如
Ｌａ ｆＩ ｆ ｒ ａｉ ｎＮ ｅｗｏ ｋ Ｓｅ ｕ ｉ ， Ｍ ｉｉｔｙ ｏ Ｐｕ ｌｃＳ ｃ ｒｔ， Ｓ ｎ ｈ ｉ １ ０ ｂ ｏ ｎ ｏ ｍ ｔｏ ｔ ｒ ｃ ｒｔ ｙ ｎ ｓｒ ｆ ｂ ｉ ｅ ｕ ｉ ｙ ｈａ ｇ ａ ２０ ２ ４， Ｃｈ ｎ ； ３．Ｉ ｓｉ ｔ ｆ ｍｐ ｔｒ ｉａ ｎ ｔｔ ｅｏ Ｃｏ ｕ ｅ ｕ
ｅ ａ ｕ Biblioteka Baiduｉ ｎ ｎｃ ｐｓ ｌ ｔｏ
０ 引 言
目前 信 息 安 全 已引 起 我 国 和 其 他 各 国政 府 的 高 度 重 视 ，
１９ ９４年 ， 务 院颁 布 了 《 国 中华 人 民共 和 国计 算 机 信 息 系 统 安 全 保护条例》 第一次提 出了信息系统 要实行等级 保护 ， ， 并确 定 了等 级 保 护 的 职 责 单 位 。 ９ ９ ， Ｂ１８９１９ （ 算 机 信 息 １９ 年 Ｇ ７ ５—９ ９ 计 （ 系统 安全 保 护 等 级 划 分 准 则 》 台 ， 是 信 息 安 全 等 级 保 护 的 出 它 强 制 性 国家 标 准 ， 有 广 泛 的 指 导 意 义 。０ ３年 ， 具 ２０ 中央 办 公 厅 第２ ７号 文 件 《 家 信 息 化 领 导 小 组 关 于 加 强 信 息 安 全 保 障 工 国
国 家 的信 息 安 全 建 设 具 有 重 要 的 现 实 意 义 。
基 金 项 目： 国 家 ８ ３高技 术 研 究 发 展 计 划 基 金项 目 （０ ９ ６ ２ ０ＡＡ０ Ｚ ３ ） 国家 ９ ３重 点基 础 研 究 发 展 计 划 基 金 项 目 （０ ７ Ｂ １１０； 信 息 网络 安 １ ４ ７； ７ ２ ０ Ｃ ３ １ｏ ）
（ ．Ｉｓｉ ｔ ｆ ｌｃｒｎｃＴ ｃ ｎ ｌｇ ， Ｐ Ａ ｆｒ ｔ ｎＥ ｇｎ ｅ ｎ ｉｅｓ ｙ １ ｎ ｔｕｅｏ Ｅ ｅｔｏ ｉ ｅｈ ｏｏ ｙ Ｌ Ｉ ｏｍａｉ ｎ ｉｅ ｒ ｇＵｎｖ ｒｉ ，Ｚｈ ｎ ｚ ｏ ５ ０ ４ Ｃ ｉａ ．Ｋｅ ｔ ｎ ｏ ｉ ｔ ｅ ｇ ｈ ｕ４ ０ ０ ， ｈｎ ；２ ｙ
ｉ ｌ ｅ ｅｏ ｐ ｉ ａｉ ｎ ｓ ｔｍ ｌ ｅ ａ ｌｔｅｓｃ ｕｌ ｂｅｃ ｎｆｎｅ ｄｔ ｅｉ ｆ ｒ ａｉ ｎｆｏ ｆｏ ｉｆｒ ｎ ｐｐ ｉａ ｉ ｙｓｅ ｓｃ ｕｌ ｅｉｏ ｎｆｕ ｎｃ ｆａ ｐｌｃ ｔｏ ｙｓｅ ｖｕ ｎ ｒ ｂｉｉｉ ｏ ｄ ｏ ｉ ｄａ ｈ ｎ ｏ ｎ ｍ ｔｏ ｗ ｒ ｍ ｄ ｆｅ ｅ ｔ ｌ ａ ｌｃ ｔｏｎｓ ｔ ｍ ｏ ｄｂ ｓ —
ｍｏ ｕｅＴ Ｍ） 片 作 为 信 任 根 ， 过 信 任 链 传 递 技 术 ， 级 度 ｄ ｌ， Ｐ 芯 通 ～
当前 ， 算 机 应用 系统 是信 息系 统 的重 要 组 成 部 分 ， 计 已广
泛 部 署 于 政 府 机 关 、企 事 业 单 位 以 及 各 组 织 机 构 。应 用 系 统 的 普及 与 应 用 ， 提 高 工 作 效 率 、 约 人 力 资本 的 同 时 ， 存 在 节 也
摘 要 ： 对 等 级 保 护 工 作 中应 用 系统 面 临 的 典 型 安 全 问题 ， 计 并 实现 了应 用 安 全 支 撑 平 台。 该 平 台 以可 信 计 算 为 基 础 ， 针 设
最 小 权 限 为 原 则 ， 用 应 用 环 境 中 资 源 与 进 程 的 映 射 ， 建 可 信 域 与 非 可 信 域 ， 制 了应 用 安 全 漏 洞 能 够 影 响 的 范 围 ， 利 构 限 实现