隐蔽通道信息流检测方法综述

A survey of detecting methods of information flow to

find convert channel

Yang Mingxin1,2

1College of Economics Management Hebei University of Science and Technology Shijiazhuang Hebei, China

ymxspj@https://www.360docs.net/doc/e413797328.html,

Wang Yuheng1

2College of Computer Science Beijing University of Technology

Beijing, China

wangyh@https://www.360docs.net/doc/e413797328.html,

Abstract—After defining the idea of Convert channel, this paper analyses detecting methods of convert channel including syntactic information flow analysis and semantic information flow approach. This paper put forwards one method of improved syntactic information flow processing whose core idea is to design PC to sign every row of program in this kind of method, and detect the covert information flow by this kind of data structure – stack. The validity of this method is proved using an example in this paper.

Keywords-covert channel; information flow;detecting method;stack;security level;pc

隐蔽通道信息流检测方法综述

杨明欣1,2，王玉恒1

1.河北科技大学经济管理学院，石家庄，中国，050018

2.北京工业大学计算机学院，北京，中国，100124

1. ymxspj@https://www.360docs.net/doc/e413797328.html,，

2.wangyh@https://www.360docs.net/doc/e413797328.html,

【摘要】本文在介绍隐蔽通道的概念后，分析了隐信道检测的语法信息流方法、语义信息流方法。然后提出了改进的语法信息流方法，其主要思想是设计了程序计数器来标记程序运行中的每一行，用栈的形式来检测出隐式信息流。并举例验证了改进的语法信息流方法，可以阻止违反安全策略的程序运行。

【关键词】隐蔽通道；信息流；检测方法；栈；安全等级；程序计数器

1隐蔽通道

1.1 隐蔽通道的概念

最初是由Lampson于1973 年提出。他在论文“关于限制问题的注释”中这样定义隐蔽通道：“如果一个通道既不是设计用于通信,也不是用于传递信息,则称该通道为隐蔽通道”。迄今为止,关于隐蔽通道的研究,已经历了30 年的发展历程,并取得了一系列重要的研究成果。隐蔽通道的存在,对安全操作系统是一个重要的威胁。因此,对高安全等级的安全操作系统,各种标准都要求进行隐蔽通道分析。1985 年,美国国防部发布了橘皮书TCSEC, 这是第一个“计算机安全产品评估标准”。橘皮书明确规定,在对B2 级以上的高等级安全操作系统进行评估时,必须分析隐蔽通道,并且随着安全级别的提高,对隐蔽通道分析的要求越来越严格。在操作系统中隐蔽信道分为两类：一类是隐蔽存储信道，即当一个高安全级进程对某客体进行写操作，另一个低安全级进程可以观察到写的结果；另一类是隐蔽定时信道，即一个高安全级进程对系统性能产生影响，而这种影响由另一个低安全级进程监测并由如实时时钟这样的事件坐标测量，其中隐蔽定时信道难以发现，而且带宽小，只在TCSEC的A1和超A1安全级别中，对其有所要求。隐蔽存储信道的存在则主要是由于系统通过共享变量来实现进程间通信。

2信息流检测方法

彻底搜索隐蔽通道，即隐蔽通道的标识工作是隐蔽通道分析中最为困难的一环。其困难性体现在理论和工程实践两个方面：(1) 理论上仍然不够成熟，缺乏严谨且行之有效的方法；(2) 实际工作量庞大,手工分析容易出错,缺乏行之有效的自动工具。

河北省科技厅项目支持（09213509D和042135110），河北科技大

学校立基金项目支持。

978-1-4244-5143-2/10/$26.00 ?2010 IEEE

2.1语法信息流方法

Denning 的信息流格模型是语法信息流方法中最著名的一个，也是最初的系统分析隐蔽通道的方法。

语法信息流方法的分析步骤是 ①将信息流语义附加在每个语句之后。例如，当 b 不为常数时，赋值语句a:=b 产生由b 到a 的信息流，用a←b 表示，并称之为“明流”或者显式信息流；类似地条件语句产生暗流或者隐式信息流。例如,if x=a then y:=b else z:=c 产生的暗流是y←x 和z←x.这时，同时存在明流y←b 和z←c。②定义安全信息流策略，例如“如果信息从变量 b 流向变量a,则a的安全级必须支配变量b的安全级”。③将流策略应用于形式化顶层规范或源代码，生成信息流公式。例如a:=b 的流公式为a≥b ，其中x表示变量x的安全级。④证明流公式的正确性。如果无法证明某个流公式的正确性，则需要进一步对语句进行语义分析，并判断该信息流：(a) 是非法流还是伪非法流；(b) 是否能够产生真实隐蔽通道，而不只是潜在隐蔽通道。

2.2 语义信息流分析法

1990 年,Tsai, Gligor 和Chandersekaran对语法信息流方法作了重大改进，增加了语义分析。Tsai 等人提出了一种标识隐蔽存储通道的新方法,基于：(1) 分析编程语言的语义、代码和内核中使用的数据结构，发现变量的可见性/可修改性；(2) 解决内核变量的别名问题,确定内核变量的间接可修改性；(3) 对源代码进行信息流分析,确定内核变量的间接可见性。他们的语义信息流方法在Secure Xenix 系统的应用中获得成功。

语义信息流方法的分析步骤是 ①选择用于隐蔽通道分析的内核原语；②确定内核变量的可见性/可修改性；(i)通过语义分析,确定内核变量的直接可见性/可修改性；(ii) 对每个原语生成一个“函数调用依赖关系”集合FCD；(iii)通过信息流分析,确定内核变量的间接可见性；(iv) 在每个原语中解决变量别名问题；(v) 标识在原语间共享的用户进程可见/可修改的变量,消除局部变量；

③分析共享变量,并标识隐蔽存储通道。

在语义信息流的基础上提出了基于源代码信息流分析的隐蔽存储信道分析和测试方法，该方法具有以下几个特点：以源代码信息流分析为基础，不需要系统有严格的顶层形式化描述和一致性证明，比较适合我国的研制情况；以源代码信息流分析为基础．能找出更多、更全的隐蔽存储信道；对源代码信息流经过约化，只关心共享变量有关的信息流，大大减少了信息流分析的工作量；对发送方和接收方进程可能存在的函数序列有一套明确的分类和计算方法，需要计算到函数序列的哪一级可以随意控制。

3 改进的语法信息流检测方法

3.1格的基本概念

对于集合S，一个关系R是S×S任一子集，如果(a,b)∈R,记作aRb。

定义1：一个在集合S上定义的关系R是自反的，如果对于任意a∈S,有aRa。

定义2：一个在集合S上定义的关系R是反对称的，如果对任意a,b∈S，由aRb和bRa可以推出a=b。

定义3：一个在集合S上定义的关系R是传递的，如果a,b,c∈S,由aRb和bRc可以推出aRc。

全序：当一个关系将集合中的一部分而非全部元素排序的时候，就产生了偏序。这样的集合和关系通常称为一个偏序集。如果一个关系对所有的元素都引入了一个序，就称为全序。

上界和最小上界：在偏序（全序）关系下，把两个元素的“上界”定义为任何比两者都“大”的元素；而一对元素可能有多个上界，离这两个元素最“近”的是最小上界。令U为由a和b的下界组成的集合，如果元素u∈U 使得不存在t∈U满足tRu，则u是a和b的最小上界记作lub(a,b)。

下界和最大下界：对于两个元素a,b∈S，如果存在l ∈S,使得lRa和lRb成立，则l是a和b的下界；令L为a 和b的上界组成的集合，如果元素l∈L使得不存在m∈L 满足lRm，则l是a和b的最大下界记作glb∈(a,b)。

格：格是建立在群概念上的一种数据结构,一个格是一个集合S和关系R的组合，满足如下条件：.R是自反的、反对称和传递的；对任意s,t∈S,存在最大下界；对任意s,t∈S,存在最小上界。

例如集合{0,1,2}在关系“小于等于”（≤）下构成了一个格。根据算术法则，该关系是自反的、反对称的和传递的。任意两个整数的最大下界是较小的那个，而最小上界是较大的那个。

3.2引入PC后的改进方案

在程序中引入PC程序计数器来处理隐式信息流问题，即pc只是对程序分支的一种计算赋值。push (x,x)表示将变量x及安全类型x压入栈中，而pop(x,x)表示从程序栈中弹出栈顶数据及安全类型。定义几种指令含义：

①加1 指令

x:=x+1 等价于： if pc≤x then x:=x+1 else skip

②条件语句

if x=0 then goto n else x:=x-1 等价于

if x=0 then{ push(pc, pc); pc:=lub(pc，x); pc: =n;}

else {if pc≤x then {x:=x-1; } else skip}

这样就出现了分支，并将pc及其安全类型压入程序栈中。一般pc会被增值使得当它被弹出后，if语句之后的指令会被执行。这表示如果执行goto 语句，则pc包含了来自x=0的信息。

③return语句相当于pop(pc，pc)返回给最后一个if 语句之后的那个语句。因为控制流将会到达这个语句，所以pc将不再包含x的信息，而可以恢复旧的类型。

④分支语句

If’ x=0 then goto n else x:=x-1 等价于

if x=0 then {if x≤pc then{pc:=n;} else skip }

else { if pc≤x then {x：=x-1;} else skip }

此分支语句不保存PC进栈。如果分支发生，则PC 的安全类型比条件变量x的更高，所以增加从x到PC的信息不会改变PC的安全类型。

⑤停机指令

Halt

等价于：

If program stack empty then halt execution

程序栈为空是要保证在程序停止后用户不能通过查看程序栈而获取信息。

根据以上的规则，下列程序中假设x=1或者0,y=0, z=0引入pc后用栈的形式来解决把隐式信息流的过程如下：

(1) if x=0 then goto 4 else x:=x-1

(2) if z=0 then goto 6 else z:=z-1

(3) halt

(4) z:=z+1

(5) return

(6) y:=y+1

(7) return

假设x的初始值为1。下列表格显示了内存中的内容、每一步中PC的安全类型及对应的安全验证。

Table 1. Corresponding table between stack and program variable

表1.堆栈与程序变量对应表

x y z pc pc 栈 安全验证

1 0 0 1 low —

0 0 0 2 low — Low≤x

0 0 0 6 z 3,low

0 1 0 7 z 3,low pc≤y

0 1 0 3 low —

假设在以上程序中，y≤z。则在第4步时，安全验证失败因为pc=z。所以赋值被跳过，而最终无论x的值是多少都有y=0。但是机器如果报告出错，出错信息将会告诉用户安全验证的失败，也就是说程序曾经试图执行第6步。程序只有在第二步是选择分支时才会这样做，即意味着z=0。如果z=0语句1中的else分支没有被执行，即x的初值为0。而pc计数器的出现可以避免这种错误，因为它可以忽略继续执行这个程序。所有的描述是把pc看成一个程序运行中的变量，而且能和程序运行的类型一致。程序计数器的引入能从程序执行的层次上控制信息的流动，也能解决了程序执行过程中隐式信息流的发生。

3.3 证明引入PC后可以检测出隐式信息流

在这个例子中没有引入pc程序计数器，它违反安全策略（信息从低等级流向了高等级）却通过验证的程序：

Proc copy(x：integer class {x}；

Var y：integer class {y});

Var z：integer class variable {low}；

Begin

y：=0；

z：=0；

if x=0 then z：=1;

if z=0 then y：=1;

end;

程序中，z是变量且初始值为Low,在为z赋值后z 将发生变化。当为y赋值时，信息流要被验证。假设y

如果x初始值为0，第一条语句验证low≤y(显然为真)。第二条语句置z为0而且z为low。第三条语句改变z为1而且z为lub(low, x）= x ；第四条语句被跳过（因为z=1）。因此程序退出时y被置为0。

如果x初始值为1，第一条语句验证low≤y (通过)。第二条语句置z为0而且z为low。第三条语句被跳过。第四条语句将y赋值为1，并验证lub(low, z）= low≤y。（通过）。因此程序退出时y被置为1。

因此即使y

但是引入了程序计数器pc的机制就可以检测出这种安全问题。即y被赋值时，安全验证检测到x

4 小结

总之,隐蔽通道分析仍然是一个具有挑战性的课题，特别是迄今为止，尚无系统地标识隐蔽定时通道的方法。在隐蔽通道的研究中，还有许多公开问题等待我们解决。因此，彻底搜索隐蔽通道仍然是一项困难的任务。困难的程度，依赖于具体的系统和所采用的分析方法。和其它所有的安全问题一样，隐蔽通道的信息流检测技术也是一个逐步成熟不断完善的过程。而随着新的形势的出现，隐蔽通道的利用与发现双方也都面临着新的问题。如何从操作系统的层面，利用基于语句的信息流分析来达到彻底搜索隐蔽通道仍然是一项很艰巨的任务。面对新的形势如何提出自己的见解并付诸实施论证，是我们接下来应该做的工作。

References (参考文献)

[1]Lampson BW. A note on the confinement problem. CACM,

1973,16(10).

[2]Matt Bishop. Computer Security Art and Science[M]. Beijing:

Publishing House of Electronics Industry,2005-5-1.

[3]Denning DE. A lattice model of secure information flow.

Communications of the ACM, 1976. 236~243

[4]Huskamp JC. Covert communication channels in timesharing systems.

Technical Report UCB-CS-78-02, 1978.

[5]Tsai CR, Gligor VD, Chandersekaran CS. A formal method for the

identification of covert storage channels in source code. IEEE Trans.

on Software Engineering, 1990. 569~580.

[6]He J, Gligor VD. Information flow analysis for covert-channel

identification in multilevel secure operating systems. In: Proc. of the

3rd IEEE Workshop on Computer Security Foundations. 1990.

139~148

[7]Haigh JT, Kemmerer RA, McHugh J, Young WD. An experience

using two covert channel analysis techniques on a real system design.

IEEE Trans. On Software Engineering, 1987. 157~168

[8] Hu WM. Reducing timing channels with fuzzy time. In: Proc. of the

IEEE Symp. on Research in Security and Privacy. 1991. 8~20

[9] Shieh SP, Gligor VD. Auditing the use of covert channels in secure

systems. In: Proc. of the IEEE Symp. on Research in Security

and Privacy. 1990.

[10] Qing SH, Liu WQ, Weng HZ, Liu HF. Operation System Security.

Beijing: Tsinghua University Press, 2004 (in Chinese).

卿斯汉,刘文清,温红子,刘海峰.操作系统安全.北京:清华大学出版

社,2004.

[11] Handel T G, Sandford M T. Hiding data in the OSI network model.

Proceedings of Information Hiding[J]: first international workshop, Cambridge, UK, Berlin: Springer-Verlag,1996:23~38.