chap6：可信操作系统设计-B 西安电子科技大学计算机安全基础课件

对于开发者，要从操作系统地设计和操作系统所能 提供安全服务的组件功能来看一个操作系统的可信 度。设计一个可信的操作系统，必须考虑以下四个 环节：安全策略、安全模型、设计和可信度。
2020/6/17
7
Security Policies ...
一、定义: The set of laws, rules, and practices that regulate how an organization manages, protects, and distributes sensitive information.
对安全系统中信息流合法路径的形式化描述。在处 理多密级数据的系统设计中发挥了重要作用。是一个 形式化的军事安全策略，是美国国防部安全评估的主 要标准。
这个模型的目标：
在一个保密性十分重要的系统中能够识别出合法通 信。它被用来定义当一个系统需要处理不同密级数据 时的安全需求。
2020/6/17
23
Bell-La Padula Confidentiality Model
同步
服务
并行
控 制 \死 锁
管理
通讯
计算
数 据
程序 库
cpu
内存
i/o 设备
2020/6/17
图 5.10 操 作 系 统 功 能
32
Trusted Operating System Design
User Interface Access Control
操作系统
资源分配
服务 Access control
例子：
<秘密,{SNOWSHOE}> ≤ <绝密，{SNOWSHOE,SWEDEN}>
这时可以说后面的class支配前面的class
2020/6/17
16
Military Security Policy
一个主体能够访问一个客体必须满足条件：
·主体的授权访问机密文件级别不低于被访问客体，且 ·主体要知道他所需要的信息对应的所有分类隔离块
普通操作系统的安全特性
➢ 用户鉴别 ➢ 内存保护 ➢ 文件及I/O设备访问控制 ➢ 对一般客体的资源分配与访问控制 ➢ 实现共享化 ➢ 公平服务 ➢ 内部进程通信和同步 ➢ 操作系统数据保护
2020/6/17
31
Trusted Operating System Design
User Interface 操作系统 资源分配
密码学方面的出版物
制造雪鞋的厂家
瑞典喷气式推 进雪鞋计划
瑞典的间谍名字
compartments的 表 示 ： {CRYPTO}、 {SNOWSHOE,SWEDEN}
2020/6/17
14
Military Security Policy
再引入class或classification这个概念，它是 指敏感级别和compartments构成的一个二元 组: <rank;compartments>。 例如: <绝密，{CRYPTO}>,…
二、一些比较常见的策略
2020/6/17
8
一些比较常见的策略
Military/Government Policy Clark-Wilson: policy of constrained change. Separation of Duty: required division of
responsibility Chinese Wall: conflict of interest policy Originator Controlled Role Based Access Control …
原理：
系统中有一个主体集合S和一个客体集合O,。在S中的每 个 主 体 s 和 O 中 的 每 个 客 体 o 都 有 各 自 的 安 全 级 别 C(s) 和 C(o)。安全级别之间存在≤关系。
有如下两个原则：
简单安全原则： 一个主体s可以读访问客体o，当且仅当C(o) ≤C(s)，即主体只能读取密级等于或低于它的客体。
2020/6/17
4
可信操作系统与安全操作系统
Secure
Trusted
1、either - or
1、graded
2、property of presenter 2、property of receiver
3、asserted 4、absolute 5、a goal
3、judged 4、relative (judged in context of use)
2020/6/17
18
Chinese Wall Security Policy
Chinese Wall Security Policy：商业安全策略，主 要用在访问有利益冲突的竞争公司间信息的情况， 防止泄漏商业机密。
一些概念：
➢ 对 象 ： 一些基本元素，比如文件，只涉及一个公司的信息。 ➢ 公司组 ： 描述一个特定公司的所有对象的集合。 ➢ 冲突类： 所有竞争公司的对象构成的集合。
3、敏感性是分层的 4、need-to-know 不分层 5、Dominance relationship
2020/6/17
10
Military Security Policy
公开
受限 秘密 1 机 密 层 次 图
2020/6/17
11
Military Security Policy
它的引进是为了说明need-to-know规则的。 一个compartment可以处于一个敏感级别，
也可以跨越多个敏感级别。
2020/6/17
13
Military Security Policy
Compartment= CRYPTO
Compartment= SNOWSHOE
Compartment= SWEDEN
概念：dominance 用符号 ≤ 表示。s表示主体，o表示客体。 关系如下：
2020/6/17
15
Military Security Policy
s≤o if and only if ranks≤ranko and
Compartments compartmentso
这时，说o支配s（或是s受o支配）。
29
Trusted Operating System Design
可信操作系统的要素
好的设计原理有助于安全的实现，下面的基本要素 对于设计健壮、可信的操作系统必不可少：
➢ 最小特权
➢ 精简机制
➢ 开放设计
➢ 完全检测
➢ 基于许可
➢ 特权分离
➢ 最小共享化
➢ 易用性
2020/6/17
30
Trusted Operating System Design
Chinese Wall Security Policy 的访问控制原 理：
某个主体只允许访问每个冲突类中的一 个公司组，在一个冲突类中，这个主体一旦 访问了一个公司信息，那么他就不能再访问 同一冲突类的其他公司的信息了。
2020/6/17
21
Models Of Security
Model: A formal (or semi-formal) representation of the policy that the OS will enforce.
同步 并行 控 制 \死 锁 管理 通讯 计算
Access control
数 据
程序 库
2020/6/17
17
Military Security Policy
小结：
➢ Military Security Policy主要是基于敏感信息 分级和need-to-know原则。
➢ 在这样的综合模型中，授权中心严格地控制 着访问权，所以它可以在不同的系统设置中 正常运作。授权访问和分类也是不允许个人 修改的，它们都是由安全中心统一管理的。
2020/6/17
19
Chinese Wall Security Policy
它们之间得关系看下面的图：
公司组
冲突类
德芙
交行
南方航
建行
空
金帝
工行
2020/6/17 图 5 . 5 C h i n e s e W a l l 安 全 策 略
20
Chinese Wall Security Policy
2020/6/17
9
Military Security Policy
Military security policy ：它主要用于保护机密信息。 将每段信息都标有敏感级别，用户对信息访问基于 need-to-know规则。
需注意以下几点：
1、信息的敏感级别 2、need－to－know规则：
允许使用者最小限度地访问敏感信息。
设计可信操作系统
Designing Trusted Operating Systems
2020/6/17
西安电子科技大学计算机学院
1
可信操作系统与安全操作系统
操作系统也是安全的主要提供者。 由于功能强大，成为被攻击的对象，一旦突
破操作系统的防线，就可以肆意修改计算机 的任何内容了。 当前，计算机操作系统的安全显得日益重要。 如何设计安全可信的操作系统，是需要的讨 论和研究的问题。
2020/6/17
27
Trusted Operating System Design
好的软件工程原理告诉我们，在设计系统时，安全的 考虑易早不易迟。主要考虑设计高安全等级的操作系统， 着重讨论操作系统内核的设计，安全是否可以有效提供， 取决于操作系统内核是如何设计的。然后讨论分层（或 环)结构设计。
隔离块 （Compartment)
隔离块 （Compartment)