第3章-操作系统安全

(4) 密码上分离。进程以一种其他进程不可知的方 式隐藏数据及计算。 当然两种或多种分离形式的结合也是可能的。所列 出的分离策略基本上是按其实现复杂度递增及所提 供的安全性递减的次序列出的。然而前两种方法是 非常直接且将导致资源利用率严重下降的方法。因 此为了提高操作系统的性能，要求必须移去操作系 统保护的这些沉重包袱，并且允许具有不同安全需 求的进程并发执行。 操作系统安全的主要目标是: ● 依据系统安全策略对用户的操作进行存取控制， 防止用户对计算机资源的非法存取（窃取、篡改和 破坏）；
3.1.2 运行保护
安全操作系统很重要的一点是进行分层设计，而运 行域正是这样一种基于保护环的等级式结构。运行 域是进程运行的区域，在最内层具有最小环号的环 具有最高特权，而在最外层具有最大环号的环是最 小的特权环。一般的系统不少于3~4个环。 设置两环系统是很容易理解的，它只是为了隔离操 作系统程序与用户程序。对于多环结构，它的最内 层是操作系统，它控制整个计算机系统的运行；靠 近操作系统环之外的是受限使用的系统应用环，如 数据库管理系统或事务处理系统；最外一层则是控 制各种不同用户的应用环，如图3-1所示。
如果某段对具有较低特权的环而言是可写的，那么 在较高特权环内运行该段的内容将是危险的，因为 该段内容中可能含有破坏系统运行或偷窃系统机密 信息的非法程序（如特洛伊木马）。所以从安全性 的角度考虑，不允许低特权环内编写（修改）的程 序在高特权环内运行。 环界集为（0，0，0）的段只允许最内环（具最高 特权）访问，而环界集为（7，7，7）则表示任何 环都可以对该段进行任何形式的访问操作。由于0 环是最高特权环，所以一般不限制0环内的用户对 段的访问模式。 对于一个给定的段，每个进程都有一个相应的段描 述符表以及相应的访问模式信息。利用环界集最
● 标识系统中的用户并进行身份鉴别； ● 监督系统运行的安全性； ● 保证系统自身的安全性和完整性。 为了实现这些目标，需要建立相应的安全机制，包 括硬件安全机制、标识与鉴别、存取控制、最小特 权管理、可信通路、安全审计等。
3.1 硬件安全机制
绝大多数实现操作系统安全的硬件机制也是传统操 作系统所要求的。优秀的硬件保护性能是高效、可 靠的操作系统的基础。计算机硬件安全的目标是保 证其自身的可靠性并为系统提供基本安全机制。其 中基本安全机制包括存储保护、运行保护、I/O保 护等。
在计算机系统提供透明的内存管理之前，访问判决 是基于物理页号的识别。每个物理页号都被加上一 个称为密钥的秘密信息；系统只允许拥有该密钥的 进程访问该物理页，同时利用一些访问控制信息指 明该页是可读的还是可写的。每个进程相应地分配 一个密钥，该密钥由操作系统装入进程的状态字中。 每次执行进程访问内存的操作时，由硬件对该密钥 进行检验，只有当进程的密钥与内存物理页的密钥 相匹配，并且相应的访问控制信息与该物理页的读 写模式相匹配时，才允许该进程访问该页内存，否 则禁止访问。 这种对物理页附加密钥的方法是比较烦琐的。
图3-1 多环结构示意
在这里最重要的安全概念是: 等级域机制应该保护 某一环不被其外层环侵入，并且允许在某一环内的 进程能够有效地控制和利用该环以及该环以外的环。 进程隔离机制与等级域机制是不同的。给定一个进 程，它可以在任意时刻在任何一个环内运行，在运 行期间还可以从一个环转移到另一个环。当一个进 程在某个环内运行时，进程隔离机制将保护该进程 免遭在同一环内同时运行的其他进程破坏，也就是 说，系统将隔离在同一环内同时运行的各个进程。 为实现两域结构，在段描述符中相应地有两类访问 模式信息，一类用于系统域，一类用于用户域。这 种访问模式信息决定了对该段可进行的访问模式， 如图3-2所示。
第3章 安全机制
3.1 3.2 3.3 3.4 3.5 3.6 3.7 3.8 3.9 硬件安全机制 标识与鉴别 存取控制 最小特权管理 可信通路 安全审计 UNIX/Linux的安全机制 本章小结 习题
操作系统是连接硬件与其他应用软件之间的桥梁， 它提供的安全服务有内存保护、文件保护、普通实 体保护（对实体的一般存取控制）、访问鉴别（用 户身份鉴别）等。 一个操作系统的安全性可以从如下几方面加以考虑。 (1) 物理上分离。要求进程使用不同的物理实体。 例如将不同的打印机设置成具有不同的安全级别。 (2) 时间上分离。具有不同安全要求的进程在不同 的时间运行。 (3) 逻辑上分离。操作系统通过限制程序的存取， 使得程序不能存取其允许范围外的实体，从而使用 户感觉自己的操作是在没有其他进程的情况下独立 进行。
3.1.1 存储保护
对于一个安全操作系统，存储保护是一个最基本的 要求，这主要是指保护用户在存储器中的数据。保 护单元为存储器中的最小数据范围，可为字、字块、 页面或段。保护单元越小，则存储保护精度越高。 对于代表单个用户，在内存中一次运行一个进程的 系统，存储保护机制应该防止用户程序对操作系统 的影响。在允许多道程序并发运行的多任务操作系 统中，还进一步要求存储保护机制对进程的存储区 域实行互相隔离。 存储保护与存储器管理是紧密相关的，存储保护负 责保证系统各个任务之间互不干扰；存储器管理则 是为了更有效地利用存储空间。
2) 段 在绝大部分系统中，一个进程的虚地址空间至少要 被分成两部分或称两个段: 一个用于用户程序与数 据，称为用户空间；另一个用于操作系统，称为系 统空间。两者的隔离是静态的，也是比较简单的。 驻留在内存中的操作系统可以由所有进程共享。虽 然有些系统允许各进程共享一些物理页，但用户间 是彼此隔离的。最灵活的分段虚存方式是: 允许一 个进程拥有许多段，这些段中的任何一个都可以由 其他进程共享。
采用基于描述符的地址解释机制可以避免上述管理 上的困难。在这种方式下，每个进程都有一个“私 有的”地址描述符，进程对系统内存某页或某段的 访问模式都在该描述符中说明。可以有两类访问模 式集，一类用于在用户状态下运行的进程，一类用 于在系统模式下运行的进程。 在地址描述符中，W、R、X各占一比特，它们用 来指明是否允许进程对内存的某页或某段进行写、 读和运行的访问操作。由于在地址解释期间，地址 描述符同时也被系统调用检验，所以这种基于描述 符的内存访问控制方法，在进程转换、运行模式 （系统模式与用户模式）转换以及进程调出/调入 内存等过程中，不需要或仅需要很少的额外开销。
但是若对系统中的信息提供足够的保护，防止被未 授权用户的滥用或毁坏，只靠硬件不能提供充分的 保护手段，必须由操作系统的安全机制与适当的硬 件相结合才能提供强有力的保护。
3.2 标识与鉴别
3.2.1 基本概念
标识与鉴别是涉及系统和用户的一个过程。标识就 是系统要标识用户的身份，并为每个用户取一个系 统可以识别的内部名称——用户标识符。用户标识 符必须是惟一的且不能被伪造，防止一个用户冒充 另一个用户。将用户标识符与用户联系的过程称为 鉴别，鉴别过程主要用以识别用户的真实身份，鉴 别操作总是要求用户具有能够证明他的身份的特殊 信息，并且这个信息是秘密的或独一无二的，任何 其他用户都不能拥有它。
3.1.3 I/O保护
人们往往首先从系统的I/O部分寻找操作系统安全 方面的缺陷。绝大多数情况下，I/O是仅由操作系 统完成的一个特权操作，所有操作系统都对读写文 件操作提供一个相应的高层系统调用，在这些过程 中，用户不需要控制I/O操作的细节。 I/O介质输出访问控制最简单的方式是将设备看作 是一个客体，仿佛它们都处于安全边界外。由于所 有的I/O不是向设备写数据就是从设备接收数据， 所以一个进行I/O操作的进程必须受到对设备的读 写两种访问控制。这就意味着设备到介质间的路径 可以不受什么约束，而处理器到设备间的路径则需 要施以一定的读写访问控制。
直观和最简单的方法是，对于一个给定的段，为每 个进程分配一个相应的环界集，不同的进程对该段 的环界可能是不同的。这种方法不能解决在同一环 内，两个进程对共享段设立不同访问模式的问题。 为解决这个问题所采取的方法是： 将段的环界集 定义为系统属性，它只说明某环内的进程对该段具 有什么样的访问模式，即哪个环内的进程可以访问 该段以及可以进行何种模式的访问，而不考虑究竟 是哪个进程访问该段。所以对一个给定的段，不是 为每个进程都分配一个相应的环界集，而是为所有 进程都分配一个相同的环界集。同时，在段描述符 中再增加3个访问模式位W、R、X。访问模式位对 不同的进程是不同的。这时对一个给定段的访问
段描述符：
R1 R2 R3
图3-3 多域结构中的段描述符 我们称这3个环号为环界（ring bracket）。相应地， 这里R1，R2，R3分别表示对该段可以进行写、读、 运行操作的环界。 实际上如果某环内的某一进程对内存某段具有写操 作的特权，那就不必限制其对该段的读与运行操作 特权。此外如果进程对某段具有读操作的特权，那 当然允许其运行该段的内容。所以实际上总是可以 设定为 R1≤R2≤R3
图3-2 两域结构中的段描述符 如果要实现多级域，那就需要在每个段描述符中保 存一个分立的W、R、X比特集，集的大小将取决 于设立多少个等级。这在管理上是很笨拙的，但我 们可以根据等级原则简化段描述符以便于管理。在 描述符中，不用为每个环都保存相应的访问模式信 息。对于一个给定的内存段，仅需要3个区域（它 们表示3种访问模式），在这3个区域中只要保存具 有该访问模式的最大环号即可，如图3-3所示。
条件是： 仅当一个进程在环界集限定的环内运行 且相应的访问模式位是ON，才允许该进程对该段 进行相应的访问操作。每个进程的段描述表中的段 描述符都包含上述两类信息。环界集对所有进程都 是相同的，而对不同的进程可设置不同的访问模式 集。 在一个进程内往往会发生过程调用，通过这些调用， 该进程可以在几个环内往复转移。为安全起见，在 发生过程调用时，需要对过程进行检验。
用户鉴别是通过口令完成的，必须保证单个用户的 密码的私有性。标识与鉴别机制阻止非授权用户登 录系统，因此口令管理对保证系统安全操作是非常 重要的。另外还可以运用强认证方法使每一个可信 主体都有一个与其关联的惟一标识。这同样要求 TCB为所有活动用户、所有未禁止或禁止的用户实 体和账户维护、保护、显示状态信息。