計算機操作系統（第3版）課件 第14章 保護

第14章保護保護是指一種控制程序、進程或用戶對計算機系統資源的訪問的機制。安全是對系統完整性和系統數據安全的可信度的衡量。第14章保護本章目標討論現代計算機系統中保護的目的與原則解釋保護域如何與訪問矩陣結合以用于明確進程可以訪問的資源檢測基于權限的保護系統和基于語言的保護系統14.1保護目標保護最初是多道程序設計的附屬產物，現在演化為提高所有使用共享資源的復雜系統的可靠性。提供保護的理由防止用戶有意或惡意地違反訪問約束確保活動的執行組件以與規定的策略一致的方式使用系統資源保護在計算機系統中扮演的角色：為實施資源使用的控制策略提供一種機制。策略和機制不同。機制決定怎樣做，策略決定做什么。14.2保護原則指導原則–最小特權原則程序、用戶和系統應該給予剛夠完成他們任務的特權。14.3保護域一個計算機系統是進程和對象的集合，對象分為硬件對象和軟件對象。每個對象都有一個唯一的名字。用戶只能通過定義好的、有意義的操作來訪問對象。可以執行的操作取決于對象。進程可以訪問那些已經獲得授權的資源。而且，在任何時候只能訪問完成現階段任務所需要的資源。14.3.1域結構一個進程只在一個保護域內操作。每個域定義了一個集合。集合的元素是對象和運用于集合中每一個對象上的操作的類型。在一個對象上執行一個操作的權限是一種訪問權限。一個域是一個訪問權限的集合。每個訪問權限是一個有序對<對象名，權限集>域之間允許存在交集；它們可以共享訪問權限。14.3.1域結構Domain=setofaccess-rights

一個有三個保護域的系統14.3.1域結構一個域和一個進程之間的關聯可以是靜態的，也可以是動態的。如果是靜態的，必須保證存在一個能改變域內容的機制。如果是動態的，則必須提供一種允許進程在域之間切換的機制。14.3.1域結構一個域可以通過以下幾種不同的途徑來實現：每個用戶是一個域，這種情形下，可以訪問的對象集取決于用戶的身份。域切換動作在更換用戶時發生每個進程是一個域，對象集的訪問取決于進程的身份。一個進程發送消息給另外一個進程并等待回復時，就會發生域切換每個過程是一個域。可以訪問的對象集對應這個過程中所定義的局部變量。過程調用時，發生域切換動作。14.3.2實例：UNIXSystemconsistsof2domains:UserSupervisorUNIXDomain=user-idDomainswitchaccomplishedviafilesystem.Eachfilehasassociatedwithitadomainbit(setuidbit).Whenfileisexecutedandsetuid=on,thenuser-idissettoownerofthefilebeingexecuted.Whenexecutioncompletesuser-idisreset.14.3.3實例：MULTICSLetDiandDj

beanytwodomainrings.Ifj<i

Di

Dj14.4訪問矩陣可以將保護模型抽象為一個矩陣，稱之為訪問矩陣。矩陣的行代表域，矩陣的列代表對象。矩陣的每個條目是一個訪問集合。圖14.3訪問矩陣14.4訪問矩陣訪問矩陣策略提供了一個指定多樣化策略的機制。IfaprocessinDomainDi

triestodo“op”onobjectOj,then“op”mustbeintheaccessmatrix.Canbeexpandedtodynamicprotection.Operationstoadd,deleteaccessrights.Specialaccessrights:ownerofOicopyopfromOitoOjcontrol–DicanmodifyDjaccessrightstransfer–switchfromdomainDitoDj14.4訪問矩陣Accessmatrixdesignseparatesmechanismfrompolicy.MechanismOperatingsystemprovidesaccess-matrix+rules.Ifensuresthatthematrixisonlymanipulatedbyauthorizedagentsandthatrulesarestrictlyenforced.PolicyUserdictatespolicy.Whocanaccesswhatobjectandinwhatmode.14.4訪問矩陣圖14.4將域作為對象的圖14.3的訪問矩陣14.4訪問矩陣要為訪問矩陣的條目內容提供受控更改還需要三個額外的操作：復制、所有者、控制。復制有兩種變形：將一個權限從access(i,j)復制到access(k,j)，然后將這個權限從access(i,j)中刪除。是遷移。復制權限的傳播是受限的。一個系統可能只會選擇一種復制權限的方法，也可能同時提供三種：復制、遷移、受限的復制。14.4訪問矩陣圖14.5帶復制權限的訪問矩陣14.4訪問矩陣所有者權限：允許添加新的權限或刪除已有的權限。14.4訪問矩陣有了復制和所有者權限后，進程就可以在一個列中修改條目。此外，還需要一個允許在行中修改條目的機制。控制權限只適用于域對象。如果access(i,j)包含控制權限，那么在域Di中執行的進程可以從行j中刪除任意一個訪問權限。14.4訪問矩陣14.5訪問矩陣的實現訪問矩陣是一個稀疏矩陣，大多數條目是空的。14.5.1全局表全局表：這個表是一個有序三元關系<域，對象，權限集合>的集合。缺點是開銷大。14.5.2對象訪問列表訪問矩陣中的每個列都可以被實現成一個對象的訪問列表Eachcolumn=Access-controllistforoneobject

Defineswhocanperformwhatoperation.

Domain1=Read,Write

Domain2=Read

Domain3=Read

14.5.3域的權限列表域的權限列表由對象以及允許作用于這些對象上的操作組成。EachRow=CapabilityList(likeakey)

Foreeachdomain,whatoperationsallowedonwhatobjects.Object1–ReadObject4–Read,Write,ExecuteObject5–Read,Write,Delete,Copy14.5.4鎖-鑰匙機制鎖-鑰匙機制是訪問列表和權限列表之間的一個折中。每個對象都有一個由具有唯一性的位模式組成的列表，稱為鎖。每個域都有一個由具有唯一性的位模式組成的列表，稱為鑰匙。當域擁有一把打開那個對象的某把鎖地鑰匙時，在該域執行的進程才可以訪問相應的對象。14.5.5比較使用全局表簡單，但表可能太大。訪問列表直接和用戶需求掛鉤。然而一個特定域的訪問權限信息不是局部的，因此判定每個域的訪問權限集合非常困難。權限列表不直接和用戶掛鉤。要訪問的進程必須為訪問準備一個權限，撤回權限的操作可能會效率很低。鎖鑰機制是前兩種的折中。14.6訪問控制保護可以應用到非文件資源上。Solaris10提出了基于角色的控制實現最小特權特權是執行系統調用的權利或在一個系統調用中使用選項；特權能被賦予給進程；用戶被賦予角色，授權訪問特權和程序。14.6訪問控制圖14.8Solaris10系統中基于角色的訪問控制14.7訪問權限的撤回AccessList–Deleteaccessrightsfromaccesslist.SimpleImmediateCapabilityList–Schemerequiredtolocatecapabilityinthesystembeforecapabilitycanberevoked.ReacquisitionBack-pointersIndirectionKeys14.8面向權限的系統HydraFixedsetofaccessrightsknowntoandinterpretedbythesystem.Interpretationofuser-definedrightsperformedsolelybyuser'sprogram;systemprovidesaccessprotectionforuseoftheserights.CambridgeCAPSystemDatacapability-providesstandardread,write,executeofindividualstoragesegmentsassociatedwithobject.Softwarecapability-interpretationlefttothesubsystem,throughitsprotectedprocedures.14.9基于語言的保護Specificationofprotectioninaprogramminglanguageallowsthehigh-leveldescriptionofpoliciesfortheallocationanduseofresources.Languageimplementationcanprovidesoftwareforprotectionenforcementwhenautomatichardware-supportedcheckingisunavailable.Interpretprotectionspecificationstogeneratecallsonwhateverprotectionsystemisprovidedbythehardwareandtheoperatingsystem.ProtectioninJava2ProtectionishandledbytheJavaVirtualMachine(JVM)AclassisassignedaprotectiondomainwhenitisloadedbytheJVM.Theprotect