CN103379089B - 基于安全域隔离的访问控制方法及其系统 - Google Patents

Abstract

本发明涉及一种基于安全域隔离的访问控制方法及其系统，该方法包括以下步骤：1)采用支持分区化的嵌入式操作系统平台将整体任务进行多种级别的安全域划分；2)根据不同的安全访问控制策略来实现安全域的隔离访问控制。本发明在分区化操作系统环境下提出了安全域隔离机制，针对细粒度的多级安全访问控制问题，提出了一种基于安全域的访问控制方法及其系统，能够基于安全域隔离机制构建多重独立安全体系，进一步增强系统的安全性。

Description

基于安全域隔离的访问控制方法及其系统

技术领域

本发明属于计算机控制技术领域，涉及一种访问控制方法，尤其涉及一种基于安全域隔离的访问控制方法及其系统。

背景技术

由于信息化在未来工业、医疗和战争中的作用越来越重要，现代综合化电子系统需要参与构建空、天、地一体化的信息共享平台，这必将促使新一代综合化电子系统的诞生。该系统必须提供高度灵活的控制数据和媒体数据的通信能力，这些能力的提升与功能的增强建立在大量软件共享硬件资源的基础上，它们将对不同来源、不同模式、不同媒质、不同时间和不同表示形式的多种信息进行综合提取，必然要求把不同安全级别的应用集成到一个综合的信息处理平台上，从而安全问题成为新一代综合化电子系统面临的最重要的问题。

发明内容

为了解决背景技术中存在的上述技术问题，本发明在分区化操作系统环境下提出了安全域隔离机制，针对细粒度的多级安全访问控制问题，提出了一种基于安全域的访问控制方法及其系统，能够基于安全域隔离机制构建多重独立安全体系，进一步增强系统的安全性。

本发明的技术解决方案是：本发明提供了一种基于安全域隔离的访问控制方法，其特殊之处在于：所述基于安全域隔离的访问控制方法包括以下步骤：

1)采用支持分区化的嵌入式操作系统平台将整体任务进行多种级别的安全域划分；

2)根据不同的安全访问控制策略来实现安全域的隔离访问控制。

上述步骤1)将安全域划分的依据是：根据任务的密级划分或安全关键类任务的安全性划分。

上述任务划分是根据任务的密级划分时，所述任务被分为非密安全域、秘密安全域、机密安全域以及绝密安全域。

上述步骤1)中的安全域划分的结果是：同一分区相同安全域、同一分区不同安全域、不同分区相同安全域以及不同分区不同安全域；所述分区包括MILS消息路由以及GUARD两个安全中间件；所述MILS消息路由是为分区间通信提供路由，同时支持数据隔离以及信息流控制；所述GUARD中植入BLP授权模型，包含系统的强制访问控制策略。

上述步骤2)中的安全访问控制策略是：相同安全域之间的访问通信是通过MILS消息路由进行的；不同安全域之间的访问通信是通过访问监控器的安全访问策略进行仲裁进行。

上述安全域划分的结果是同一分区相同安全域时，所述步骤2)的具体实现方式是：采用分区内任务通信机制实现消息交互，需要分区内安全监控机制进行访问控制。

上述安全域划分的结果是同一分区不同安全域时，所述步骤2)的具体实现方式是：MILS消息路由提取通信消息的路由信息并判别出属于不同安全域时，将通信消息传给相应的GUARD，GUARD依照访问控制策略进行判断分析，是否禁止或允许该通信的进行，同时将结果反馈给MILS消息路由；如果允许该通信进行，则MILS消息路由将把消息传输至目的地；如果禁止该通信进行，则丢弃需要发送的消息。

上述安全域划分的结果是不同分区相同安全域时，所述步骤2)的具体实现方式是：需要发送的消息通过进行分区间转发，其中MILS消息路由提取消息的路由信息，当判别出属于同一安全域时就直接将消息转发。

上述安全域划分的结果是不同分区不同安全域时，所述步骤2)的具体实现方式是：需要发送的消息通过进行分区间转发，其中MILS消息路由提取消息的路由信息并判别出属于不同安全域时，将需要发送的消息传给相应的GUARD，GUARD依照访问控制策略进行判断分析，是否禁止或允许该通信的进行，同时将结果反馈给MILS消息路由；如果允许该通信进行，MILS消息路由将把需要通信的消息传输至目的地；如果禁止该通信进行，则丢弃需要发送的消息。

一种基于安全域隔离的访问控制系统，其特殊之处在于：所述基于安全域隔离的访问控制系统包括：

应用通信接口；

策略服务器：负责加载和更新安全策略进行访问仲裁或决策，负责维护安全标识符/安全属性表，给新建的主客体分配安全标识符，管理可重用策略缓存；

安全策略缓存：策略缓存作为一个新的操作系统部件，用于改善安全核的性能，增加决策缓冲区来加快决策速度，减少系统开销；

访问监控器：访问监控器监控所有与安全相关的访问，当拦截到访问请求，转到安全判定部分；

分区间通信系统：负责分区间通信管理，信道资源分配和信道隔离，检测隐蔽信道的存在，对信道进行安全保护；

策略配置工具：负责为安全管理员提供安全策略的配置接口和操作界面，对系统安全审计信息进行管理和维护；

安全审计模块；

当应用任务访问分区内资源时，首先通过应用通信接口发起通信请求，所述应用通信接口将应用请求发转发给分区访问监控器；当应用任务访问分区外系统资源时，首先通过系统调用应用通信接口向操作系统发起请求，系统调用将该请求转入内核的分区通信接口，该分区通信接口将调用内核访问监控器进行访问控制；

当访问监控器接收到应用请求时，需要根据应用请求的标识去查询安全策略缓存；如果安全策略缓存命中查询条目，则根据策略规则判别请求是否被允许；如果策略缓存中无相应的策略条目，则需要将该请求转向策略服务器进行策略查询；

当安全策略缓存和策略服务器进行安全策略匹配时，要根据应用请求中携带的请求者标识和被访问者标识进行策略匹配；如果在安全策略缓存中查询到相应的策略，则根据策略规则对请求进行授权，允许访问则通过该请求，否则就拒绝该请求；如果在安全策略缓存中没有查找到相应策略，则需要在策略服务器中查找，当在策略服务器中查找到对应的安全策略后，就按照策略规则进行授权，当在策略服务器中也没有查找到对应的策略时，则按照安全策略的默认规则拒绝该请求；

当访问监控器获得应用请求的访问控制结果后，需要将该请求结果写入系统的安全审计模块。

本发明的优点是：

本发明提供了一种基于安全域隔离的访问控制方法，采用支持分区化的嵌入式操作系统平台，将各类任务进行多种级别的安全域划分，用户可以根据安全关键类任务的安全性等级进行细粒度划分，进而扩展安全访问控制策略来实现安全域的隔离机制。安全域间任务的相互访问需要经过访问监控器进行仲裁，实现不同安全级别的任务交互的访问控制。本发明针对广泛应用于综合化电子系统的安全嵌入式系统提出了基于安全域隔离的访问控制模型，不仅能够保证各分区的隔离安全性、信息流的可控性，还能基于安全域隔离机制构建多重独立安全体系，进一步增强系统的安全性。

附图说明

图1是安全域隔离机制；

图2是安全域内访问控制模型；

图3是安全域间访问控制模型；

图4是支持多级安全的访问控制系统架构。

具体实施方式

本发明提供了一种基于安全域隔离的访问控制模型，采用支持分区化的嵌入式操作系统平台，将各类任务进行多种级别的安全域划分。用户可以根据安全关键类任务的安全性等级进行细粒度划分，进而扩展安全访问控制策略来实现安全域的隔离机制。安全域间任务的相互访问需要经过访问监控器进行仲裁，实现不同安全级别的任务交互的访问控制。

本发明采用支持分区化的嵌入式操作系统平台，将各类任务进行多种级别的安全域划分，用户可以根据安全关键类任务的安全性等级进行细粒度划分，进而扩展安全访问控制策略来实现安全域的隔离机制。安全域间任务的相互访问需要经过访问监控器进行仲裁，实现不同安全级别的任务交互的访问控制。

1、分区化的安全域隔离

采用多级安全架构的嵌入式操作系统，将各类任务进行多种级别的安全域划分。多级安全的域划分规则是可以根据用户的安全需求进行配置和修改，用户可以根据任务的密级划分为非密、秘密、机密和绝密，也可以根据安全关键类任务的安全性等级进行细粒度划分，进而扩展安全访问控制策略来实现安全域的隔离机制。

本发明采用任务密级原则进行任务的安全域划分，参见图1。系统共有12个任务分别运行在A、B、C、D四个分区中，其中任务1、4、7、10是秘密级任务，任务2、3、5、9、11是机密级任务，任务6、8、12是绝密级任务。当系统按照安全等级将任务划分成多个安全域后，安全域之间的访问通信必须通过系统的安全访问策略进行仲裁，而在安全域内的任务之间，则可以通过消息路由后进行相互通信。

采用安全域隔离机制，可以将任务的安全性约束在一定的范围内，当其出现故障或恶意行为时，只能在安全域内产生影响。安全域可以应用于任务的冗余容错机制，当多个备份的任务运行在不同的分区中时，其安全级别是相同，当一个任务实例发生故障时，还可以在安全域内进行动态迁移实现系统功能的动态重构。

2安全域的安全访问控制

在多级安全的嵌入式操作系统体系架构中利用安全中间件层的透明性，将分区中引入MILS消息路由(MMR：MILSMessageRouter)和GUARD两个安全中间件，构建安全访问控制模型。MMR的基本功能是为分区间通信提供路由，同时支持数据隔离，信息流控制等功能。GUARD中植入BLP授权模型，包含系统的强制访问控制策略。

结合本发明设计的安全域隔离机制，任务1、2运行在分区A中，任务3、4运行在分区B中，其中任务1、4属于同一安全域，而任务2、3属于另一安全域。

(1)安全域内任务间(例如任务1和任务4之间，任务2和任务3之间)通信访问控制模型。当属于同一安全域的分区B中的任务4向分区A中任务1请求通信时，消息通过进行分区间转发，其中MMR提取消息的路由信息，当判别出属于同一安全域时就直接将消息转发给分区A中的任务1，如图2所示。

(2)安全域间(例如任务1和认为3之间)任务通信的访问控制模型。当属于不同安全域的分区B中的任务3向分区A中任务1请求通信时，消息通过进行分区间转发，其中MMR提取消息的路由信息并判别出属于不同安全域时，将消息传给相应的Guard1，Guard1依照访问控制策略进行判断分析，禁止或允许该通信的进行，同时将结果反馈给MMR。如果允许，MMR将把消息传输至目的地，否则将丢弃消息，如图3所示。

(3)分区内安全域内通信。如果属于同一安全域的两个任务运行在同一分区内，则可以采用分区内任务通信机制实现消息交互，如消息队列、白板等，但仍然需要分区内安全监控机制进行访问控制。

(4)分区内安全域间(例如任务1和任务2之间)通信。如果属于不同安全域的两个任务运行在同一分区内，则仍然需要按照步骤(2)中的机制进行安全访问控制。

参见图4，本发明提出一种安全访问控制体系结构，其基本思想是：通过修改操作系统所有安全相关应用程序接口，使得所有对应用程序接口的调用能够被拦截；然后首先在决策缓存中查询，如果请求的操作被允许则允许调用内核；如果没有找到则把请求转交到策略服务器进行判定；策略服务器用策略数据库中的策略数据元素和所请求的调用，通过安全策略进行判定；如果判定请求允许则返回正确，同时将判断的结果存入策略缓存中，便于下一次直接判定；如果判定请求不允许则对该应用程序接口的调用请求被拒绝；每次判定完后将结果交给审计子系统，用于以后查询。

1)系统安全核体系结构

该结构中实现安全核功能的访问控制机制的主要是以下5个组件(参见图4)：

(1)策略服务器：负责加载和更新安全策略进行访问仲裁(或决策)，负责维护安全标识符/安全属性表，给新建的主客体分配安全标识符，管理可重用策略缓存。

(2)策略缓存：策略缓存作为一个新的操作系统部件，用于改善安全核的性能。增加决策缓冲区来加快决策速度，减少系统开销。

(3)访问监控器：访问监控器监控所有与安全相关的访问。当拦截到访问请求，转到安全判定部分。

(4)分区间通信系统：负责分区间通信管理，信道资源分配和信道隔离，检测隐蔽信道的存在，对信道进行安全保护。

(5)策略配置工具：负责为安全管理员提供安全策略的配置接口和操作界面，对系统安全审计信息进行管理和维护。

2)安全访问控制流程

(1)应用请求调用。当应用任务访问分区内资源时，首先通过应用通信接口发起请求，该接口将应用请求发转发给分区访问监控器；当应用任务访问分区外系统资源时，首先通过系统调用接口向操作系统发起请求，系统调用将该请求转入内核的分区通信接口，该接口将调用内核访问监控器进行访问控制。

(2)访问监控器响应请求。当访问监控器接收到应用请求时，需要根据应用请求的标识去查询安全策略缓存；如果安全策略缓存命中查询条目，则根据策略规则判别请求是否被允许；如果策略缓存中无相应的策略条目，则需要将该请求转向策略服务器进行策略查询；

(3)安全策略匹配；当策略缓存和策略服务器进行安全策略匹配时，要根据应用请求中携带的请求者标识和被访问者标识进行策略匹配；如果在策略缓存中查询到相应的策略，则根据策略规则对请求进行授权，允许访问则通过该请求，否则就拒绝该请求；如果在策略缓存中没有查找到相应策略，则需要在策略服务器中查找，当在策略服务器中查找到对应的安全策略后，就按照策略规则进行授权，当在策略服务器中也没有查找到对应的策略时，则按照安全策略的默认规则拒绝该请求。

(4)安全审计记录。当访问监控器获得应用请求的访问控制结果后，需要将该请求结果写入系统的安全审计模块。

Claims (9)

1.一种基于安全域隔离的访问控制方法，其特征在于：所述基于安全域隔离的访问控制方法包括以下步骤：

1)采用支持分区化的嵌入式操作系统平台将整体任务进行多种级别的安全域划分；

2)根据不同的安全访问控制策略来实现安全域的隔离访问控制；

所述步骤1)中的安全域划分的结果是：同一分区相同安全域、同一分区不同安全域、不同分区相同安全域以及不同分区不同安全域；所述分区包括MILS消息路由以及GUARD两个安全中间件；所述MILS消息路由是为分区间通信提供路由，同时支持数据隔离以及信息流控制；所述GUARD中植入BLP授权模型，包含系统的强制访问控制策略。

2.根据权利要求1所述的基于安全域隔离的访问控制方法，其特征在于：所述步骤1)将安全域划分的依据是：根据任务的密级划分或安全关键类任务的安全性划分。

3.根据权利要求2所述的基于安全域隔离的访问控制方法，其特征在于：所述任务划分是根据任务的密级划分时，所述任务被分为非密安全域、秘密安全域、机密安全域以及绝密安全域。

4.根据权利要求1-3中任一所述的基于安全域隔离的访问控制方法，其特征在于：所述步骤2)中的安全访问控制策略是：相同安全域之间的访问通信是通过MILS消息路由进行的；不同安全域之间的访问通信是通过访问监控器的安全访问策略进行仲裁进行。

5.根据权利要求4所述的基于安全域隔离的访问控制方法，其特征在于：所述安全域划分的结果是同一分区相同安全域时，所述步骤2)的具体实现方式是：采用分区内任务通信机制实现消息交互，需要分区内安全监控机制进行访问控制。

6.根据权利要求4所述的基于安全域隔离的访问控制方法，其特征在于：所述安全域划分的结果是同一分区不同安全域时，所述步骤2)的具体实现方式是：MILS消息路由提取通信消息的路由信息并判别出属于不同安全域时，将通信消息传给相应的GUARD，GUARD依照访问控制策略进行判断分析，是否禁止或允许该通信的进行，同时将结果反馈给MILS消息路由；如果允许该通信进行，则MILS消息路由将把消息传输至目的地；如果禁止该通信进行，则丢弃需要发送的消息。

7.根据权利要求4所述的基于安全域隔离的访问控制方法，其特征在于：所述安全域划分的结果是不同分区相同安全域时，所述步骤2)的具体实现方式是：需要发送的消息通过进行分区间转发，其中MILS消息路由提取消息的路由信息，当判别出属于同一安全域时就直接将消息转发。

8.根据权利要求4所述的基于安全域隔离的访问控制方法，其特征在于：所述安全域划分的结果是不同分区不同安全域时，所述步骤2)的具体实现方式是：需要发送的消息通过进行分区间转发，其中MILS消息路由提取消息的路由信息并判别出属于不同安全域时，将需要发送的消息传给相应的GUARD，GUARD依照访问控制策略进行判断分析，是否禁止或允许该通信的进行，同时将结果反馈给MILS消息路由；如果允许该通信进行，MILS消息路由将把需要通信的消息传输至目的地；如果禁止该通信进行，则丢弃需要发送的消息。

9.一种用于实现权利要求1-8任一权利要求所述的基于安全域隔离的访问控制方法的控制系统，其特征在于：所述基于安全域隔离的访问控制系统包括：

应用通信接口；

策略服务器：负责加载和更新安全策略进行访问仲裁或决策，负责维护安全标识符/安全属性表，给新建的主客体分配安全标识符，管理可重用策略缓存；

安全策略缓存：策略缓存作为一个新的操作系统部件，用于改善安全核的性能，增加决策缓冲区来加快决策速度，减少系统开销；

访问监控器：访问监控器监控所有与安全相关的访问，当拦截到访问请求，转到安全判定部分；

分区间通信系统：负责分区间通信管理，信道资源分配和信道隔离，检测隐蔽信道的存在，对信道进行安全保护；

策略配置工具：负责为安全管理员提供安全策略的配置接口和操作界面，对系统安全审计信息进行管理和维护；

安全审计模块；

当应用任务访问分区内资源时，首先通过应用通信接口发起通信请求，所述应用通信接口将应用请求发转发给分区访问监控器；当应用任务访问分区外系统资源时，首先通过系统调用应用通信接口向操作系统发起请求，系统调用将该请求转入内核的分区通信接口，该分区通信接口将调用内核访问监控器进行访问控制；

当访问监控器接收到应用请求时，需要根据应用请求的标识去查询安全策略缓存；如果安全策略缓存命中查询条目，则根据策略规则判别请求是否被允许；如果策略缓存中无相应的策略条目，则需要将该请求转向策略服务器进行策略查询；

当安全策略缓存和策略服务器进行安全策略匹配时，要根据应用请求中携带的请求者标识和被访问者标识进行策略匹配；如果在安全策略缓存中查询到相应的策略，则根据策略规则对请求进行授权，允许访问则通过该请求，否则就拒绝该请求；如果在安全策略缓存中没有查找到相应策略，则需要在策略服务器中查找，当在策略服务器中查找到对应的安全策略后，就按照策略规则进行授权，当在策略服务器中也没有查找到对应的策略时，则按照安全策略的默认规则拒绝该请求；

当访问监控器获得应用请求的访问控制结果后，需要将该请求结果写入系统的安全审计模块。