CN101131725A - 一种文件访问控制方法 - Google Patents

Abstract

本发明公开了一种文件访问控制方法，包括以下步骤：A.程序p发出以模式m访问文件f的请求，文件访问监控模块审核程序p的访问权限，若属于静态授权集合或动态授权集合时，允许程序p访问文件f，否则，转步骤B；B.询问是否授权程序p以模式m访问文件f，如果用户同意授权，允许程序p访问文件f，否则，转步骤C；C.拒绝程序p以模式m访问文件f的请求。本发明方法中，任何程序均只能访问用户授权其访问的文件，这样大大减小了恶意程序的攻击范围，提高了文件系统的安全性。同时，任何未经授权的访问都是不允许的，这样恶意程序试图访问其它文件时会被当场捕获，有利于采取措施及时清除恶意程序，保护系统文件的安全。

Description

一种文件访问控制方法

技术领域

本发明涉及一种对程序的文件访问行为进行控制的方法。

背景技术

目前，控制程序的文件访问行为的方法主要有自主访问控制方法、强制访问控制方法和基于角色的访问控制方法。这三种方法均对程序的文件访问行为进行了控制，使得程序的访问权限与运行该程序的用户的访问权限一致。

显然，绝大多数程序执行过程中需要访问的文件集合远远小于用户能够访问的文件集合。因此，如果系统赋予程序的访问权限等于登录用户或者用户角色的访问权限，就违背了程序最小特权原则，即系统赋予程序的权限不是该程序为完成用户指定任务而需要的最小访问权限。这就导致了恶意程序一旦进入系统，就可以合法地滥用用户的全部权力，大肆窃取、破坏文件。

发明内容

为解决现有文件访问控制方法中自动赋予程序过大的文件访问权限的技术问题，本发明提供一种新的文件访问控制方法，使得程序只拥有为完成任务而需要的最小文件访问权限。

本发明解决上述技术问题的技术方案包括以下步骤：

A、程序p发出以模式m访问文件f的请求，文件访问监控模块审核程序p的访问权限，若属于静态授权集合或动态授权集合时，允许程序p访问文件f；否则，转步骤B；

B、询问是否授权程序p以模式m访问文f，如果用户同意授权，允许程序p访问文件f，否则，转步骤C；

C、拒绝程序p以模式m访问文件f的请求。

上述的文件访问控制方法中，所述模式m包括只读访问模式、只写访问模式、读写访问模式、运行模式、创建文件模式、创建目录模式、分类扫描模式、全扫描模式。

上述的文件访问控制方法中，所述步骤B中用户授权步骤如下：弹出一个对话框，询问用户是否同意授权，用户进行授权确认。

上述的文件访问控制方法中，用户用鼠标或键盘或手写笔进行授权确认或拒绝。

上述的文件访问控制方法中，所述C步骤如下：拒绝访问请求，并弹出一个信息框，提示有恶意程序存在。

上述的文件访问控制方法中，所述程序p发出的请求为读目录名称、属性信息或目录下的文件名称、属性信息，则允许该请求执行。

本发明的技术效果在于：1)本发明方法中，任何程序均只能访问用户授权其访问的文件，即程序只拥有为完成任务需要的最小的文件访问权限，相对整个文件系统，这只一个非常小的文件集合。如果当前运行程序中有恶意程序，那么它能够攻击的文件范围被限制在用户授权访问的文件集合，这样大大减小了恶意程序的攻击范围，提高了文件系统的安全性。2)本发明方法中，任何未经授权的访问都是不允许的，这样已知或未知的恶意程序试图访问其它文件时会被当场捕获，有利于采取措施及时清除恶意程序，保护系统文件的安全，并有效防止恶意程序的扩散。

下面结合附图和具体实施例对本发明作进一步的说明。

附图说明

图1为本发明实施的整体结构图。

图2为本发明中文件访问监控模块的位置示意图。

图3为本发明中的文件访问请求的处理流程图。

具体实施方式

下面描述本发明在Micorosoft Windows XP操作系统上的一种具体实施方式。

图1是本发明实施方法的整体结构图，包括有4个主要模块，图中给出了它们之间的关系。文件访问监控模块是实施文件访问控制的核心。桌面模块、文件管理模块、授权对话框都是可信的窗口程序，即它们处理的鼠标、键盘、手写笔等用户输入设备动作一定是用户产生的，它们与文件访问监控模块的通信是安全可靠的。除非特别说明，目录被当作文件看待。

用(p，f，m)表示用户授权了程序p以模式m访问文件f，I表示动态授权集合，I_s表示静态授权集合。本发明方法中动态授权是指如果用户授权程序p以模式m打开文件f，其有效时间为用户赋予权限开始到文件关闭为止，则I＝I∪{(p，f，m)}，称这类授权为动态授权。静态授权是指如果用户授权程序p以模式m打开文件f，其有效时间为用户赋予权限开始到用户取消授权为止，则I_s＝I_s∪{(p，f，m)}，称这类授权为静态授权。

参见图1，文件访问监控模块的功能是：

1)计算机系统启动时，读入静态授权信息。

2)接收用户的授权信息，授权信息来自桌面模块、文件管理模块和授权对话框。

3)存储、管理授权信息。

4)向文件管理模块传递静态授权信息。

5)截获所有的文件问请求，如果是获取目录信息或者目录下的文件名、属性信息，则允许该访问请求执行；否则，按以下规则处理：

a)如果用户进行过授权，则允许该访问请求执行；

b)否则，将该文件访问请求传递给授权对话框，用户操作授权对话框决定是否授予程序这种访问权限，决策结果将回传给文件访问监控模块，文件访问监控模块据此允许或拒绝该访问请求。

参见图1，桌面模块为应用层的窗口程序，其功能是：

1)获取用户的授权信息。用户成功登录windows操作系统后，屏幕显示的是一个桌面窗口，上面是各种文件、程序的图标，用户双击图标后能够打开对应的文件，或者运行对应的程序。桌面模块就是这样一个桌面窗口，并且替代了Windows自带的桌面窗口。当用户用鼠标双击一个图标、用鼠标或者键盘选中图标后敲击回车键、用鼠标右键点击图标出现弹出菜单并选择打开文件，桌面模块认为是用户进行了授权：

a)如果图标是可执行程序，则授权操作系统运行该文件代表的程序。

b)如果图标是数据文件，则授权该文件当前默认的关联程序打开该文件，访问模式与文件当前的读写属性一致。

2)将授权信息传递给文件访问监控模块。

参见图1，文件管理模块为应用层的窗口程序，功能是：

1)提供打开文件、运行程序，创建、删除、拷贝、移动文件(或目录)等功能。当用户进行了这些功能操作时，文件管理模块认为是用户进行了相应的授权。Windows自带了一个资源管理器，提供了打开文件、运行程序，创建、删除、拷贝、移动文件(或目录)等功能。文件管理模块就是这样一个资源管理器，它替代了原有的资源管理器。

2)进行静态授权。

3)当用户用鼠标双击一个图标、用鼠标或者键盘选中图标后敲击回车键、用鼠标右键点击图标出现弹出菜单并选择打开文件，桌面模块认为是用户进行了授权。

a)如果图标是可执行程序，则授权操作系统运行该文件代表的程序。

b)如果图标是数据文件，则授权与该文件当前默认关联的程序打开该文件，访问模式与文件当前的读写属性一致。

4)将授权信息传递给文件访问监控模块。

5)从文件访问监控模块获取当前的授权信息。

6)取消授权。

参见图1，授权对话框为应用层的对话框程序，功能是：

1)当程序试图打开一个未经用户授权访问的文件时，文件访问监控模块就弹出授权对话框，询问用户是否进行授权。

2)如果用户授权了，授权对话框就把相关的授权信息发送给文件访问监控模块。

参见图2，文件访问监控模块在内核态下实现，是文件系统驱动的一部分，位于I/O管理器之下，当前文件系统驱动层之上，是文件系统驱动层次中的最上层。当前文件系统驱动层是指系统中已经存在的文件系统驱动组件。文件访问监控模块截获所有的文件访问请求。

应用程序获得文件访问权限有三种途径，途径1是通过桌面模块，途径2是通过文件管理模块，途径3是其它情形。

参见图3，经由途径1的任意文件访问请求，其处理过程包括如下步骤：

步骤101：用户打开桌面模块界面上文件f，也是用户的动态授权过程。其授权信息(P，F，M)按如下方式构造：

若f为数据文件，则F＝f，文件f的访问属性为m，则M＝m。

1)用户是以双击文件f的图标或者选择文件f图标后敲击回车键的方式打开，桌面模块通过分析文件f的扩展名，获得系统打开这类文件的默认程序P₁，则P＝P₁；

2)用户是通过选择具体的应用程序P₂来打开文件f，则P＝P₂；

若f为可执行文件，则F＝f，桌面模块认为打开可执行文件的程序为操作系统，于是P＝OS，访问可执行文件模式为运行模式，则m＝运行模式。

步骤102：桌面模块将动态授权信息(P，F，M)发送至文件访问监控模块，方法可以是IO通信，也可以是共享内存。

步骤103：文件访问监控模块将(P，F，M)添加到动态授权集合I中。

步骤104：由于I发生了变化，文件访问监控模块将变化了的动态授权集合I通知文件管理模块。

余下的步骤与途径3的请求处理一致。

参见图3，经由途径2的任意文件访问请求，其处理过程包括如下步骤：

步骤201：对于动态授权过程，与步骤101类似，构造动态授权信息(P，F，M)。对于静态授权过程，用户选择应用程序p，选择授权应用程序p访问的文件f，选择授权p访问f的模式m，并令P＝p，F＝f，M＝m，进而构造静态授权信息(P，F，M)。

步骤202：文件管理模块将授权信息(P，F，M)发送至文件访问监控模块，方法可以是IO通信，也可以是共享内存。

步骤203：当(P，F，M)为静态授权信息时，文件访问监控模块将(P，F，M)添加到静态授权集合I_s中，并写入储存I_s的磁盘文件中；当(P，F，M)为动态授权信息时，文件访问监控模块将(P，F，M)添加到动态授权集合I中。

步骤204：由于I或I_s发生了变化，文件访问监控模块将变化了的动态授权集合I与静态授权集合I_s通知文件管理模块。

步骤205：用户通过取消授权对话框，指定取消授权信息项(P，F，M)。

步骤206：与步骤202一致。

步骤207：当(P，F，M)为静态授权项时，文件访问监控模块从静态授权集合I_s中减去(P，F，M)，并写入储存Is的磁盘文件中；当(P，F，M)为动态授权项时，文件访问监控模块从动态授权集合I中减去(P，F，M)。

步骤208：与步骤202一致。

余下的步骤与途径3的请求处理一致。

参见图3，经由途径3的任意文件访问请求，其处理过程包括以下步骤：

步骤300：文件访问监控模块读入存储静态授权信息的文件内容，并将之存于内核空间的静态授权集合I_s中；构建动态授权集合I，并令I为空。

其中，存储静态授权信息的文件只能由文件访问监控模块读写，I_s及I均在系统内核空间中。

步骤301：当应用程序p发出以模式m访问文件f的请求，I/O管理器构造相应的I/O请求包，由于是文件访问请求，I/O管理器将I/O请求包交给文件系统驱动程序处理。

步骤302：文件访问监控模块截获I/O管理器所发送的I/O请求包，并自然挂起发出请求的应用程序p，文件访问监控模块接着解析该I/O请求包，从I/O请求包参数中得到发出该请求包的进程p，进程p所请求访问的文件f及请求的访问模式m，并构造出文件访问请求op(p，f，m)。

步骤303：文件访问监控模块判断该op(p，f，m)是否是目录类请求，即该请求是否是获取目录信息或者目录下的文件名、属性信息，这可以通过分析I/O请求包类型及其中的相关参数而知道。若是目录类请求，则文件访问监控模块将I/O请求包继续往下发送，允许应用程序p继续运行。否则转步骤304。

步骤304：当不是目录类请求时，文件访问监控模块搜索存储于I及I_s中的授权信息项，记读出的授权信息项为(p′，f′，m′)，按准则1判断op(p，f，m)与(p′，f′，m′)之间的匹配关系，若存在匹配项，则说明进程p的本次访问请求已经获得用户的授权，进程p可以继续执行；否则转步骤305。

准则1文件访问请求op(p，f，m)与授权信息为(p′，f′，m′)匹配的充要条件是同时满足如下3个条件：

1)p＝p’

2)f＝f’

3)m＝m’或者m’包含模式m。例如，模式“读”包含在模式“读写”中。

步骤305：与步骤102类似。文件访问监控模块将待授权访问请求op(p，f，m)发送至授权对话框。

步骤306：用户(操作者)判断op(p，f，m)是否是合法请求，并决策是否授权程序p以模式m访问文件f。

步骤307：授权对话框将用户对本次访问请求的决策信息发送至文件访问监控模块。

步骤308：若决策信息表明用户同意本次访问，文件访问监控模块将授权信息(p，f，m)存储于动态授权集合I中，赋予进程p以模式m访问文件f的权限，将本次I/O请求包交文件系统其他层次处理，应用程序p继续运行。

步骤309：由于I发生了变化，文件访问监控模块将变化了的动态授权集合I通知文件管理模块。

步骤310：若决策信息表明用户不同意本次访问，则说明本次文件访问请求不是用户完成工作所必需的，文件访问监控模块拒绝本次访问请求。并且本次访问极可能是恶意进程发出的请求，文件访问监控模块警示用户系统可能存在恶意进程发出非法请求。

总之，以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (6)

1.一种文件访问控制方法，包括以下步骤：

A、程序p发出以模式m访问文件f的请求，文件访问监控模块审核程序p的访问权限，若属于静态授权集合或动态授权集合时，允许程序p访问文件f，否则，转步骤B；

B、询问是否授权程序p以模式m访问文f，如果用户同意授权，允许程序p访问文件f，否则，转步骤C；

C、拒绝程序p以模式m访问文件f的请求。

2.根据权利要求1所述的文件访问控制方法，模式m包括只读访问模式、只写访问模式、读写访问模式、运行模式、创建文件模式、创建目录模式、分类扫描模式、全扫描模式。

3.根据权利要求1所述的文件访问控制方法，所述步骤B中用户授权步骤如下：弹出一个对话框，询问用户是否同意授权，用户进行授权确认。

4.根据权利要求3所述的文件访问控制方法，用户用鼠标或键盘或手写笔进行授权确认或拒绝。

5.根据权利要求1所述的文件访问控制方法，所述C步骤如下：拒绝访问请求，并弹出一个信息框，提示有恶意程序存在。

6.根据权利要求1所述的文件访问控制方法，所述程序p发出的请求为读目录名称、属性信息或目录下的文件名称、属性信息，则允许该请求执行。

Images