CN102270287A - 一种提供主动安全服务的可信软件基 - Google Patents

Abstract

一种提供主动安全服务的可信软件基，包括可信密码模块和操作系统内核；在操作系统内核设有内核级可信密码模块驱动、内核级可信软件栈、内核级安全服务模块；内核级安全服务模块内设有安全管理器以及安全策略服务器；可信密码模块提供加密运算、杂凑运算的硬件引擎，对可信BIOS进行完整性验证；可信BIOS用于对PC硬件设备、MBR进行完整性验证；MBR用于引导OS Loader，并对其进行完整性验证。内核级安全服务模块在操作系统内核层关键安全控制点截获安全相关信息，进行访问控制和最小特权控制；有效阻止非授权操作、恶意程序对应用代码和配置的非授权修改、应用资源的秘密泄露，保证了应用环境的保密性和完整性。

Description

一种提供主动安全服务的可信软件基

技术领域

本发明涉及信息安全领域，尤其涉及一种基于可信密码模块在操作系统内核层实现的提供主动安全服务的可信软件基。

技术背景

现有为应用提供安全服务的安全防护系统基于个人计算机(PC)系统构建，多数是在应用层或操作系统层实施安全保护。

PC设计之初，系统主要考虑的是性能和功能，而没有充分考虑安全性。PC硬件体系结构在安全上被极大简化。

PC硬件结构中程序和数据被指定到不同的段，当进程处于运行状态时，一个特殊的处理器寄存器，有时称作基址寄存器，连同该进程的各个段在主存中的开始地址一起被装入。在进程的执行过程中会遇到相对地址，包括指令寄存器的内容、分支或调用指令中的指令地址以及加载和存储指令中的数据地址。每个这样的相对地址都经过处理器的以下操作：基地址寄存器中的值加上相对地址产生一个绝对地址。由于PC没有提供界限寄存器，数据段得到的结果可能越过数据段到了代码段，从而造成恶意代码可以通过缓冲区溢出等机制执行非授权代码。

PC操作系统存在特权用户和特权进程，一旦用户触发了计算机病毒、蠕虫、特洛依木马等恶意代码，其操作权限将被窃取。显然，以操作权限较高的用户账号登录系统将会对信息系统的安全构成更大范围的潜在威胁和破坏。类似地，特权进程的存在将带来同样的安全问题。目前常见的操作系统，如Windows、Linux等都存在特权进程，即使当前登录用户的权限较低，这些进程一样存在并以较高权限运行。因此，如果这些特权程序存在安全漏洞，如缓冲区溢出漏洞等，一旦这些漏洞被利用，那么入侵者就可以绕过操作系统的身份认证机制和访问控制机制对系统进行未经授权的访问并实施破坏。

针对在应用层和操作系统层实施的安全防护系统，恶意攻击者都能够利用PC软硬件的漏洞，植入恶意程序、篡改安全防护系统代码，绕过安全防护系统，窃取或破坏应用信息。

可信计算组织(Trusted Computing Group，TCG)提出对PC进行软硬件改造，来提升PC系统的安全性。TCG通过在PC主板上引入安全硬件模块来逐级建立基本输入/输出系统(BIOS)、主引导记录(MBR)、操作系统装载器(OS Loader)到操作系统内核的信任链，并保证信任链的安全，最后在计算机硬件系统上构建一个解决系统完整性问题的可信的工作环境。

TCG规范中只提供了操作系统装载器层以下的信任链传递流程，但并未给出信任链传递在操作系统内核层的具体实现方法，也即没有给出如何利用可信计算技术使得操作系统内核代码不被非法篡改，保证其可信性。

TCG提出为应用提供可信软件栈(TSS)，但TSS是一种被动调用模式，应用只有主动调用TSS，才能使用安全硬件模块提供的可信和密码服务。

综上所述，TCG提出的为应用提供安全服务的方法，是一种被动的方法，并且没有给出在操作系统层具体实施的方法，同时TCG只为应用提供完整性服务，没有提供保密性服务。

发明内容

有鉴于此，本发明的目的在于提供一种基于可信软件基建立方法，实现对应用主动安全保护，为应用建立透明支撑的安全可信运行环境，解决用户应用环境的保密性和完整性问题。

为达到上述目的，本发明的技术方案具体是这样实现的：

一种提供主动安全服务的可信软件基，包括可信密码模块和操作系统内核；在所述的操作系统内核设有内核级可信密码模块驱动、内核级可信软件栈、内核级安全服务模块；所述的内核级安全服务模块内设有安全管理器以及安全策略服务器；可信密码模块提供加密运算、杂凑运算的硬件引擎，对可信BIOS进行完整性验证；所述可信BIOS用于对PC硬件设备、MBR进行完整性验证；所述MBR用于引导OS Loader，并对OS Loader进行完整性验证；

所述内核级可信密码驱动模块用于为内核级可信软件栈提供调用可信密码模块的数据通道；

所述内核级可信软件栈用于为内核级安全服务模块提供调用可信密码模块服务的接口，接收安全管理器的加密运算和杂凑运算请求，串行化请求，通过内核级可信密码模块驱动将命令请求发送到可信密码模块；

所述安全管理器，在操作系统内核层主动提取应用流程中涉及的用户、进程、操作和资源的信息，将所有相关信息发送到安全策略服务器，根据安全策略服务器的策略判定，允许或拒绝当前用户进程对资源的操作；

所述安全策略服务器是位于操作系统内核层的服务进程，进行访问控制策略、最小特权策略、加密策略和完整性验证策略的判定；

所述内核级安全服务模块为通过内核级可信软件栈调用可信密码模块的加密和杂凑运算服务，内核级可信软件栈通过内核级可信密码模块驱动与可信密码模块通信；提供主动透明的代码完整性验证、资源访问控制、进程特权控制、信息加密和审计安全服务；

所述的可信密码模块、可信BIOS、MBR、OSLoader、内核级可信密码模块驱动、内核级可信软件栈、内核级安全服务模块在系统启动过程中以链式传递方式进行完整性验证。

所述的可信密码模块嵌入PC主板，为一独立的硬件实体。

前述的链式传递方式进行完整性验证的过程包括对可信密码模块、可信BIOS、MBR、OS Loader、内核级可信密码模块驱动、内核级可信软件栈、内核级安全服务模块的验证。

本发明与现有技术相比，具有以下明显的优势和有益效果：

1)所述内核级安全服务模块根据应用流程在操作系统内核层关键安全控制点截获安全相关信息，主动进行访问控制和最小特权控制；通过内核级可信软件栈、内核级可信密码模块驱动调用可信密码模块加密服务，透明加密应用信息；通过内核级可信软件栈、内核级可信密码模块驱动调用可信密码模块杂凑服务，对应用代码数据主动进行完整性验证；有效阻止了非法用户对应用资源的非授权操作、恶意程序对应用代码和配置的非授权修改、应用资源的秘密泄露，保证了应用环境的保密性和完整性。

2)所述启动过程中的链式完整性验证方法，用于保护内核级安全服务模块、内核级可信软件栈、内核级可信密码模块驱动的完整性，防止恶意攻击程序对上述模块的非法篡改，保证了对应用实施主动安全服务可信软件基自身的安全性。

附图说明

图1可信软件基组成结构示意图；

图2可信密码模块硬件组成示意图；

图3安全管理器处理流程图；

图4安全策略服务器处理流程图；

图5可信软件基自身安全防护流程图。

具体实施方式

以下结合说明书附图，对本发明的具体实施例加以说明：

请参阅图1所示，为可信软件基组成结构示意图。

可信软件基由可信密码模块、内核级可信密码模块驱动、内核级可信软件栈、内核级安全服务模块组成。内核级安全服务模块由安全策略服务器和安全管理器组成。

请参阅图2所示，为可信密码模块硬件组成示意图。

可信密码模块嵌入PC主板。它为一独立的硬件实体，主要由CPU、存储单存储单元、密码算法引擎、主动度量模块等组成。它接收内核级可信密码模块驱动传递的命令数据流，并解析处理加密运算和杂凑运算命令。可信密码模块的安全性由其自身提供。

内核级可信密码模块驱动位于操作系统内核，它接收内核级可信软件栈发送的命令处理流，将其转发给可信密码模块。

内核级可信软件栈位于操作系统内核，它接收内核级安全服务模块对其的加密和杂凑函数调用，根据调用参数，分解成一系列运算命令数据流，发送给内核级可信密码模块驱动。

内核级安全服务模块位于操作系统内核，它分为安全管理器和安全策略服务器两部分。其中安全管理器由一系列状态转换点组成。这些状态转换点分布在操作系统内核中对进程的创建、删除，文件的读、写、执行，设备的打开、关闭、读、写，网络通信的发送、接收的控制点上。安全管理器在这些状态转换点上获取当前主体(进程)、客体(进程、文件、设备、IP地址、通信端口)的安全属性，传递给安全策略服务器，根据安全策略服务器的判定结果，允许或拒绝主体对客体的操作。

安全策略服务器是操作系统内核的服务进程。它接收安全管理器发送的安全策略判定请求，进行访问控制、最小特权、文件加密、可执行代码和数据的完整性验证等策略判定工作。其中文件加密和可执行代码和数据完整性验证调用内核级可信软件栈服务接口，完成相应的加密和杂凑运算工作。

可信软件基安全服务流程如下。

请参阅图3所示，为安全管理器处理流程示意图。

1)安全管理器在状态转换点捕获当前的(主体、客体、操作)状态信息。

2)安全管理器进行状态的安全量化，获取主体安全属性和客体安全属性，向安全策略服务器发送(主体安全属性、客体安全属性、操作)请求安全策略判定。主体安全属性在进程创建时，已放置在进程的数据结构中，客体安全属性已在系统安装阶段提前配置并存放在指定文件中。

3)安全管理器获取安全策略服务器发送的安全策略判定结果，如果判定结果是允许的情况下允许主体对客体的操作进行，判定结果是拒绝的情况下拒绝主体对客体的操作。

请参阅图4所示，为安全策略服务器处理流程示意图。

1)安全策略服务器接收安全管理器发送的(主体属性、客体安全属性、操作)，首先进行访问控制规则的判定，访问控制规则依据主体代表的用户安全属性、客体安全属性、操作进行。如果允许转入2)，否则返回拒绝转入5)。

2)安全策略服务器进行最小特权规则的判定，最小特权规则依据主体代表的应用程序安全属性、客体安全属性、操作进行。如果允许转入3)，否则返回拒绝转入5)。

3)安全策略服务器进行加密规则的判定，加密规则依据客体安全属性进行，如果客体安全属性为加密调用内核级可信软件栈加密服务接口，加密完毕，转入4)，如果客体安全属性为非加密转入4)。

4)安全策略服务器进行完整性验证规则的判定，完整性验证规则依据客体安全属性进行。

如果客体安全属性为完整性验证调用内核级可信软件栈杂凑运算服务接口，杂凑运算结束，返回结果后，与客体的预期值进行比较，与预期值比较相等，返回允许转入5)，与预期值比较不相等，返回拒绝转入5)。预期值由安全策略服务器保存。

如果客体安全属性为非完整性验证，返回允许转入5)。

5)将安全策略判定结果拒绝或允许返回给安全管理器。

内核级软件栈处理流程如下。

1)内核级软件栈根据加解密操作或杂凑操作，分解成相应的命令流，发送给内核级可信密码模块驱动，并将结果返回。

内核级可信密码模块驱动流程如下。

1)内核级可信密码模块驱动将命令流转发给可信密码模块或将可信密码模块发送的命令流返回给内核级可信软件栈。

可信密码模块处理流程如下。

1)可信密码模块处理命令流，并将处理结果以命令流方式返回给内核级可信密码模块驱动。

请参阅图5所示，为可信软件基的自身安全防护流程示意图。

1)PC上电，可信密码模块接管系统控制权，读取可信BIOS，计算可信BIOS的杂凑值，与可信BIOS预期值比较，如果值相等，控制权交给可信BIOS，进入2)。如果值不相等，系统停机。

2)可信BIOS，读取MBR，向可信密码模块发送杂凑运算命令，计算MBR的杂凑值，与MBR预期值比较，如果值相等，控制权交给MBR，进入3)。如果值不相等，系统停机。

3)MBR，读取OSLoader，向可信密码模块发送杂凑运算命令，计算OSLoader的杂凑值，与OSLoader预期值比较，如果值相等，控制权交给OSLoader，进入4)。如果值不相等，系统停机。

4)OSLoader，依次读取内核级可信密码模块驱动、内核级可信软件栈、安全服务模块，向可信密码模块发送杂凑运算命令，计算三者的杂凑值，与预期值比较，如果值相等，控制权交给内核级可信密码模块驱动、内核级可信软件栈和安全服务模块，系统继续运行。如果值不相等，系统停机。

Claims (3)

1.一种提供主动安全服务的可信软件基，包括可信密码模块和操作系统内核；其特征在于：在所述的操作系统内核设有内核级可信密码模块驱动、内核级可信软件栈、内核级安全服务模块；所述的内核级安全服务模块内设有安全管理器以及安全策略服务器；

所述的可信密码模块提供加密运算、杂凑运算的硬件引擎，对可信BIOS进行完整性验证；所述可信BIOS用于对PC硬件设备、MBR进行完整性验证；所述MBR用于引导OSLoader，并对OS Loader进行完整性验证；

所述内核级可信密码驱动模块用于为内核级可信软件栈提供调用可信密码模块的数据通道；

所述内核级可信软件栈用于为内核级安全服务模块提供调用可信密码模块服务的接口，接收安全服务模块的加密运算和杂凑运算请求，串行化请求，通过内核级可信密码模块驱动将命令请求发送到可信密码模块；

所述安全管理器，在操作系统内核层主动提取应用流程中涉及的用户、进程、操作和资源的信息，将所有相关信息发送到安全策略服务器，根据安全策略服务器的策略判定，允许或拒绝当前用户进程对资源的操作；

所述安全策略服务器是位于操作系统内核层的服务进程，进行访问控制策略、最小特权策略、加密策略和完整性验证策略的判定；

所述内核级安全服务模块为通过内核级可信软件栈调用可信密码模块的加密和杂凑运算服务，内核级可信软件栈通过内核级可信密码模块驱动与可信密码模块通信；提供主动透明的代码完整性验证、资源访问控制、进程特权控制、信息加密和审计安全服务；

所述的可信密码模块、可信BIOS、MBR、OSLoader、内核级可信密码模块驱动、内核级可信软件栈、内核级安全服务模块在系统启动过程中以链式传递方式进行完整性验证。

2.根据权利要求1所述的一种提供主动安全服务的可信软件基，其特征在于：所述内核级安全服务模块根据应用流程主动截获主体对客体的操作，进行访问控制、最小特权控制，并通过调用内核级可信软件栈服务接口为应用提供透明的加密和完整性验证服务；内核级可信软件栈串行化加密和杂凑运算命令，传递给内核级可信密码模块驱动；应用的可信密码模块嵌入PC主板，为一独立的硬件实体；包括：CPU、存储单存储单元、密码算法引擎、主动度量模块，接收内核级可信密码模块驱动传递的命令数据流，并解析处理加密运算和杂凑运算命令。

3.根据权利要求1所述的一种提供主动安全服务的可信软件基，其特征在于：所述的链式传递方式进行完整性验证的过程以可信密码模块为信任根包括对可信BIOS、MBR、OS Loader、内核级可信密码模块驱动、内核级可信软件栈以及内核级安全服务模块的验证。

Images