CN104318163A - 一种第三方软件可信构建方法 - Google Patents

Abstract

本发明属于信息安全和可信计算技术领域，涉及一种第三方软件可信构建方法。所述方法包括：根据软件可信构建安全需求，生成基于XACML语言的可信软件策略语法语义；用户根据本发明提供的可信软件策略语法语义、参考软件开发商提供的参数扩展策略和自定义策略，根据自身安全需求，生成第三方软件的可信软件策略库；使用可信软件生成工具自动构建可信软件。本发明灵活性高；可对细粒度的软件行为进行监控，通过可信软件策略生成监控代码，实现对软件行为的有效控制。本发明提出的可信软件策略基于XACML语言描述用户的监控需求，具有良好的通用性和可扩展性；基于可信软件策略可自动生成监控代码，增强了用户对第三方软件安全性的影响力。

Description

一种第三方软件可信构建方法

技术领域

本发明属于信息安全和可信计算技术领域，尤其涉及一种第三方软件可信构建方法。

背景技术

随着计算资源的飞速发展，用户对软件的依赖也越来越大，其大量计算需求的表达通常情况都是通过各种不同的软件加以实现的。然而现阶段，为用户提供帮助的第三方软件安全性很难得到保证。用户在使用这些软件的过程中出现的系统异常、个人资料泄露等情况屡见不鲜，导致用户无法完全信任第三方软件提供的服务。

可信软件构建是指通过在软件内或软件外增加安全模块构建符合预定安全策略的软件，是一种提高软件可信性、保障软件安全的重要手段。然而现有的可信软件构建方法还存在以下不足：

(1)监控策略不灵活。监控内容通常只能由软件开发商预先设置，监控策略一旦确定将无法修改，因而灵活性较差。

(2)监控粒度不细致。现有方法仅对使用软件的用户、操作系统以及软件基本访问控制等信息(例如用户名、操作系统版本号、软件使用权限等)进行获取，无法在软件运行过程中实施较细粒度的对软件具体行为的监控。

(3)监控方式不可信。由于用户缺乏对第三方软件进行实时监控的途径，用户无法信任软件开发商的软件能满足其安全需求；现有监控方法无法证明监控到的行为信息真实性，导致软件可信性无法得到保障。

因此，需要一种新的可信软件构建方法，能够对软件行为提供灵活的、细粒度的实时监控机制，帮助第三方软件开发商提高其软件可信性，向用户提供软件安全保障。

发明内容

本发明提供一种第三方软件可信构建方法，可以根据用户需要，构建满足用户安全需求的带监控功能的可信软件。

本发明采用如下技术手段实现：

步骤1，生成基于可扩展访问控制标记语言(eXtensible Access Control Markup Language，XACML)可信软件策略说明。本发明根据软件可信构建需要，生成可信软件策略的语法语义，即可信软件策略说明，用于向用户及软件开发商说明制定可信软件策略的方法。

XACML是一种用于决定请求/响应的通用访问控制策略语言和执行授权策略的框架，它将安全规则表示为主体，客体，行为和约束四个主要属性的属性值集合，可以结构清晰地实现策略的表达。表1列出了使用XACML描述可信软件策略的相关语法，根据此语法说明，用户可以了解使用XACML描述可信软件策略的语法结构。

表1 基于XACML的可信软件策略语法

用户在制定可信软件策略时，除了需要掌握策略制定所需的语法结构，还需要对语法结构所组合的符号意义及策略内容有一定认识，即可信软件策略涉及的语义。如表2所示，按照资源来源将可信软件策略分为文件、网络、数据库三类策略，分别对策略语义进行描述。

表2 可信软件策略语义

可信软件策略的语法语义作为步骤1的输出，用于帮助用户了解和制定可信软件策略，生成满足自身需求的可信软件策略。

步骤2，生成可信软件策略。根据步骤1输出的可信软件策略描述语法语义、软件开发商提供的参数扩展策略参考和自定义策略参考，用户生成XACML描述的可信软件策略库。

可信软件策略库包括基准策略、自定义参数扩展策略和自定义策略。基准策略是根据可信软件策略语义描述由本发明所自动生成的通用可信软件策略；自定义参数扩展策略是用户根据自身需求，参考软件开发商提供的参数扩展策略，修改或添加基准策略中某些属性后生成的可信软件策略；自定义策略是用户根据XACML的语法语义以及自身的特殊需要，参考软件开发商提供的自定义策略，所生成的可信软件策略。

可信软件策略库的生成分为三个子步骤：

步骤2.1，基准策略生成。根据步骤1生成的可信软件策略语义描述，本发明将策略语义描述中所列出的通用策略相应内容，写入XACML的对应标签中，生成基准可信软件策略。

步骤2.2，自定义参数扩展策略生成。用户根据步骤1输出的可信软件策略描述说明，按照自身需要，参考软件开发商提供的参数扩展策略，对基准策略中相应策略的部分字段的内容进行编辑，修改或增加内容为<Rule>标签下信息，生成自定义参数扩展策略。

步骤2.3，自定义策略生成。用户根据步骤1输出的可信软件策略描述说明，根据自身特殊需要，参考软件开发商提供的自定义策略，编写自定义策略。填写可信软件策略中的主体(行为主体)、资源(行为作用的资源)、动作(具体行为)、效果(允许或拒绝行为的执行标识字段)的属性值；此外用户可以通过设置环境(<Environment>标签)内容在匹配过程中添加对环境信息的匹配内容，通过设置条件(<condition>标签)内容定义或引用函数对主体、资源、动作、环境的属性值进行约束。生成自定义策略。

步骤3，自动构建可信软件。根据步骤2输出的可信软件策略库及程序源代码，生成可执行的可信软件。

用户制定的可信软件策略，通过面向切面编程(Aspect Oriented Programming，AOP)方法加以实现。AOP编程方法可以将业务的横切关注点分离，如：日志记录、性能统计、安全控制、事务处理、异常处理等，并通过编织(Weaver)的方法织入到核心业务代码中。可以有效实现用户的安全需求。

软件按照源代码开放程度通常可以分为开源软件和商用软件两种，其中开源软件由于用户可以了解其软件的所有源代码信息，因此可信软件生成工具可以运行在用户本地，由用户控制生成；而对于商用软件来说，由于软件的源代码信息只有软件开发商拥有，因而可信软件生成工作须由软件开发商完成，最终将可信软件发布给用户。因此可信软件生成工具将根据软件种类的不同，分别在用户端和软件开发商端运行。其可信软件生成工具如图2所示，由切点和通知监控代码生成模块101、防篡改监控日志记录代码生成模块102、可信软件生成模块103组成。

可信软件自动化构建包括以下3个子步骤：

步骤3.1，生成切点和通知监控代码(模块101)

步骤3.1.1，生成切点代码

切点代码是AOP代码的组成部分，用于指定特定的连接点，连接点由方法调用、方法执行、对象实例化、构造子执行、字段引用以及异常处理等组成。连接点可根据特定的编程语言以及可信软件策略中所规定的行为加以确定，匹配到需求所对应的应用程序编程接口(Application Programming Interface，API)。

切点代码中除了匹配到可信软件策略中行为所对应的API，以此作为监控点，还需要调用必要的函数以获得切点处的环境信息。为了实现对切点内容更细粒度的监控，调用args()函数来获取API调用所涉及的参数列表，对监控点更具体的内容进行读取，供后续通知代码使用，以实现对所发生行为的细粒度监控。

以java编程语言为例，切点代码生成说明如表3所示。

表3 切点代码生成说明

具体实现流程如下：

读取可信软件策略，获取策略的目标中的动作(Action)属性值；

查看表3中此动作对应的API调用，确定切点代码中需要监控的API；

使用args()方法暴露监控点API调用时用于监控所需的参数信息，所需信息如表3所列出；

根据上述信息构造切点代码。

步骤3.1.2，生成通知监控代码

添加上述切点的Around通知函数代码，实现对匹配策略的控制。控制代码生成实现流程如下：

读取用户提交的进行可信构建的程序名称，即行为主体信息；

读取切点函数的参数，此参数已通过args()方法赋值，即为资源信息；

遍历可信软件策略中的规则，使用获取到的主体信息和资源信息与规则中目标的主体、资源字段属性值进行匹配，获取相匹配的规则中effect的属性值，若effect的属性值为permit，则调用proceed()函数允许此切点处函数的执行，并将策略执行标识设为允许；若effect的属性值为deny则拒绝切点函数的执行，并将策略执行标识设为拒绝；若未找到匹配的规则，调用proceed()执行切点处原代码，将策略执行标识设为未找到匹配规则。

步骤3.2，生成防篡改监控日志记录代码(模块102)

向Around通知函数中通知监控代码之后添加日志记录代码，实现对发生行为的信息记录。日志记录格式为：

表4 日志记录格式

主体(用户名+软件名)	资源	动作	执行的操作
				UserID、SoftwareID	Resource	Action	Result

由于恶意程序可能对日志内容进行修改，以避免其恶意行为被用户发现，因而需要在日志生成时采用必要手段，使生成的日志无法被篡改，保证日志文件的可信性。平台配置寄存器(Platform Configuration RegisterRegister，PCR)是可信平台模块中受保护的寄存器，可以用于存储信息摘要值，且由于其只存在清空和扩展操作，因而可以有效保证信息的完整性，可用于防止日志信息被篡改。

具体实现流程如下：

步骤3.2.1，获取步骤3.1.2通知监控代码中监控到的行为主体软件名信息、行为作用的资源信息和策略执行标识中记录的相应行为执行的操作信息，获取步骤3.1.1中具体行为信息(动作Action以及对应的API信息)，通过系统调用System.getProperty("user.name")获取行为主体用户名信息，生成上述格式的一条完整的日志信息，写入日志文件。

步骤3.2.2，计算此条行为信息的摘要值，并扩展到PCR寄存器中。

当用户需要对日志文件的可信性进行验证时，可使用日志可信性分析工具对日志文件进行检测，工具执行流程如下：

通过系统调用获得当前使用系统的用户名，要求用户输入需要验证行为的软件名；

读取行为日志中的一条日志信息，若日志的主体字段和上一步获取到的信息相同，将行为信息显示给用户，计算信息摘要值并扩展到PCR中，若不同，则直接计算信息摘要值并扩展到PCR中；

比对日志生成时PCR中的值与事后计算值是否相同，若数值相同，则证明日志信息完整可信；若数值不同，则证明日志内容不可信。

步骤3.3，生成可信软件(模块103)

通过前两步，即可生成满足需求的完整的AOP代码文件。最后使用exec函数调用ajc命令，将AOP代码织入到原程序代码中，即可生成带有监控和记录功能的可信软件。

本发明与现有技术相比，具有以下明显的优势和有益效果：

1.本发明灵活性高，与现有基于监控的可信软件构建方法相比，用户可自定义可信软件策略，充分满足用户需求。

2.本发明可对细粒度的软件行为进行监控，通过可信软件策略生成监控代码，实现对符合策略的行为进行有效控制。

3.本发明采用XACML语言对用户的监控需求进行描述，具有良好的通用性和可扩展性，表达无歧义。

4.本发明中监控代码基于可信软件策略自动生成，避免了中间步骤编程人员的介入，降低了开发人员对软件安全性的影响。

5.本发明在构建可信软件时，通过生成防篡改监控日志记录代码，运用PCR安全功能，使本发明可以对软件实时运行过程中的行为进行监控记录，并保护记录日志不被篡改以备将来证明软件可信性。

附图说明

图1本发明所涉及的第三方软件可信构建方法总体流程图；

图2可信软件生成工具模块组成框图。

具体实施方式

下面结合实施方式对本发明做进一步说明。

对于安全性未知的第三方软件，用户可以采用本发明涉及的方法，构建满足其安全需求的可信软件，实施方法流程图如图1所示，包括以下步骤：

步骤1，生成XACML可信软件策略的语法语义说明，如表1、表2所示，帮助用户制定满足自身需要的可信软件策略。

步骤2，生成可信软件策略。生成基准策略、自定义参数扩展、自定义策略。

1)基准策略生成，根据步骤1中的可信软件策略语义描述，将可信软件策略语义描述中所列出的通用策略相应内容，写入XACML的对应标签中，生成基准策略。

例如，可信软件策略语义描述中的阻止应用程序sw对系统内核文件(/boot/*)以及库文件(/lib/*)的读取操作内容，可生成如下基准策略。其中，subject:subject-id1，subject:subject-id2，resource:resource-id1和resource:resource-id2为监控到的主体和资源名称。

2)自定义参数扩展策略生成，用户根据步骤1输出的可信软件策略说明，按照自身需要，参考软件开发商提供的参数扩展策略，对基准策略中相应策略的部分字段的内容进行编辑，修改或添加<Rule>标签下信息，生成自定义参数扩展策略。

例如，用户想要允许软件对内核文件的读取操作，则可将上述基准策略中条目：<RuleRuleId＝”KernelFileReadRule”Effect＝”deny”>修改为：

<Rule RuleId＝”KernelFileReadRule”Effect＝”Permit”>

3)自定义策略生成，根据可信软件策略的语法语义说明，用户完全按照自身特殊需要，参考软件开发商提供的自定义策略，编写可信软件策略，生成如上形式的自定义策略。此外还可以根据需要添加<Condition>标签内容对主体、资源、动作、环境、时间等内容进行约束。

例如，用户想要限制行为的发生时间为9:00之后，则可在自定义策略中添加额外XACML内容：

步骤3，自动构建可信软件。根据上一步制定的可信软件策略及程序源代码，生成可执行的可信软件。构建工作分为如下3个子步骤：

1)生成切点和通知监控代码

1.1)生成切点代码

读取可信软件策略，获取策略的目标中的动作(Action)属性值；

查看表3中此动作对应的API调用，确定切点代码中需要监控的API；

使用args()方法暴露监控点API调用时用于监控所需的参数信息，所需信息如表3所列出；

根据上述信息构造切点代码。

以aspectJ代码为例，由上一步生成的可信软件策略可知，其策略目标中动作属性的值为read，根据表3可知，关注的连接点API可以为java.io.FileReader.new(..)，同时通过args()获取构造函数中文件路径参数，即可生成如下切点代码：

pointcut methodRead(string filepath):(call(java.io.FileReader.new(String)))&&args(filepath)；

1.2)生成通知监控代码

添加上述切点的Around通知函数代码。

读取用户提交的进行可信构建的程序名称，即行为主体信息；

读取切点函数的参数，此参数已通过args()方法赋值，即为资源信息；

遍历可信软件策略中的规则，使用获取到的主体信息和资源信息与规则中目标的主体、资源字段属性值进行匹配，获取相匹配的规则中effect的属性值，若effect的属性值为permit，则调用proceed()函数允许此切点处函数的执行，并将策略执行标识设为允许，若effect的属性值为deny则直接将策略执行标识设为拒绝；若未找到匹配的规则，调用proceed()执行切点处原代码，将策略执行标识设为未找到匹配规则。

根据上述步骤，可生成如下通知监控代码：

2)生成防篡改监控日志记录代码

向Around通知函数中通知监控代码之后添加日志记录代码.

获取步骤1.2)通知监控代码中监控到的行为主体软件名信息、行为作用的资源信息和策略执行标识中记录的相应行为执行的操作信息，获取步骤1.1)中具体行为信息(动作Action以及对应的API信息)，通过系统调用System.getProperty("user.name")获取行为主体用户名信息，生成上述格式的一条完整的日志信息，写入日志文件。

计算此条行为信息的摘要值，并扩展到PCR寄存器中。

可生成如下防篡改监控日志记录代码：

3)生成可信软件

使用exec函数调用ajc命令，将AOP代码织入到原程序代码中，生成带有监控和记录功能的可信软件。

最后应说明的是：本方法以java语言编程的软件为例但不限于java，例如c#语言也可以使用本方法，只是被监控的API具体名称和内容稍微有所不同。

以上示例仅用以说明本发明而并非限制本发明所描述的技术方案；因此，尽管本说明书参照上述的示例对本发明已进行了详细的说明，但是本领域的普通技术人员应当理解，仍然可以对本发明进行修改或等同替换；而一切不脱离发明的精神和范围的技术方案及其改进，其均应涵盖在本发明的权利要求范围当中。

Claims (4)

1.一种第三方软件可信构建方法，其特征在于包括以下步骤：

步骤1，生成基于可扩展访问控制标记语言XACML的可信软件策略说明，即可信软件策略语法和语义；

步骤2，生成可信软件策略：根据步骤1输出的可信软件策略说明生成基准策略；软件开发商根据基准策略生成参数扩展策略和自定义策略；用户根据基准策略，参考软件开发商的参数扩展策略和自定义策略，生成用户扩展和自定义的可信软件策略库；

步骤3，自动构建可信软件：根据步骤2输出的用户可信软件策略库及程序源代码，自动生成切点和通知监控代码以及防篡改监控日志记录代码，构建可执行的可信软件。

2.根据权利要求1所述的一种第三方软件可信构建方法，其特征在于，步骤2所述的可信软件策略库的生成方法，包括以下步骤：

步骤2.1，基准策略生成：根据步骤1中的可信软件策略语义描述，将可信软件策略语义描述中所列出的通用策略相应内容，写入XACML的对应标签中，生成基准策略；

步骤2.2，自定义参数扩展策略生成：用户根据步骤1输出的可信软件策略说明，按照自身需要，参考软件开发商提供的参数扩展策略，对基准策略中相应策略的部分字段的内容进行编辑，修改或增加内容为<Rule>标签下信息，生成自定义参数扩展策略；

步骤2.3，自定义策略生成：用户根据步骤1输出的可信软件策略说明，根据自身特殊需要，参考软件开发商提供的自定义策略，编写自定义策略：填写可信软件策略中的主体、资源、动作、效果的属性值；此外用户可以通过设置环境内容在匹配过程中添加对环境信息的匹配内容，通过设置条件内容定义或引用函数对主体、资源、动作、环境的属性值进行约束。生成自定义策略。

3.根据权利要求1所述的一种第三方软件可信构建方法，其特征在于，对于开源软件，所述可信软件可以运行在用户本地，由用户控制生成；对于商用软件，所述可信软件生成工作由软件开发商完成，最终将可信软件发布给用户。

4.根据权利要求1或2或3所述的一种第三方软件可信构建方法，其特征在于，步骤3所述可信软件的自动化构建包括以下步骤：

步骤3.1，生成切点和通知监控代码；

步骤3.1.1，生成切点代码；

切点代码是面向切面编程AOP代码的组成部分，用于指定特定的连接点，连接点包括方法调用、方法执行、对象实例化、构造子执行、字段引用以及异常处理；生成切点代码的方法如下：

读取可信软件策略，获取策略的目标中的动作Action属性值；

根据所述动作对应的API调用，确定切点代码中需要监控的API；

使用args()方法暴露监控点API调用时用于监控所需的参数信息；

根据上述信息构造切点代码；

步骤3.1.2，生成通知监控代码；

添加上述切点的Around通知函数代码，按下面流程生成通知控制代码：

读取用户提交的进行可信构建的程序名称，即行为主体信息；

读取切点函数的参数，所述参数已通过args()方法赋值，即为资源信息；

遍历可信软件策略中的规则，使用获取到的主体信息和资源信息与规则中目标的主体、资源字段属性值进行匹配，获取相匹配的规则中effect的属性值，若effect的属性值为permit，则调用proceed()函数允许此切点处函数的执行，并将策略执行标识设为允许；若effect的属性值为deny，则拒绝切点函数的执行，并将策略执行标识设为拒绝；若未找到匹配的规则，调用proceed()执行切点处原代码，将策略执行标识设为未找到匹配规则；

步骤3.2，生成防篡改监控日志记录代码；

步骤3.2.1，获取步骤3.1.2通知监控代码中监控到的行为主体软件名信息、行为作用的资源信息和策略执行标识中记录的相应行为执行的操作信息，获取步骤3.1.1中具体行为信息，通过系统调用System.getProperty获取行为主体用户名信息，生成上述格式的一条完整的日志信息，写入日志文件；

步骤3.2.2，计算此条行为信息的摘要值，并扩展到PCR寄存器中；

当用户需要对日志文件的可信性进行验证时，使用日志可信性分析工具对日志文件进行检测，工具执行流程如下：

通过系统调用获得当前使用系统的用户名，要求用户输入需要验证行为的软件名；

读取行为日志中的一条日志信息，若日志的主体字段和上一步获取到的信息相同，将行为信息显示给用户，计算信息摘要值并扩展到PCR中；若不同，则直接计算信息摘要值并扩展到PCR中；

比对日志生成时PCR中的值与事后计算值是否相同；若数值相同，则证明日志信息完整可信；若数值不同，则证明日志内容不可信；

步骤3.3，生成可信软件；

使用exec函数调用ajc命令，将步骤3.1、步骤3.2生成的AOP代码织入到原程序代码中，生成带有监控和记录功能的可信软件。