CN105245543A - 一种基于安全标记随机化的操作系统强制访问控制方法 - Google Patents

Abstract

本发明公开了一种基于安全标记随机化的操作系统强制访问控制方法，步骤包括：预先构建核内外安全标记映射表；将安全管理员配置的安全标记作为外部标识，在核内随机化生成对应的内部标识，将内部标识、外部标识的对应关系添加至核内外安全标记映射表，并将内部标识作为安全属性赋予给核内各类对象，基于内部标识建立内核访问控制规则库；在操作系统运行过程中，当主体对象访问客体对象时，获取对象的内部标识并根据内核访问控制规则库判断是否具有访问权限并控制主体对象对客体对象的访问。本发明能够有效抵御攻击者利用内核提权漏洞修改内核空间进程安全属性的攻击方式，具有安全性高、可靠性好、性能损失低、对用户透明、适用范围广的优点。

Description

一种基于安全标记随机化的操作系统强制访问控制方法

技术领域

本发明涉及Linux操作系统安全领域，具体涉及一种针对Linux内核级提权攻击进行防御的基于安全标记随机化的操作系统强制访问控制方法。

背景技术

随着Linux操作系统的应用范围越来越广，系统的安全问题也日益受到关注。其中，系统的用户权限管理决定了系统中各类主体对系统资源的访问权限，成为Linux系统安全的重要基础之一。在Linux系统中，用户一般分为系统管理员用户root与普通用户两个级别。普通用户仅拥有与用户应用相关的权限，而系统管理员则可以对系统范围内的所有资源进行访问与管理。由于系统管理员具有“至高无上”的权限，因此一旦恶意攻击者具有了root权限，就可以访问系统的所有资源。此外在系统管理过程中也必须避免系统管理员的权限滥用问题。

操作系统的强制访问控制机制打破了root用户的特权，在操作系统内部根据不同的访问控制安全策略对系统中各类对象之间的访问控制行为进行控制管理。在这样的系统中，即使进程的属主为root，其所有行为也必须同时满足强制访问控制机制的要求才能够在系统中被允许发生。典型的强制访问控制策略有保护数据机密性及完整性的BLP/BIBA策略、实现最小特权的Capability策略、基于安全域隔离的SELinux策略等等。

在Linux操作系统中，为了简化强制访问控制机制的开发，并且支持多种强制访问控制策略的灵活扩展，系统中实现了LSM强制访问控制框架，实现了强制访问控制的通用框架，并向安全策略开发人员提供Hook函数，支持以模块的形式来开发个性化的访问控制策略。目前，在Linux系统中已经列入内核主线的强制访问控制模块有SELinux、AppArmor、SMACK等等。在具有强制访问控制的Linux操作系统中，即使攻击者将进程的ID修改为root，也并不能在系统中为所欲为，必须通过强制访问控制机制的访问权限决策，违反安全策略的访问行为都会被拒绝。

具体实现时，Linux强制访问控制机制为系统中的每一个主、客体对象关联一个安全属性，并且预先规定各类安全属性之间的访问控制规则。当系统中发生主体对客体的访问时，强制访问控制机制将首先获取主、客体的安全属性，然后根据系统已有的访问控制规则配置，判断这次访问是否可以继续进行。通常情况下，Linux强制访问控制机制的主要结构如附图1所示，主要包括位于内核层的对象管理模块、访问许可决策模块、访问规则配置模块，以及位于用户层的核外安全配置管理模块。这些模块的主要作用分别为：

●对象管理模块，对象管理模块主要负责管理操作系统中的各类主体与客体对象，包括进程、文件、socket等等，为系统中的每一个新生成的对象都维持一个安全属性，以供访问控制决策时使用。

●访问规则配置模块。访问规则配置模块主要保存系统的安全管理员对操作系统中所有安全策略配置，包括系统存在的各类主体、客体的安全属性，以及各不同安全属性的主客体之间发生访问时的许可规则。

●访问控制决策模块。访问控制决策模块在系统中发生访问行为时，分别获取当次访问所涉及的主体与客体的安全属性，并且查询访问规则配置模块，查看在当前的规则配置下，这样的访问是否允许发生。如果不被配置规则允许，就拒绝该次访问操作。

●核外安全配置管理模块。核外安全配置管理模块主要在用户层提供对安全策略的配置接口，以及对安全策略配置在文件系统中进行保存等等。

然而，随着运行在系统更高级别的内核态提权漏洞攻击方法的出现，攻击者不仅可以篡改进程的用户ID，还可以篡改进程的安全属性。

下面，以内核提权漏洞CVE-2013-2094为例，介绍进行利用内核提权漏洞进行包括安全属性在内的提权攻击典型攻击流程：

第一步：利用内核存在的边界条件错误漏洞，将内核空间的函数指针修改为指向用户空间的shellcode代码。在存在该漏洞的内核中，在kernel/events/core.c中的perf_swevent_init函数使用不正确的整数数据类型，允许本地用户通过特制的perf_event_open系统调用来提升权限。

第二步：在shellcode代码中实现将内核空间存储的进程权限信息篡改为特权进程。在进程的内核栈中，保存进程权限信息的thread_info结构总是存放在内核栈的底部。因此攻击者可以根据内核栈中某一变量的地址获取内核栈基址，从而获取进程task_struct在内存中的位置，并进一步获取进程cred在内存中的位置，直接修改对应内存位置存储的数据。步骤包括：（1）获取进程task_struct在内存中位置。通过将内核栈中某一变量地址的低13位清零，获取内核栈基址。在内核栈基址位置存储着指向进程task_struct的指针，从而获取进程task_struct在内存中位置。（2）获取进程cred在内存中位置。根据进程task_struct结构的特点，即进程cred和进程real_cred指针一般指向同一进程cred，并且根据用户、组信息可以准确获得进程cred在内存中位置。（3）修改进程cred中权限信息。进程cred中存有进程的用户、组信息以及Capabilities等与权限相关的信息，根据cred结构就可以直接修改相关数据。将对应的用户ID和组ID修改0，即root用户/组ID，将Capabilities修改为全1。（4）如果系统启动了强制访问控制安全策略，在cred结构中找到指向的保存进程安全属性的task_security_struct安全结构的指针，进而获取task_security_struct结构的内存地址，根据需要将安全上下文修改为目标安全上下文。

第三步：利用CVE-2013-2094内核提权漏洞，获取具有root权限shell。通过第二步当前进程已经拥有了所需的系统管理权限，调用execl(“/bin/bash”,”-sh”,NULL)获取与系统进行交互的shell，该shell继承当前进程的权限。

通过上述实例可以看出，由于被入侵的进程在内核态运行、具有更高的运行级别，因此可以直接对内核中的关键数据结构进行修改，从而攻击者可以对在内核空间中存储的进程权限进行任意改变，不仅改变进程的用户ID、组ID等信息，并且可以根据需要对进程的强制访问控制安全属性也进行修改，绕过系统中强制访问控制安全机制的检查。而基于强制访问控制的防御方法，由于Linux系统中各类安全策略下的主、客体安全属性定义在系统编译时就已经确定，攻击者可以很容易就确定需要的目标安全属性并将进程属性篡改为目标值，导致访问控制机制的失效。

综上所述，强制访问控制机制使用进程的安全属性来代替用户ID来作为进程权限的标识，对传统的修改用户ID的提权攻击具有缓解作用。但是目前已经有攻击方法可以进一步修改进程的安全属性，攻击者可以以此获取想要的系统特权。因此，研究对系统的特权进程安全标记的保护措施，让攻击者无法获取特权进程的安全属性，进而保护系统重要资源的安全具有重要的现实意义。

发明内容

本发明要解决的技术问题：针对现有技术的上述问题，提供一种能够有效抵御攻击者利用内核提权漏洞修改内核空间进程安全属性的攻击方式，安全性高、可靠性好、性能损失低、对用户透明、适用范围广的基于安全标记随机化的操作系统强制访问控制方法。

为了解决上述技术问题，本发明采用的技术方案为：

一种基于安全标记随机化的操作系统强制访问控制方法，步骤包括：

1）预先在操作系统的强制访问控制机制中构建用于记录安全标记的内部标识、外部标识之间对应关系的核内外安全标记映射表；

2）将保存在核外的安全管理员对操作系统中各类对象配置的安全标记作为外部标识，在操作系统运行时在核内随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间的对应关系添加至核内外安全标记映射表，并将内部标识作为安全属性赋予给核内各类对象，基于内部标识建立强制访问控制机制的内核访问控制规则库；

3）在操作系统运行过程中，当任一主体对象访问客体对象时，获取主体与客体对象的内部标识，根据内部标识查询内核访问控制规则库判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象。

优选地，所述步骤2）的详细步骤包括：

2.1）强制访问控制机制在操作系统启动初期进行初始化时，将强制访问控制机制内核代码中每一个预定义的安全标记作为外部标识，随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间对应关系添加至核内外安全标记映射表；

2.2）在操作系统创建对象时，根据内核代码中为该对象赋予的预定义初始安全标记，查找安全标记内外标识映射表，将预定义安全标记的内部标识作为安全属性赋予该对象；

2.3）在操作系统的文件系统加载后，强制访问控制机制读取保存在文件系统中的核外安全策略配置库，读取所述核外安全策略配置库中的所有安全标记外部标识定义，如果任意一个安全标记外部标识定义在核内外安全标记映射表中不存在对应的记录，则将安全标记外部标识定义作为外部标识，随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间对应关系添加至核内外安全标记映射表；

2.4）读取所述核外安全策略配置库中的访问控制规则库，所述访问控制规则库中的主体和客体均为安全标记的外部标识，查询核内外安全标记映射表，获得访问控制规则库中每一个安全标记的内部标识，将访问控制规则库中的主体和客体安全标记的外部标识替换为对应的内部标识，并将访问控制规则定义添加到强制访问控制机制的内核访问控制规则库；

2.5）在强制访问控制机制的核内安全策略配置生成完毕后，当操作系统初始化一个主体或客体对象时，首先判断该对象的安全标记是否已经在强制访问控制机制的核外安全策略配置库中的所有安全标记外部标识定义中进行了明确定义，如果已经进行明确定义，则查询核内外安全标记映射表查找该安全标记的内部标识，如果没有进行明确定义，则按照预设的安全策略生成该对象的内部标识；最终将确定的内部标识作为安全属性赋予给该对象。

优选地，所述步骤3）的详细步骤包括：

3.1）首先初始化用于缓存内核访问控制规则的访问向量缓存AVC；

3.2）在操作系统运行过程中，当任一主体对象访问客体对象时，首先判断访问向量缓存AVC中是否存在该主体对象访问客体对象的访问控制规则，如果存在该主体对象访问客体对象的访问控制规则，则跳转执行步骤3.3）；如果不存在该主体对象访问客体对象的访问控制规则，则跳转执行步骤3.4）；

3.3）根据访问向量缓存AVC中的访问控制规则判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象；退出；

3.4）将主体对象、客体对象对应的访问控制规则及其内部标识添加到访问向量缓存AVC中，根据强制访问控制机制的内核访问控制规则库中的访问控制规则判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象。

优选地，所述随机化生成该安全标记对应的内部标识具体是指采用基值随机策略随机化生成该安全标记对应的内部标识。

优选地，所述采用基值随机策略随机化生成该安全标记对应的内部标识的详细步骤包括：

A1）判断本次进行随机化处理的外部标识是否为第一个外部标识，如果是第一个外部标识，则跳转执行步骤A2），否则如果不是第一个外部标识，则跳转执行步骤A3）；

A2）生成一个无符号整数形式的随机数分配作为该外部标识对应的内部标识，退出；

A3）读取上一次生成的内部标识并在原值上加1后作为待分配的内部标识；

A4）判断待分配的内部标识是否越界，如果待分配的内部标识越界，则将待分配的内部标识进行取余处理后再分配作为该外部标识对应的内部标识；如果待分配的内部标识未越界，则直接将待分配的内部标识分配作为该外部标识对应的内部标识。

优选地，所述步骤A3）的详细步骤包括：

A3.1）读取上一次生成的内部标识并在原值上加1；

A3.2）判断加1后的内部标识是否等于步骤A2）中分配的内部标识，如果等于步骤A2）中分配的内部标识，则判定内部标识溢出，报错并退出；如果不等于步骤A2）中分配的内部标识，则跳转执行步骤A4）。

优选地，所述步骤A4）中取余处理的表达式为（sid%(232-1)+1），其中sid为待分配的内部标识。

优选地，所述随机化生成该安全标记对应的内部标识具体是指采用全随机策略随机化生成该安全标记对应的内部标识。

优选地，所述采用全随机策略随机化生成该安全标记对应的内部标识的详细步骤包括：

B1）随机生成待分配的内部标识；

B2）判断待分配的内部标识是否已经在已分配的内部标识集合中存在，如果已经在，则跳转执行步骤B1），否则将待分配的内部标识添加到已分配的内部标识集合，并将待分配的内部标识分配作为该外部标识对应的内部标识。

本发明基于安全标记随机化的操作系统强制访问控制方法具有下述优点：

1、采用本发明可以有效防御攻击者对进程强制访问控制特权的篡改。由于进程的安全标记在每次系统启动后将随机分配，因此系统中的特权安全标记将不再是固定的值，攻击者只能猜测特权进程的安全标记。并且，由于是运行时安全标记的内部标记是随机的，系统重启时安全标记的内部标记将再次发生改变，大大降低了被猜测攻击成功的可能性。

2、采用本发明在解决安全标记动态变化时访问控制配置问题的同时，对核外用户透明，安全管理员仅需对安全标记的核外标识进行配置即可，现有的各种访问控制策略也可以平滑的移植到本系统上来。

3、采用本发明能够极大提高访问控制决策工作的效率。本发明对安全标记的内外标识转换机制进行优化设计，仅在安全标记与访问控制规则的创建过程中进行转换，在系统运行时对访问行为进行判断时，无需再次进行安全标记的转换。这样就将性能损失主要集中于系统启动时访问控制模块的初始化阶段；当系统进入稳定运行时，访问控制权限的判断将不再产生性能损耗。

4、本发明不依赖于特定的操作系统，支持平台的多样性，具有通用性。对于任何操作系统的经典强制访问控制系统实现，仅需添加对外部安全标记的核内随机化映射机制，均可使强制访问控制机制具有随机化特性，对安全策略中的特权安全标记进行保护，打破系统提权攻击的条件。

附图说明

图1为现有的SELinux模块的框架结构示意图。

图2为本发明实施例改进的SELinux模块的框架结构示意图。

图3为本发明实施例方法的基本流程示意图。

图4为本发明实施例方法步骤2）的简要流程示意图。

具体实施方式

下文将以SELinux模块作为强制访问控制机制的实例，对本发明基于安全标记随机化的操作系统强制访问控制方法进行进一步说明。如图1所示，现有的SELinux模块包括核内安全配置、对象管理模块、访问许可决策模块、核外安全配置。其中，核内安全配置主要是指内核访问规则控制库，核外安全配置主要包括安全标记外部定义和访问规则控制库，核外安全配置是由安全管理员可访问的。对象管理模块用于实现操作系统中各个主体对象和客体对象的安全标记关联，将安全标记关联到每一个主体对象和客体对象，以便访问许可决策模块对主体对象和客体对象根据内核访问规则控制库来对系统访问行为进行控制。

如图2所示，本实施例在现有的SELinux模块的基础上构建了随机化内部标识生成模块、安全标记内外标识转换模块，其中随机化内部标识生成模块主要负责随机化生成该安全标记对应的内部标识，安全标记内外标识转换模块则用于实现查找核内外安全标记映射表sidtab实现内部标识、外部标识之间的转换。

如图3所示，本实施例基于安全标记随机化的操作系统强制访问控制方法的步骤包括：

1）预先在操作系统的强制访问控制机制中构建用于记录安全标记的内部标识、外部标识之间对应关系的核内外安全标记映射表；

2）将保存在核外的安全管理员对操作系统中各类对象配置的安全标记作为外部标识，在操作系统运行时在核内随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间的对应关系添加至核内外安全标记映射表，并将内部标识作为安全属性赋予给核内各类对象，基于内部标识建立强制访问控制机制的内核访问控制规则库；

3）在操作系统运行过程中，当任一主体对象访问客体对象时，获取主体与客体对象的内部标识，根据内部标识查询内核访问控制规则库判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象。

本实施例中，在Linux内核的SELinux模块中维护着核内外安全标记映射表sidtab。核内外安全标记映射表sidtab记录外部标识（SELinux机制核外安全上下文context）和内部标识（核内安全标识符sid）之间的映射关系，其中外部标识是用户可见的安全标记表示形式，用字符串表示；内部标识用无符号整型表示，对于用户来说是透明的。安全标记的外部标识是指在应用层用户可见的安全标记表示形式，根据操作系统不同的安全策略，外部标识的具体表现形式也不同。外部标识的安全标记是静态不变的，即系统重新启动之后，安全标记的外部标识不会发生改变。这样，就保证可安全策略的可配置性，安全管理员可以对这些安全标记进行管理，并且配置各类型安全标记之间的访问控制规则。安全标记的内部标识则是指在内核中与各类对象相关联的安全标记。当系统运行时，真正对访问控制起决定作用的是核内各类对象的安全标记，即安全标记的内部标识。当访问控制行为发生时，内核首先获取主体与客体的安全标记的内部标识，然后根据访问控制策略判断该次访问行为是否符合规则要求。因此，进程的安全标记内部标识代表了实际运行时该进程的权限，因此也成为攻击者的实际攻击目标。如果要控制进程不被提权，主要就是要保护进程安全标记内部标识不被篡改。因此，对于安全标记的随机化保护主要指对内部标识的随机化，即在将系统中静态的安全配置进行加载时，对内核中的安全标记的内部标识进行随机化处理。在每次系统启动时，系统特权安全标记的内部标识可能是不同的数值。因此，攻击者就无法猜测目标进程的特权权限。具体实现时，尽管不同安全策略可能定义不同形式的安全标记，但这些标记形式主要为了作为外部标识方便安全配置人员的理解与配置，在系统内核层均可以将安全标记的内部标识映射为无符号整数表示。安全管理员可以对安全策略的配置管理是通过安全上下文进行的。SELinux的内部标识（安全标识符sid）是在内核中与各类对象直接关联，存储在对象的扩展安全属性中。当访问控制行为发生时，内核首先获取主体和客体的内部标识，然后根据内核访问规则控制库对该次访问行为进行权限判断。因此，进程的扩展安全属性中的内部标识代表了该进程的权限，因此也成为攻击者进行内核提权攻击的实际攻击目标。本实施例的安全标记随机化方法将内部标识的分配由顺序分配更改为随机分配，使攻击者不能准确获取特权安全上下文对应的内部标识，从而能够增加内核提权攻击难度。因此，本实施例在利用强制访问控制机制剥离用户身份与进程权限的基础上，将强制访问控制安全标记区分为核外标识与核内标识，每次系统重新启动时，对内核层的安全标记核内标识进行随机化处理，通过对安全属性的随机化来保护系统特权权限不被攻击者猜测获得，保护系统中特权资源不被恶意破坏；同时安全标记的核外标识为静态不变，方便安全管理员进行安全配置管理，并且系统应用无需任何修改即可以平滑接入，能够有效抵御攻击者利用内核提权漏洞修改内核空间进程安全属性的攻击方式，具有安全性高、可靠性好、性能损失低、对用户透明、适用范围广的优点。

如图4所示，所述步骤2）的详细步骤包括：

2.1）强制访问控制机制在操作系统启动初期调用selinux_init()函数进行初始化时，将强制访问控制机制内核代码中每一个预定义的安全标记作为外部标识，随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间对应关系添加至核内外安全标记映射表；

2.2）在操作系统创建对象时，根据内核代码中为该对象赋予的预定义初始安全标记，查找安全标记内外标识映射表，将预定义安全标记的内部标识作为安全属性赋予该对象；

2.3）在操作系统的文件系统加载后，强制访问控制机制读取保存在文件系统中的核外安全策略配置库，读取所述核外安全策略配置库中的所有安全标记外部标识定义，如果任意一个安全标记外部标识定义在核内外安全标记映射表中不存在对应的记录，则将安全标记外部标识定义作为外部标识，随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间对应关系添加至核内外安全标记映射表；

2.4）读取所述核外安全策略配置库中的访问控制规则库，所述访问控制规则库中的主体和客体均为安全标记的外部标识，查询核内外安全标记映射表，获得访问控制规则库中每一个安全标记的内部标识，将访问控制规则库中的主体和客体安全标记的外部标识替换为对应的内部标识，并将访问控制规则定义添加到强制访问控制机制的内核访问控制规则库；

2.5）在强制访问控制机制的核内安全策略配置生成完毕后，当操作系统初始化一个主体或客体对象时，首先判断该对象的安全标记是否已经在强制访问控制机制的核外安全策略配置库中的所有安全标记外部标识定义中进行了明确定义，如果已经进行明确定义，则查询核内外安全标记映射表查找该安全标记的内部标识，如果没有进行明确定义，则按照预设的安全策略生成该对象的内部标识；最终将确定的内部标识作为安全属性赋予给该对象。

步骤2.1）强制访问控制机制在操作系统启动初期进行初始化时，此时文件系统尚未加载，不能访问保存在文件系统中的安全策略，因此主要依靠在强制访问控制机制内核代码中预定义的安全标记对系统进行控制；在文件系统初始化之前，系统中创建的对象有限，因此系统中存在的安全标记也只有预定义的几种。当步骤2.3）完成文件系统初始化后，系统中将创建更多类型的主、客体对象，需要进行访问控制的行为也更为多样。因此，在文件系统加载后，访问控制机制将读取保存在文件系统中的安全策略，建立核内的访问控制安全配置。上述步骤2.1）～步骤2.5）主要解决操作系统内核中各类对象的安全标记关联问题，以及内核访问控制规则库的建立问题。之后在操作系统运行过程中的对象之间进行访问时，由于对象的安全标记与内核访问控制规则库中的安全标记已经全部是随机化生成的内部标识来建立的，因此访问控制权限判断就只需要查询访问控制规则表即可，与无需再进行安全标记的转换。

SELinux模块预定义了部分初始安全标记，用于在安全策略加载前为系统内部分对象添加安全标记以及客体安全上下文无效或丢失时使用，步骤2.1）则用于该预定义的安全标记作为外部标识随机化处理；在SELinux模块初始化时会将0号进程的扩展安全属性设置为SECINITSID_KERNEL；当系统内对象安全上下文无效或丢失时，将对象的扩展安全属性设置为缺省安全上下文对应的初始安全标记；在文件系统挂载之前，系统内只有部分对象被授予安全标记安全标识符，系统内其他对象的安全标记需要在文件系统挂载之后，读取安全策略后，根据安全策略授予其安全标记；安全策略在系统中以二进制文件形式存在，因此必须在文件系统挂载后才能读取。SELinux模块通过调用policydb_read()函数将安全策略文件中内容读取到策略数据库policydb中，在加载安全策略后，通过调用policydb_load_isids()函数将随机生成的内部标识（初始sid）以及外部标识（策略中定义的初始安全上下文）注册到核内外安全标记映射表sidtab中；在文件系统挂载时由于系统还没有加载安全策略并且SELinux内核安全服务器（SecurityServer）还未完成初始化时无法进行。因此在加载安全策略后安全服务器完成初始化通过调用selinux_complete_init()为加载策略前的挂载的文件系统添加安全标记，从而完成SELinux全部初始化工作。在为文件系统添加标记时需要根据安全策略规则获取与其对应的安全上下文，然后获取为安全上下文分配内部标识，将内部标识作为其扩展安全属性，并内部标识（初始sid）以及外部标识（策略中定义的初始安全上下文）注册到核内外安全标记映射表sidtab中。SELinux初始化全部完成之后，在操作系统运行过程中，当首次访问系统内某些对象（如网络接口等）时，通过安全服务器根据安全策略规则获取对应的外部标识（安全上下文），并检查是否已经在核内外安全标记映射表sidtab中注册，如果已经注册则返回内部标识，否则为其随机分配内部标识，然后将内部标识添加到到其扩展安全属性中。

本实施例中，所述步骤3）的详细步骤包括：

3.1）首先初始化用于缓存内核访问控制规则的访问向量缓存AVC；

3.2）在操作系统运行过程中，当任一主体对象访问客体对象时，首先判断访问向量缓存AVC中是否存在该主体对象访问客体对象的访问控制规则，如果存在该主体对象访问客体对象的访问控制规则，则跳转执行步骤3.3）；如果不存在该主体对象访问客体对象的访问控制规则，则跳转执行步骤3.4）；

3.3）根据访问向量缓存AVC中的访问控制规则判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象；退出；

3.4）将主体对象、客体对象对应的访问控制规则及其内部标识添加到访问向量缓存AVC中，根据强制访问控制机制的内核访问控制规则库中的访问控制规则判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象。

访问向量缓存（AccessVectorCache，AVC）用于提高SELinux进行访问控制权限判断的效率。SELinux访问控制首先获取主客体扩展安全属性中的内部标识（sid），根据主客体的内部标识及请求权限通过avc_has_perm()接口查找访问向量缓存AVC对权限进行判断。如果访问向量缓存AVC中存在相应规则则直接做出判断，否则查找核内外安全标记映射表sidtab获取安全上下文context，然后通过安全服务器提供的接口获取内核访问控制规则库中对应的访问控制规则，对其权限进行判断。为了在下一次查询时提高查询速度，将主客体的内部标识（sid）以及对应的访问控制规则加到访问向量缓存AVC中。

本实施例中，随机化生成该安全标记对应的内部标识具体是指采用基值随机策略随机化生成该安全标记对应的内部标识。采用基值随机策略随机化只需要随机化生成一个基本内部标识，后续的内部标识都是在基本内部标识上进行偏移得到，优点是计算量比较小。本实施例中，所述采用基值随机策略随机化生成该安全标记对应的内部标识的详细步骤包括：

A1）判断本次进行随机化处理的外部标识是否为第一个外部标识，如果是第一个外部标识，则跳转执行步骤A2），否则如果不是第一个外部标识，则跳转执行步骤A3）；

A2）生成一个无符号整数形式的随机数分配作为该外部标识对应的内部标识，退出；

A3）读取上一次生成的内部标识并在原值上加1后作为待分配的内部标识；

A4）判断待分配的内部标识是否越界，如果待分配的内部标识越界，则将待分配的内部标识进行取余处理后再分配作为该外部标识对应的内部标识；如果待分配的内部标识未越界，则直接将待分配的内部标识分配作为该外部标识对应的内部标识。当随机产生的基址较大时，就有可能导致不断增长的内部标识值超过最大值，本实施例对新分配的标识进行越界判断，一旦超过最大值上限，就需要对该值进行取余处理，从而防止待分配的内部标识越界。

本实施例中，步骤A3）的详细步骤包括：

A3.1）读取上一次生成的内部标识并在原值上加1；

A3.2）判断加1后的内部标识是否等于步骤A2）中分配的内部标识，如果等于步骤A2）中分配的内部标识，则判定内部标识溢出，报错并退出；如果不等于步骤A2）中分配的内部标识，则跳转执行步骤A4）。

本实施例中，步骤A4）中取余处理的表达式为（sid%(232-1)+1），其中sid为待分配的内部标识。基值随机策略主要需要考虑的是内部标识的分配越界问题。当随机产生的内部标识基值较大时，可能导致后续分配的内部标识超过允许的最大值。因此在分配内部标识时，对分配的内部标识sid进行取余处理（sid%(232-1)+1），使内部标识在超过最大值后从1开始继续分配。

实施例二：

本实施例与实施例一基本相同，其主要区别点为随机化生成该安全标记对应的内部标识具体是指采用全随机策略随机化生成该安全标记对应的内部标识。全随机策略是指系统中任意一个安全标记内部标识都是经过随机算法产生的。显而易见，全随机产生的安全标记随机性更强，但是由于每次生成安全标记都需调用随机算法，因此带来的性能损失也较大。需要说明的是，初始内部标识分配时，SELinux模块尚未初始化核内外安全标记映射表sidtab，因此对其重复性检测在selinux_init()随机分配初始内部标识时单独完成。在SELinux模块加载安全策略后，后续内部标识的分配都是在调用sidtab_context_to_sid()时进行的。因此，后续内部标识的重复性检测在为其分配内部标识时首先查找核内外安全标记映射表sidtab检测内部标识是否已经存在。若存在，则重新随机分配；否则将外部标识和内部标识注册到核内外安全标记映射表sidtab中。

由于全随机策略的内部标识都是随机生成的，就有可能出现标识重复的情况，将导致安全标识的二义性并造成系统安全配置的混乱。因此，本实施例中在每新生成一个内部标识时，需要与已有标识集合进行匹配判断，只有该值不与任何一个已有标识重复的情况下，才能将该值作为一个合法的新标识插入系统安全标记链表。本实施例中，采用全随机策略随机化生成该安全标记对应的内部标识的详细步骤包括：

B1）随机生成待分配的内部标识；

B2）判断待分配的内部标识是否已经在已分配的内部标识集合中存在，如果已经在，则跳转执行步骤B1），否则将待分配的内部标识添加到已分配的内部标识集合，并将待分配的内部标识分配作为该外部标识对应的内部标识。

以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (9)

1.一种基于安全标记随机化的操作系统强制访问控制方法，其特征在于步骤包括：

1）预先在操作系统的强制访问控制机制中构建用于记录安全标记的内部标识、外部标识之间对应关系的核内外安全标记映射表；

2）将保存在核外的安全管理员对操作系统中各类对象配置的安全标记作为外部标识，在操作系统运行时在核内随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间的对应关系添加至核内外安全标记映射表，并将内部标识作为安全属性赋予给核内各类对象，基于内部标识建立强制访问控制机制的内核访问控制规则库；

3）在操作系统运行过程中，当任一主体对象访问客体对象时，获取主体与客体对象的内部标识，根据内部标识查询内核访问控制规则库判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象。

2.根据权利要求1所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述步骤2）的详细步骤包括：

2.1）强制访问控制机制在操作系统启动初期进行初始化时，将强制访问控制机制内核代码中每一个预定义的安全标记作为外部标识，随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间对应关系添加至核内外安全标记映射表；

2.2）在操作系统创建对象时，根据内核代码中为该对象赋予的预定义初始安全标记，查找安全标记内外标识映射表，将预定义安全标记的内部标识作为安全属性赋予该对象；

2.3）在操作系统的文件系统加载后，强制访问控制机制读取保存在文件系统中的核外安全策略配置库，读取所述核外安全策略配置库中的所有安全标记外部标识定义，如果任意一个安全标记外部标识定义在核内外安全标记映射表中不存在对应的记录，则将安全标记外部标识定义作为外部标识，随机化生成该安全标记对应的内部标识，将安全标记的内部标识、外部标识之间对应关系添加至核内外安全标记映射表；

2.4）读取所述核外安全策略配置库中的访问控制规则库，所述访问控制规则库中的主体和客体均为安全标记的外部标识，查询核内外安全标记映射表，获得访问控制规则库中每一个安全标记的内部标识，将访问控制规则库中的主体和客体安全标记的外部标识替换为对应的内部标识，并将访问控制规则定义添加到强制访问控制机制的内核访问控制规则库；

2.5）在强制访问控制机制的核内安全策略配置生成完毕后，当操作系统初始化一个主体或客体对象时，首先判断该对象的安全标记是否已经在强制访问控制机制的核外安全策略配置库中的所有安全标记外部标识定义中进行了明确定义，如果已经进行明确定义，则查询核内外安全标记映射表查找该安全标记的内部标识，如果没有进行明确定义，则按照预设的安全策略生成该对象的内部标识；最终将确定的内部标识作为安全属性赋予给该对象。

3.根据权利要求2所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述步骤3）的详细步骤包括：

3.1）首先初始化用于缓存内核访问控制规则的访问向量缓存AVC；

3.2）在操作系统运行过程中，当任一主体对象访问客体对象时，首先判断访问向量缓存AVC中是否存在该主体对象访问客体对象的访问控制规则，如果存在该主体对象访问客体对象的访问控制规则，则跳转执行步骤3.3）；如果不存在该主体对象访问客体对象的访问控制规则，则跳转执行步骤3.4）；

3.3）根据访问向量缓存AVC中的访问控制规则判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象；退出；

3.4）将主体对象、客体对象对应的访问控制规则及其内部标识添加到访问向量缓存AVC中，根据强制访问控制机制的内核访问控制规则库中的访问控制规则判断该主体对象是否具有对该客体对象的访问权限，如果有对该客体对象的访问权限，则允许本次主体对象访问客体对象，否则拒绝本次主体对象访问客体对象。

4.根据权利要求1或2或3所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述随机化生成该安全标记对应的内部标识具体是指采用基值随机策略随机化生成该安全标记对应的内部标识。

5.根据权利要求4所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述采用基值随机策略随机化生成该安全标记对应的内部标识的详细步骤包括：

A1）判断本次进行随机化处理的外部标识是否为第一个外部标识，如果是第一个外部标识，则跳转执行步骤A2），否则如果不是第一个外部标识，则跳转执行步骤A3）；

A2）生成一个无符号整数形式的随机数分配作为该外部标识对应的内部标识，退出；

A3）读取上一次生成的内部标识并在原值上加1后作为待分配的内部标识；

A4）判断待分配的内部标识是否越界，如果待分配的内部标识越界，则将待分配的内部标识进行取余处理后再分配作为该外部标识对应的内部标识；如果待分配的内部标识未越界，则直接将待分配的内部标识分配作为该外部标识对应的内部标识。

6.根据权利要求5所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述步骤A3）的详细步骤包括：

A3.1）读取上一次生成的内部标识并在原值上加1；

A3.2）判断加1后的内部标识是否等于步骤A2）中分配的内部标识，如果等于步骤A2）中分配的内部标识，则判定内部标识溢出，报错并退出；如果不等于步骤A2）中分配的内部标识，则跳转执行步骤A4）。

7.根据权利要求6所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述步骤A4）中取余处理的表达式为（sid%(232-1)+1），其中sid为待分配的内部标识。

8.根据权利要求1或2或3所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述随机化生成该安全标记对应的内部标识具体是指采用全随机策略随机化生成该安全标记对应的内部标识。

9.根据权利要求8所述的基于安全标记随机化的操作系统强制访问控制方法，其特征在于，所述采用全随机策略随机化生成该安全标记对应的内部标识的详细步骤包括：

B1）随机生成待分配的内部标识；

B2）判断待分配的内部标识是否已经在已分配的内部标识集合中存在，如果已经在，则跳转执行步骤B1），否则将待分配的内部标识添加到已分配的内部标识集合，并将待分配的内部标识分配作为该外部标识对应的内部标识。