CN108460293A - 一种应用程序完整性多级检查机制 - Google Patents

Abstract

本发明公开了一种应用程序完整性多级检查机制，包括：结合页面级和文件级的程序完整性多级检查机制。页面级检查对实际访问内容进行检查，文件级检查对文件全部内容进行检查；使用一个只读数据库存储页面级检查的特征数据，每个文件的特征数据置于文件扩展属性或嵌入文件内容；操作系统在装载应用程序时，查询特征数据库获得文件对应的特征数据，在缺页处理过程中完成对调入页面的完整性检查。文件级完整性检查在应用程序装载期完成。本发明的核心是以页面级完整性检查为主，以文件级完整性检查为补充。本检查机制可在多种系统中实现，即使在计算资源有限的轻量级终端上，其性能开销也可以控制在较低范围内。

Description

一种应用程序完整性多级检查机制

技术领域

本发明属于应用程序的安全检查领域，尤其涉及应用程序完整性检查的方面。

背景技术

随着科学技术的发展，信息产业进入空前繁荣的时期，计算机已渗透到人们生活的方方面面，信息安全成为关乎国家安全和社会稳定的重要议题。

云计算时代推动了计算机终端轻量化的浪潮，一些传统的安全手段受性价比因素影响不再适用于轻量级终端，计算机终端逐渐成为信息安全威胁的主要来源。在计算机硬件种类日益丰富的同时，计算机软件在数量和复杂度上也急剧增长，对软件的恶意篡改变得更为隐秘。通过篡改软件，黑客可以植入恶意代码，对目标设备进行监视甚至控制，进而窃取受害者的隐私信息，或借此对其他系统实施破坏。

机密性、完整性、可用性是现代信息安全的三大要素，对计算机系统完整性的保护，虽然不能应对所有安全威胁，但是对提升系统整体的安全性有重要意义。应用程序是计算机系统的重要组成部分，对应用程序实施完整性检查，可以及时地发现对应用程序的恶意篡改行为，有助于保护计算机系统的完整性。

发明内容

本发明设计并实现了一种应用程序完整性多级检查机制，整合了三种检查方法。分别称为：基于内嵌数字签名的方法、基于文件扩展属性的方法、基于分页摘要的方法。

其中，基于内嵌数字签名的方法，包括：

数字签名格式采用某种加密风格(例如PKCS#1)的填充；

使用黑名单来标记升级淘汰的程序文件。签名密钥的有效期往往会长达数年。导致黑名单会不断膨胀，维护成本日增，本方法提出在每个数字签名中分别标记有效期的办法，用来解决黑名单膨胀的问题；

本方法里的“应用程序文件”特指可执行文件，验证可执行文件数字签名的工作由操作系统内核和动态链接器共同完成。

其中，基于文件扩展属性的方法，包括：

使用黑名单来标记升级淘汰的程序文件。签名密钥的有效期往往会长达数年。导致黑名单会不断膨胀，维护成本日增，本方法提出在每个数字签名中分别标记有效期的办法，用来解决黑名单膨胀的问题；

数字签名格式采用某种加密风格的填充；

使用文件安全属性来存储文件的安全上下文；

本方法选择使用安全命名空间，并增加扩展属性，基本内容包括两部分：文件内容的加密摘要(例如SHA256)以及该摘要的哈希运算消息认证码及时间戳；

基于文件扩展属性的检查方法也会受回退攻击影响，每出现文件版本更新，则更换主密钥并更新所有受保护文件的安全扩展属性，并使用该安全扩展属性的时间戳配合黑名单的检查。

分别在内核和动态链接器中加入检查点。

基于分页摘要的方法，包括：

用散列方法来构建特征数据库，特征数据库不能修改，仅提供查询功能，对其依照目录树或字典树的形式组织索引；

程序文件装载时只是通过查询特征数据库，获得文件对应的特征数据，并将其与文件自身关联起来；

该方法由操作系统内核完成，可通过复用系统调用的方式向用户空间开放接口；

运行时找到缺页异常触发地址所属的已分配地址片段后并找出该地址对应的页表项，本发明分别在文件处理相关函数中加入检查点，对调入的页进行完整性检查。该检查必须在调用页表处理函数设置用户页表项之前进行，以避免用户进程访问到内容可能已被篡改的页。由于检查过程自身需要访问被检查的页，这里将该页临时映射到内核空间，并在检查完毕后撤销映射。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是本实施例的在可装载可执行文件中嵌入数字签名；

图2是本发明实施例的基于数字签名的验证流程；

图3是本发明实施例的基于文件扩展属性的完整性检查流程；

图4是本发明实施例的基于分页摘要的检查方法的分页摘要示意图；

图5是本发明实施例的基于分页摘要的完整性检查流程(标记部分)；

图6是本发明实施例的基于分页摘要的完整性检查流程(检查部分)；

图7是本发明实施例的基于分页摘要的完整性检查的状态转换；

具体实施方式

应用程序完整性多级检查机制使用三种检查方法按优先级排列，即基于文件扩展属性的检查；基于内嵌数字签名的检查；基于分页摘要的检查。这种机制为典型的运行前强制性检查，未通过检查的程序不允许运行。基于文件扩展属性的检查与基于内嵌数字签名的检查，都是装载时行为，而基于分页摘要的检查则会随操作系统按需调页机制延后到程序运行时(对应用程序整体而言是运行时，对具体页面而言是装载时)。综合而言，基于分页摘要的方法表现最佳，故作为首选的完整性检查方法。考虑到分页摘要的方法需要占用较多内存，以及对非映射式访问情况缺乏良好支持，这里使用基于文件扩展属性的方法作为补充。以上两种方法依赖于需要保密的对称密钥，无法用于应用程序的传播，故再引入基于内嵌数字签名的方法作为补充。

为便于更好的阐述本发明，以下将结合附图及具体实施例对本发明技术方案的实施作进一步详细描述。

本发明提出一种应用程序完整性多级检查机制，包括页面级检查和文件级检查，其中页面级检查方法是指基于分页摘要的检查，文件级检查方法包括基于文件扩展属性的检查和基于内嵌数字签名的检查。

如图1是本实施例的在基于内嵌数字签名的检查方法在可装载的可执行文件中嵌入数字签名。可装载的文件一般由文件头、区段表、可选的分节表以及若干分节的正文组成。分节表包含所有正文的分节索引，为便于查找插入的签名分节，本发明要求不可省略分节表；本发明使用二进制工具集，在可执行文件中加入一个用于签名的分节。该分节属于非可装载区段，包含对所有可装载区段内容整体的一个数字签名。

如图2是本发明实施例的基于数字签名的验证流程，基于某非对称加解密(例如RSA但不限于RSA)说明如下：

签名验证需要进行RSA公钥解密，而RSA公钥解密的核心是大整数模幂运算：当公钥为<N,e>时，明文m和密文c的关系为：c＝me mod N。具体实现时可将相关的多精度整数计算代码移植到标准库函数中。

如图3是本发明实施例的基于文件扩展属性的完整性检查流程，说明如下：

由于引入了指定文件路径的功能，基于文件扩展属性的检查方法在流程上比基于内嵌数字签名的检查方法要复杂一些。本实施在操作系统内核中添加了一个函数“int f_check_hashtag(struct file*file,const char*path)”来完成此项任务，并定义传入参数path为NULL时表示不要求指定路径。

与基于内嵌数字签名的检查方法只针对某固定格式文件(例如ELF)不同，这里的检查对象可以是任意格式的文件，检查过程中不存在解析文件格式一环。因此，没有必要把检查点设置在装载文件函数中(只有针对特定格式文件的检查才需要复用其中格式解析的代码)。

本实施选择了和前面基于内嵌数字签名的检查方法保持一致，分别在内核和动态链接器中加入检查点。由于完整性检查过程需要访问系统主密钥，动态链接器无法自主完成该过程，必须委托内核进行。基于Linux伪文件系统的接口在使用上需要多步操作，略为不便，故本实施选择复用fcntl系统调用实现面向用户空间的接口。本实施使用基于文件扩展属性的检查方法来处理可执行脚本，检查点可以设置在内的load_script函数中，也可以设置在脚本解释器中。load_script中进行的检查，与脚本实际被解释执行之间存在时间差，不能保证脚本中途不被修改。但是，考虑到脚本解释器的种类繁多，一一插入检查点不现实，本实施选择由内核来发起检查，同时不排斥脚本解释器发起二次检查。相比原生应用程序，可执行脚本实施件通常较小，重复检查对系统性能的影响有限。

在内核发起的检查中，目前并不使用路径指定功能。实际上，本实施倾向于使用基于分页摘要的方法来处理需要指定路径的完整性检查。确定文件的绝对路径可能需要一些额外处理。

如图4是本发明实施例的基于分页摘要的检查方法的分页摘要示意图，说明如下：

本实施为每个文件分配独立密钥，专门用于分页摘要的计算。如图4所示，本实施使用随机产生128比特文件密钥，计算文件每个分页的HMAC-MD5，并将其128比特的输出截短成32比特，用作页面的特征。然而，使用截短HMAC值会增大安全风险：当攻击者有多次尝试机会时，较短数据摘要让攻击者更容易通过穷举的办法找到原像。攻击者的尝试机会取决于使用时的一些安全策略，如发现恶意篡改后是否暂停服务并追踪其源头。，建议在没有合适安全策略的情况下应当考虑改用64比特的特征。

如图5是本发明实施例的基于分页摘要的完整性检查流程(标记部分)，说明如下：

本实施将标记嵌入到内核虚拟文件系统之中，文件在内核中最终会表示为文件节点对象，而文件节点对象通常与地址空间(address space)对象一一对应。地址空间(address space)对象用于管理页面缓存，页面缓存是系统核心机制之一，也是页面级完整性检查所涉及的主要部分。本实施在地址空间对象中添加指针以指向关联的分页特征数据。该指针初始化为空，表示不需要完整性检查。由于存在符号链接，文件可以有很多合法的绝对路径，在用户不指明的情况下，完美还原文件的绝对路径是不可能的。另一方面，如果用户不指明文件的绝对路径，那么意味着他并不关心该文件的路径问题，因而还原一个能够满足特征数据库查询需要的绝对路径即可。回溯对象树，还原一个不带符号链接成分的绝对路径，是一个不错的选择。动态链接程序在装载时，会通过绝对路径调入动态链接器。考虑到动态链接器的特殊性，本实施主张仅允许使用基于分页摘要的方法来检查其完整性，以便于贯彻路径保护。另外，出于禁止应用程序文件在某路径出现的目的，可以在特征数据库中插入以该路径为索引的空特征。基于分页摘要的检查方法也必须由内核完成。这里同样通过复用系统调用，向用户空间开放接口，以便动态链接器发起完整性检查请求。

如图6是本发明实施例的基于分页摘要的完整性检查流程(检查部分)，说明如下：

本实施分别在调用处理页表相关动作设置用户页表项之前进行，以避免用户进程访问到内容可能已被篡改的页。由于检查过程自身需要访问被检查的页，这里将该页临时映射到内核空间，并在检查完毕后撤销映射。

如图7是本发明实施例的基于分页摘要的完整性检查的状态转换，说明如下：

本实施在文件节点对象中添加一个枚举量，记录文件的完整性检查状态。检查状态初始为“未知”，检查后根据情况转为“良好”或“破坏”，而在该文件以可写形式打开时，状态重置为“未知”。系统仅对处于“未知”状态的文件进行完整性检查。

出于可维护性的考虑，本实施选择在文件以可写形式打开时，而非发生具体的写操作时，重置完整性检查状态。这里存在一个竞争问题：进程甲检查了某文件准备更新其状态时，进程乙以可写形式打开同一个文件并重置其完整性检查状态，此后进程甲完成对文件其状态更新。这种情况下，该文件既被可写打开，又没有处于“未知”状态，之后若有修改也不会触发完整性检查。为解决该竞争问题，需要对状态转移过程加锁。文件写保护机制可以看作一种锁，以可写形式打开的文件会持有锁直到关闭。对文件进行完整性检查后，只有成功获得锁才进行状态转移，否则保留“未知”状态。

基于内嵌数字签名的检查方法主要包含对文件的散列计算和对数字签名内容的公钥解密两个过程，而基于文件扩展属性的检查方法则主要包含对文件的散列计算以及对扩展属性的完整性验证。用于扩展属性完整性验证的HMAC-SHA1算法比用于公钥解密的RSA3072算法要快，故基于内嵌数字签名的检查方法通常慢于基于文件扩展属性的检查方法。不过，本实施方案中，基于内嵌数字签名的检查方法实际上只会对可执行文件中的可装载内容计算散列值，而基于文件扩展属性的检查则要求对全文件计算散列值。这个差异在外存读取为性能瓶颈的时候表现尤为明显。

三种完整性检查方法在功能上并不能彼此替代，因而系统在实际使用中的启动延时介乎仅使用基于分页摘要的检查方法和仅使用数字签名的检查方法之间。本实施建议，对于原生可执行程序文件(包含主程序文件和动态链接库文件)，采用基于分页摘要的方法；对于可执行脚本以及应用程序配置文件，采用基于文件扩展属性的检查方法；基于内嵌数字签名的检查方法仅用于临时文件。

本发明设计了一种应用程序完整性多级检查机制，整合了三种检查方法。其中，基于内嵌数字签名的检查方法、基于文件扩展属性的检查方法都是文件级的检查方法，本发明引入了细粒度的有效期管理及对路径指定的支持，以更好地抵御替换攻击。本发明也使用页面级的检查方法，不同的是本发明采用了集中式的特征数据管理。本发明的多级检查机制在实现过程中，基于动态链接器以及内核中文件和内存子系统的修改。考虑到页面级完整性检查难以融入到系统框架中，本发明需要对操作系统内核做适当修改。

以上仅为本发明的优选实施案例，并不用于限制本发明，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (8)

1.一种应用程序完整性多级检查机制，所述方法包括：

基于内嵌数字签名的方法；

基于文件扩展属性的方法；

基于分页摘要的方法。

2.如权利要求1所述方法，其中：

基于内嵌数字签名的方法，包括：

数字签名格式采用某种加密风格(例如PKCS#1)的填充；

使用黑名单来标记升级淘汰的程序文件。签名密钥的有效期往往会长达数年。导致黑名单会不断膨胀，维护成本日增，本方法提出在每个数字签名中分别标记有效期的办法，用来解决黑名单膨胀的问题；

本方法里的应用程序文件特指可执行文件。

3.如权利要求2所述的方法，其中：

本方法里的“应用程序文件”特指可执行文件，以ELF文件为例，文件中可能包括：

基于内嵌数字签名的方法要求文件不可省略分节表，向ELF文件中加入一个用于签名的分节，该数字签名基于某加密算法生成(例如SHA256和RSA3072)。

验证文件数字签名的工作由操作系统内核和动态链接器共同完成。

4.如权利要求1所述的方法，其中：

基于文件扩展属性的方法：

使用文件安全属性来存储文件的安全上下文；

分别在内核和动态链接器中加入检查点。

5.如权利要求4所述机制，其中：

本方法选择使用安全命名空间，并增加扩展属性，基本内容包括两部分：文件内容的加密摘要(例如SHA256)以及该摘要的哈希运算消息认证码及时间戳；

基于文件扩展属性的检查方法也会受回退攻击影响，每出现文件版本更新，则更换主密钥并更新所有受保护文件的安全扩展属性，并使用该安全扩展属性的时间戳配合黑名单的检查。

6.如权利要求1所述方法，其中：

基于分页摘要的方法，包括：

用散列方法来构建特征数据库；

程序文件装载时只是通过查询特征数据库，获得文件对应的特征数据，并将其与文件自身关联起来；

该方法由操作系统内核完成，可通过复用系统调用的方式向用户空间开放接口。

运行时找到缺页异常触发地址所属的已分配地址片段后并找出该地址对应的页表项。

7.如权利要求6所述机制，其中：

用散列方法来构建特征数据库：

对其依照目录树或字典树的形式组织索引；

特征数据库不能修改，仅提供查询功能。

8.如权利要求6所述机制，其中：

运行时找到缺页异常触发地址所属的已分配地址片段后并找出该地址对应的页表项，包括：

分别在文件映射函数中加入检查点，对调入的页进行完整性检查。

该检查必须在调用处理页表相关动作设置用户页表项之前进行，以避免用户进程访问到内容可能已被篡改的页。由于检查过程自身需要访问被检查的页，这里将该页临时映射到内核空间，并在检查完毕后撤销映射。