CN108614969A - 一种系统启动后加载的强制访问控制方法及系统 - Google Patents

一种系统启动后加载的强制访问控制方法及系统 Download PDF

Info

Publication number
CN108614969A
CN108614969A CN201810409597.3A CN201810409597A CN108614969A CN 108614969 A CN108614969 A CN 108614969A CN 201810409597 A CN201810409597 A CN 201810409597A CN 108614969 A CN108614969 A CN 108614969A
Authority
CN
China
Prior art keywords
subjective
objective
module
kernel
label
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201810409597.3A
Other languages
English (en)
Other versions
CN108614969B (zh
Inventor
田兆楠
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Sohu New Media Information Technology Co Ltd
Original Assignee
Beijing Sohu New Media Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Sohu New Media Information Technology Co Ltd filed Critical Beijing Sohu New Media Information Technology Co Ltd
Priority to CN201810409597.3A priority Critical patent/CN108614969B/zh
Publication of CN108614969A publication Critical patent/CN108614969A/zh
Application granted granted Critical
Publication of CN108614969B publication Critical patent/CN108614969B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • G06F9/44505—Configuring for program initiating, e.g. using registry, configuration files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • G06F9/44521—Dynamic linking or loading; Link editing at or after load time, e.g. Java class loading

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Stored Programmes (AREA)

Abstract

本发明提供了一种系统启动后加载的强制访问控制方法，包括系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；系统启动后加载用于实现强制访问控制逻辑的可加载模块；通过应用层工具对所述主客体标记链表进行维护。本发明基于Linux LSM框架，无需大量修改内核，实现访问控制策略的模块与内核完全解耦，且实现访问控制策略的模块在系统启动后加载，使用灵活，不影响系统启动，不需要服务节点，且模块相较于内核编译快、调试简单、开发周期短，还可以实现自定义的访问控制模型。本发明还公开了一种系统启动后加载的强制访问控制系统。

Description

一种系统启动后加载的强制访问控制方法及系统
技术领域
本发明涉及计算机系统安全技术领域，尤其涉及一种系统启动后加载的强制访问控制方法及系统。
背景技术
很多商用和研究使用系统是基于Linux内核开发的，Linux内核源码十分庞大，有很多已知漏洞且漏洞一直在持续挖掘中。操作系统安全问题十分重要。一个安全的系统需要在自主访问控制、强制访问控制、标记、身份鉴别等等十多个方面满足相应的技术要求。
其中，Linux强制访问控制基于LSM框架实现，通过在内核数据结构中加入安全域，在进程、文件等主客体访问时候调用的系统调用中插入钩子函数，来实现特定的策略。其访问控制模型的一个实现模块为Selinux，在应用中使用最为广泛。包括基于角色类型的访问控制和基于安全级别的访问控制。Selinux中基于安全级别的访问控制实现了机密性模型(BLP)即低级别主体不向上读取高级别客体、高级别主体不向下写低级别客体。
在实际应用中，为达到安全操作系统的要求，需要实现完整性保护模型，或在一些应用中需要按照自定义的安全模型进行强制访问控制。而这些需求的实现通常通过修改主客体的标记和系统调用相应的钩子函数以实现特定的模型。或者抛弃LSM框架在应用层增加访问控制服务端，在系统调用后与应用层服务端通信以实现访问控制。然而通过在内核中添加主客体标记和访问控制策略代码的形式需要深入理解Linux内核，加入大量的内核代码，开发周期长且面对复杂的内核容易引入错误；修改后的内核启动时会延长启动时间；内核编译时间长、启动时调试过程复杂。使用强制访问控制服务器的方式需要复杂的系统设计、实现通信机制，将造成额外的服务器节点，访问控制的实现需要额外的通信代价。
发明内容
有鉴于此，本发明提供了一种系统启动后加载的强制访问控制方法及系统，本发明基于Linux LSM框架，无需大量修改内核，实现访问控制策略的模块与内核完全解耦，且实现访问控制策略的模块在系统启动后加载，使用灵活，不影响系统启动，不需要服务节点，且模块相较于内核编译快、调试简单、开发周期短，还可以实现自定义的访问控制模型。
本发明提供了一种系统启动后加载的强制访问控制方法，包括：
系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；
系统启动后加载用于实现强制访问控制逻辑的可加载模块；
通过应用层工具对所述主客体标记链表进行维护。
优选地，所述方法还包括：
在所述可加载模块中复制capabilitiy相关内核初始化接口；
调用所述capabilitiy相关内核初始化接口，向LSM框架注册所述可加载模块。
优选地，所述系统启动后在内核中初始化一个主客体标记链表包括：
系统启动后在所述主客体标记链表中初始化需要访问控制的所述主客体标记为equal，其中，所述主客体标记中的主体包括用户，所述主客体标记中的客体包括文件、文件系统和进程；
将所述主客体标记以一个无符号整形进行表示；
将所述主客体标记设为0-15级，其中，0级为最低级，15级为最高级。
优选地，所述系统启动后加载用于实现强制访问控制逻辑的可加载模块包括：
基于LSM框架在所述内核中的各个系统调用插入用于访问控制的钩子函数；
所述可加载模块加载时将所述钩子函数指向所述可加载模块的钩子；
所述钩子函数从所述主客体标记链表中读取所述主客体标记；
按照自定义的访问控制模型对所述主客体标记进行对比；
根据对比规则允许或禁止访问。
优选地，所述通过应用层工具对所述主客体标记链表进行维护包括：
使用伪文件系统提供与所述内核的接口，通过所述应用层工具从用户空间获得所述主客体标记的文本表示；
对所述主客体标记的文本表示进行解析，获得解析结果；
基于所述解析结果更新所述内核中的所述主客体标记链表。
一种系统启动后加载的强制访问控制系统，包括：
初始化模块：用于系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；
加载模块：用于系统启动后加载用于实现强制访问控制逻辑的可加载模块；
维护模块：通过应用层工具对所述主客体标记链表进行维护。
优选地，所述系统还包括：
复制模块：用于在所述可加载模块中复制capabilitiy相关内核初始化接口；
注册模块：用于调用所述capabilitiy相关内核初始化接口，向LSM框架注册所述可加载模块。
优选地，所述初始化模块具体用于：
系统启动后在所述主客体标记链表中初始化需要访问控制的所述主客体标记为equal，其中，所述主客体标记中的主体包括用户，所述主客体标记中的客体包括文件、文件系统和进程；
将所述主客体标记以一个无符号整形进行表示；
将所述主客体标记设为0-15级，其中，0级为最低级，15级为最高级。
优选地，所述加载模块具体用于：
基于LSM框架在所述内核中的各个系统调用插入用于访问控制的钩子函数；
所述可加载模块加载时将所述钩子函数指向所述可加载模块的钩子；
所述钩子函数从所述主客体标记链表中读取所述主客体标记；
按照自定义的访问控制模型对所述主客体标记进行对比；
根据对比规则允许或禁止访问。
优选地，所述维护模块具体用于：
使用伪文件系统提供与所述内核的接口，通过所述应用层工具从用户空间获得所述主客体标记的文本表示；
对所述主客体标记的文本表示进行解析，获得解析结果；
基于所述解析结果更新所述内核中的所述主客体标记链表。
从上述技术方案可以看出，本发明提供了一种系统启动后加载的强制访问控制方法，包括系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；系统启动后加载用于实现强制访问控制逻辑的可加载模块；通过应用层工具对所述主客体标记链表进行维护。本发明基于Linux LSM框架，无需大量修改内核，实现访问控制策略的模块与内核完全解耦，且实现访问控制策略的模块在系统启动后加载，使用灵活，不影响系统启动，不需要服务节点，且模块相较于内核编译快、调试简单、开发周期短，还可以实现自定义的访问控制模型。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明公开的一种系统启动后加载的强制访问控制方法实施例1的方法流程图；
图2为本发明公开的一种系统启动后加载的强制访问控制系统实施例1的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，为本发明公开的一种系统启动后加载的强制访问控制方法实施例1的方法流程图，所述方法包括：
S101、系统启动后在内核中初始化一个主客体标记链表；
系统启动后，需要在内核中初始化一个主客体标记链表，该主客体标记链表用于存储主客体标记，在进行访问控制逻辑判断时，需要到该主客体标记链表中获取相应的主客体标记。
S102、系统启动后加载用于实现强制访问控制逻辑的可加载模块；
系统启动后，加载用于实现强制访问控制逻辑的可加载模块，实现一套用于控制检查点处调用的自定义钩子函数。
S103、通过应用层工具对主客体标记链表进行维护。
在内核中对主客体标记链表进行初始化后，还需要通过应用层工具对该初始化后的主客体标记链表进行维护和更新。
综上所述，在上述实施例中，首先系统启动后在内核中初始化一个主客体标记链表；然后再系统启动后加载用于实现强制访问控制逻辑的可加载模块；最后通过应用层工具对主客体标记链表进行维护。本发明基于Linux LSM框架，无需大量修改内核，实现访问控制策略的模块与内核完全解耦，且实现访问控制策略的模块在系统启动后加载，使用灵活，不影响系统启动，不需要服务节点，且模块相较于内核编译快、调试简单、开发周期短，还可以实现自定义的访问控制模型。本发明还公开了一种系统启动后加载的强制访问控制系统。
具体地，在上述实施例中，在系统启动时需要在主客体标记链表中初始化需要访问控制的主客体标记为equal，即级别为相等。其中，涉及的主体包括用户(进程继承用户的标记)，客体包括文件(包括路径)、文件系统和进程。
具体地，在上述实施例中，主客体标记可以用一个无符号整型进行表示，例如unsigned int label。另外，主客体标记可以设为0-15级，其中0级即为最低级low，15级即为最高级high。
具体地，在上述实施例中，在加载用于实现强制访问控制逻辑的可加载模块之前，首先需要调用capabilitiy相关内核初始化接口，向LSM框架注册可加载模块。这些接口在内核初始化完毕后已经销毁，因此在可加载模块中拷贝此初始化接口，capabilitiy相关接口举例如下：
具体地，在上述实施例中，在系统启动后加载用于实现强制访问控制逻辑的可加载模块时，由于LSM框架在内核中的各个系统调用(即访问控制点)插入用于访问控制的一套钩子函数，可加载模块加载时需要将这套钩子函数指向可加载模块中实现的钩子。钩子函数从主客体标记链表中读取主客体标记时，按照自定义的访问控制模型进行标记对比，根据对比规则允许或禁止访问。钩子函数指向可加载模块的钩子在可加载模块注册时通过以下伪代码实现：
p_backup_ops＝*p_current_security_ops
*p_current_security_ops＝p_my_security_ops
为实现对客体的访问控制，需要实现的钩子函数列表如下：
通过以上步骤实现了用于实现强制访问控制的可加载模块与内核的完全解耦。
具体地，在上述实施例中，用于实现强制访问控制的可加载模块加载后，当一个主体(如进程)发起对客体的访问时，访问控制流程如下：
S1、应用层主体发起访问客体操作；
S2、进入可加载模块中的强制访问控制检查点；
S3、进入内核层从内核中主客体标记链表中获取主客体标记；
S4、回到可加载模块，主客体标记进行比较，符合可加载模块中钩子自定义策略进入S5a，不符合可加载模块中钩子自定义策略进入S5b；
S5a、允许访问；
S5b、拒绝访问；
S6、回到用户空间，访问结束。
具体地，在上述实施例中，在通过应用层工具对主客体标记链表进行维护时，以伪文件系统形式提供与内核的接口，用以维护内核中的主客体标记链表。通过应用层工具从用户空间获得主客体标记的文本表示，对其进行解析，更新内存中的主客体标记链表。主客体标记的二进制表示举例如下：
file:"/usr/bin/cat":low
file:"/home/test":high
user:"root":grade5
file:"/usr/bin/getfattr":equal
user:"test1":low
file:"/usr/bin/setfacl":high
default:equal
如图2所示，为本发明公开的一种系统启动后加载的强制访问控制系统实施例1的结构示意图，所述系统包括：
初始化模块201，用于系统启动后在内核中初始化一个主客体标记链表；
系统启动后，需要在内核中初始化一个主客体标记链表，该主客体标记链表用于存储主客体标记，在进行访问控制逻辑判断时，需要到该主客体标记链表中获取相应的主客体标记。
加载模块202，用于系统启动后加载用于实现强制访问控制逻辑的可加载模块；
系统启动后，加载用于实现强制访问控制逻辑的可加载模块，实现一套用于控制检查点处调用的自定义钩子函数。
维护模块203、通过应用层工具对主客体标记链表进行维护。
在内核中对主客体标记链表进行初始化后，还需要通过应用层工具对该初始化后的主客体标记链表进行维护和更新。
综上所述，在上述实施例中，首先系统启动后在内核中初始化一个主客体标记链表；然后再系统启动后加载用于实现强制访问控制逻辑的可加载模块；最后通过应用层工具对主客体标记链表进行维护。本发明基于Linux LSM框架，无需大量修改内核，实现访问控制策略的模块与内核完全解耦，且实现访问控制策略的模块在系统启动后加载，使用灵活，不影响系统启动，不需要服务节点，且模块相较于内核编译快、调试简单、开发周期短，还可以实现自定义的访问控制模型。本发明还公开了一种系统启动后加载的强制访问控制系统。
具体地，在上述实施例中，在系统启动时需要在主客体标记链表中初始化需要访问控制的主客体标记为equal，即级别为相等。其中，涉及的主体包括用户(进程继承用户的标记)，客体包括文件(包括路径)、文件系统和进程。
具体地，在上述实施例中，主客体标记可以用一个无符号整型进行表示，例如unsigned int label。另外，主客体标记可以设为0-15级，其中0级即为最低级low，15级即为最高级high。
具体地，在上述实施例中，在加载用于实现强制访问控制逻辑的可加载模块之前，首先需要调用capabilitiy相关内核初始化接口，向LSM框架注册可加载模块。这些接口在内核初始化完毕后已经销毁，因此在可加载模块中拷贝此初始化接口，capabilitiy相关接口举例如下：
具体地，在上述实施例中，在系统启动后加载用于实现强制访问控制逻辑的可加载模块时，由于LSM框架在内核中的各个系统调用(即访问控制点)插入用于访问控制的一套钩子函数，可加载模块加载时需要将这套钩子函数指向可加载模块中实现的钩子。钩子函数从主客体标记链表中读取主客体标记时，按照自定义的访问控制模型进行标记对比，根据对比规则允许或禁止访问。钩子函数指向可加载模块的钩子在可加载模块注册时通过以下伪代码实现：
p_backup_ops＝*p_current_security_ops
*p_current_security_ops＝p_my_security_ops
为实现对客体的访问控制，需要实现的钩子函数列表如下：
操作 检查点
inode_mkdir 创建目录
inode_rmdir 删除目录
inode_rename 重命名inode
inode_permission inode访问操作(读、写)
sb_mount 文件系统挂载的检查点
sb_umount 文件系统卸载的检查点
inode_link 创建文件i节点硬链接的检查点
inode_unlink 删除文件i节点(硬链接)的检查点
inode_mknod 创建通用i节点的检查点
file_permission 对文件对象进行访问操作的检查点
task_kill 向进程发送信号的检查点
inode_post_setxattr 设置i节点扩展属性时的处理
d_instantiate 目录项实例化时处理其标记
通过以上步骤实现了用于实现强制访问控制的可加载模块与内核的完全解耦。
具体地，在上述实施例中，用于实现强制访问控制的可加载模块加载后，当一个主体(如进程)发起对客体的访问时，访问控制流程如下：
S1、应用层主体发起访问客体操作；
S2、进入可加载模块中的强制访问控制检查点；
S3、进入内核层从内核中主客体标记链表中获取主客体标记；
S4、回到可加载模块，主客体标记进行比较，符合可加载模块中钩子自定义策略进入S5a，不符合可加载模块中钩子自定义策略进入S5b；
S5a、允许访问；
S5b、拒绝访问；
S6、回到用户空间，访问结束。
具体地，在上述实施例中，在通过应用层工具对主客体标记链表进行维护时，以伪文件系统形式提供与内核的接口，用以维护内核中的主客体标记链表。通过应用层工具从用户空间获得主客体标记的文本表示，对其进行解析，更新内存中的主客体标记链表。主客体标记的二进制表示举例如下：
file:"/usr/bin/cat":low
file:"/home/test":high
user:"root":grade5
file:"/usr/bin/getfattr":equal
user:"test1":low
file:"/usr/bin/setfacl":high
default:equal
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种系统启动后加载的强制访问控制方法，其特征在于，包括：
系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；
系统启动后加载用于实现强制访问控制逻辑的可加载模块；
通过应用层工具对所述主客体标记链表进行维护。
2.根据权利要求1所述的方法，其特征在于，在所述系统启动后加载用于实现强制访问控制逻辑的可加载模块之前还包括：
在所述可加载模块中复制capabilitiy相关内核初始化接口；
调用所述capabilitiy相关内核初始化接口，向LSM框架注册所述可加载模块。
3.根据权利要求1所述的方法，其特征在于，所述系统启动后在内核中初始化一个主客体标记链表包括：
系统启动后在所述主客体标记链表中初始化需要访问控制的所述主客体标记为equal，其中，所述主客体标记中的主体包括用户，所述主客体标记中的客体包括文件、文件系统和进程；
将所述主客体标记以一个无符号整形进行表示；
将所述主客体标记设为0-15级，其中，0级为最低级，15级为最高级。
4.根据权利要求1所述的方法，其特征在于，所述系统启动后加载用于实现强制访问控制逻辑的可加载模块包括：
基于LSM框架在所述内核中的各个系统调用插入用于访问控制的钩子函数；
所述可加载模块加载时将所述钩子函数指向所述可加载模块的钩子；
所述钩子函数从所述主客体标记链表中读取所述主客体标记；
按照自定义的访问控制模型对所述主客体标记进行对比；
根据对比规则允许或禁止访问。
5.根据权利要求1所述的方法，其特征在于，所述通过应用层工具对所述主客体标记链表进行维护包括：
使用伪文件系统提供与所述内核的接口，通过所述应用层工具从用户空间获得所述主客体标记的文本表示；
对所述主客体标记的文本表示进行解析，获得解析结果；
基于所述解析结果更新所述内核中的所述主客体标记链表。
6.一种系统启动后加载的强制访问控制系统，其特征在于，包括：
初始化模块：用于系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；
加载模块：用于系统启动后加载用于实现强制访问控制逻辑的可加载模块；
维护模块：通过应用层工具对所述主客体标记链表进行维护。
7.根据权利要求6所述的系统，其特征在于，还包括：
复制模块：用于在所述可加载模块中复制capabilitiy相关内核初始化接口；
注册模块：用于调用所述capabilitiy相关内核初始化接口，向LSM框架注册所述可加载模块。
8.根据权利要求6所述的系统，其特征在于，所述初始化模块具体用于：
系统启动后在所述主客体标记链表中初始化需要访问控制的所述主客体标记为equal，其中，所述主客体标记中的主体包括用户，所述主客体标记中的客体包括文件、文件系统和进程；
将所述主客体标记以一个无符号整形进行表示；
将所述主客体标记设为0-15级，其中，0级为最低级，15级为最高级。
9.根据权利要求6所述的系统，其特征在于，所述加载模块具体用于：
基于LSM框架在所述内核中的各个系统调用插入用于访问控制的钩子函数；
所述可加载模块加载时将所述钩子函数指向所述可加载模块的钩子；
所述钩子函数从所述主客体标记链表中读取所述主客体标记；
按照自定义的访问控制模型对所述主客体标记进行对比；
根据对比规则允许或禁止访问。
10.根据权利要求6所述的系统，其特征在于，所述维护模块具体用于：
使用伪文件系统提供与所述内核的接口，通过所述应用层工具从用户空间获得所述主客体标记的文本表示；
对所述主客体标记的文本表示进行解析，获得解析结果；
基于所述解析结果更新所述内核中的所述主客体标记链表。
CN201810409597.3A 2018-05-02 2018-05-02 一种系统启动后加载的强制访问控制方法及系统 Active CN108614969B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810409597.3A CN108614969B (zh) 2018-05-02 2018-05-02 一种系统启动后加载的强制访问控制方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810409597.3A CN108614969B (zh) 2018-05-02 2018-05-02 一种系统启动后加载的强制访问控制方法及系统

Publications (2)

Publication Number Publication Date
CN108614969A true CN108614969A (zh) 2018-10-02
CN108614969B CN108614969B (zh) 2021-06-15

Family

ID=63661395

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810409597.3A Active CN108614969B (zh) 2018-05-02 2018-05-02 一种系统启动后加载的强制访问控制方法及系统

Country Status (1)

Country Link
CN (1) CN108614969B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110381068A (zh) * 2019-07-23 2019-10-25 迈普通信技术股份有限公司 强制访问控制方法、装置、网络设备及存储介质
CN110554675A (zh) * 2019-09-18 2019-12-10 台山核电合营有限公司 核电dcs离线数据库的构建、同步、呈现与分析方法及系统
CN111984998A (zh) * 2020-08-20 2020-11-24 北京人大金仓信息技术股份有限公司 数据库的强制访问控制方法和装置
CN112668008A (zh) * 2021-01-06 2021-04-16 上海湖顶大数据科技有限公司 一种基于lsm来实现动态的系统调用劫持的方法
CN113377601A (zh) * 2020-03-10 2021-09-10 奇安信科技集团股份有限公司 一种国产系统感知服务启停的方法、装置及电子设备
CN113612802A (zh) * 2021-10-08 2021-11-05 苏州浪潮智能科技有限公司 一种访问控制方法、装置、设备及可读存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101727545A (zh) * 2008-10-10 2010-06-09 中国科学院研究生院 一种安全操作系统强制访问控制机制的实施方法
CN102222191A (zh) * 2011-06-16 2011-10-19 中国人民解放军国防科学技术大学 一种松散耦合角色授权的类型实施访问控制方法及其系统
CN105245543A (zh) * 2015-10-28 2016-01-13 中国人民解放军国防科学技术大学 一种基于安全标记随机化的操作系统强制访问控制方法
CN106096400A (zh) * 2016-06-06 2016-11-09 中国科学院信息工程研究所 一种Linux内核并行LSM框架实现方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101727545A (zh) * 2008-10-10 2010-06-09 中国科学院研究生院 一种安全操作系统强制访问控制机制的实施方法
CN102222191A (zh) * 2011-06-16 2011-10-19 中国人民解放军国防科学技术大学 一种松散耦合角色授权的类型实施访问控制方法及其系统
CN105245543A (zh) * 2015-10-28 2016-01-13 中国人民解放军国防科学技术大学 一种基于安全标记随机化的操作系统强制访问控制方法
CN106096400A (zh) * 2016-06-06 2016-11-09 中国科学院信息工程研究所 一种Linux内核并行LSM框架实现方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110381068A (zh) * 2019-07-23 2019-10-25 迈普通信技术股份有限公司 强制访问控制方法、装置、网络设备及存储介质
CN110554675A (zh) * 2019-09-18 2019-12-10 台山核电合营有限公司 核电dcs离线数据库的构建、同步、呈现与分析方法及系统
CN110554675B (zh) * 2019-09-18 2021-09-14 台山核电合营有限公司 核电dcs离线数据库的构建、同步、呈现与分析方法及系统
CN113377601A (zh) * 2020-03-10 2021-09-10 奇安信科技集团股份有限公司 一种国产系统感知服务启停的方法、装置及电子设备
CN111984998A (zh) * 2020-08-20 2020-11-24 北京人大金仓信息技术股份有限公司 数据库的强制访问控制方法和装置
CN112668008A (zh) * 2021-01-06 2021-04-16 上海湖顶大数据科技有限公司 一种基于lsm来实现动态的系统调用劫持的方法
CN113612802A (zh) * 2021-10-08 2021-11-05 苏州浪潮智能科技有限公司 一种访问控制方法、装置、设备及可读存储介质
CN113612802B (zh) * 2021-10-08 2022-02-18 苏州浪潮智能科技有限公司 一种访问控制方法、装置、设备及可读存储介质

Also Published As

Publication number Publication date
CN108614969B (zh) 2021-06-15

Similar Documents

Publication Publication Date Title
CN108614969A (zh) 一种系统启动后加载的强制访问控制方法及系统
Engler The Exokernel operating system architecture
US5493680A (en) Method for creating an object subclass with selective inheritance
US9152824B2 (en) Method and system for automatically preserving persistent storage
US6298353B1 (en) Checking serialization compatibility between versions of java classes
CN100470440C (zh) 具有多进程结构的用于运行插件程序代码模块的计算装置
US6792606B2 (en) Method and apparatus for object persistence
US7543002B2 (en) Mechanism to load first version classes into a runtime environment running a second version of the class
TW403882B (en) Method for simulating a computer storage device
WO2000063760A2 (en) A device driver for accessing computer files
CN110297721B (zh) 一种基于java的智能合约的跨合约调用方法
EP1155365A1 (en) Techniques for implementing security on a small footprint device using a context barrier
Spear et al. Solving the starting problem: device drivers as self-describing artifacts
JP2005063449A (ja) オブジェクトからオブジェクトへのＪａｖａネイティブインタフェースマッピングの方法及び装置
AU716558B2 (en) Portable, secure transaction system for programmable, intelligent devices
EP1503284A1 (en) Data processing system and method
Madany et al. A class hierarchy for building stream-oriented file systems
Kell Some were meant for C: the endurance of an unmanageable language
JPH0283622A (ja) 単一媒体による複数計算機への有償ソフトウエアのインストール方式
Salaun File access-control per container with Landlock
Moss et al. Managing persistent data with Mneme: User's guide to the client interface
EP0976040A1 (fr) Gestion des interruptions sur une plate-forme informatique
Soukup et al. Serialization and persistent objects
CN103885796B (zh) 一种基于脚本工具的软件动态部署方法
Osvald Lightweight Programming Abstractions for Increased Safety and Performance

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant