DE10051941C2 - Gerätetechnische Schreibschutzkopplung zum Schutz digitaler Datenverarbeitungsanlagen vor Eindringlingen während der Installationsphase von Programmen - Google Patents

Description

Als Schutz vor unbefugter Manipulation von Daten und Programmen besteht die Möglich­ keit, diese in gerätetechnisch schreibgeschützten Speicherbereichen unterzubringen. Prinzi­ piell sind Maßnahmen bekannt, mit welchen Speichermedien bzw. -bereiche gerätetechnisch vor Schreibzugriffen schützbar sind (vgl. z. B. [2] und [3]). Um allerdings die Vorteile der­ art geschützter Speicherbereiche nicht während der Installationsphase von Programmen zu gefährden, ist es notwendig, Steuerungsprogramme und deren Datenbasen in separaten, ebenfalls gerätetechnisch schreibgeschützten Speicherbereichen unterzubringen. Dabei gilt es, die Möglichkeit konstruktiv auszuschließen, dass Programm- und Steuerbereiche gleich­ zeitig zum Beschreiben freigegegeben sind.

Dieses Problem lässt sich dadurch lösen, dass eine gerätetechnische Vorrichtung zur Erzeu­ gung der Schreibfreigabesignale verwendet wird, die es inhärent verhindert, dass zu einem Zeitpunkt mehr als ein Schreibfreigabesignal generiert wird.

Technisch lässt sich dies beispielsweise mit Hilfe eines Schalters realisieren, der, je nach Schalterstellung, jeweils nur ein Segment eines in mehrere Segmente unterteilten Speicher­ bereiches zum Schreiben freigibt.

Durch diese gerätetechnische Schreibschutzkopplung wird erreicht, dass Eindringen Unbe­ fugter während der Installation von Programmen sicher unterbunden wird und auch ver­ sehentliche Schreibfreigabe für mehrere Bereiche inhärent ausgeschlossen ist. Dies bedeutet insbesondere, dass das Eindringen von Ausspäh- und Modifikationsprogrammen oder ande­ rer elektronischer Schädlinge auch während der Installation von Programmen konstruktiv ausgeschlossen wird.

Sofern zur Realisation der gerätetechnischen Schreibschutzkopplung beispielsweise ein Schlüsselschalter verwendet wird, wird damit zusätzlich ein Schutz vor unbefugter physi­ kalischer Manipulation an gerätetechnischen Komponenten der Datenverarbeitungsanlage erzielt. Dieser Schutz kann noch erweitert werden, wenn das Gehäuse des Rechners zum Schutz vor unbefugtem Öffnen mit demselben Schlüsselschalter geschützt wird, mit dem auch der gerätetechnische Schreibschutz realisiert wird. Für den Verantwortlichen einer Da­ tenverarbeitungsanlage hat dies weitere entscheidende Vorteile:

• - Es ist eindeutig und auf einfache Weise geklärt, wer für einen Rechner die Verantwor­ tung trägt, nämlich der, welcher die Zugangserlaubnis, in diesem Fall durch Besitz des Schlüssels manifestiert, besitzt.
• - Der Verantwortliche kann den Fall ausschließen, dass Modifikationen, beispielsweise durch Benutzer, an dem System vorgenommen wurden, von denen er nichts weiß.
• - Das System ist vor unsachgemäßen Eingriffen geschützt.

Eine weitere Möglichkeit zur technischen Realisierung ist durch Verwendung einer Karten­ ausweisleseeinheit zur Authentifikation gegeben. Da viele Unternehmen bereits Kartenaus­ weise zur Zeiterfassung ihrer Mitarbeiter und Zugangskontrolle für einzelne Gebäude bzw. Räume einsetzen, liegt es nahe, dieses Medium auch zur Authentifikation bei Rechnern zu verwenden und damit ebenfalls die Schreibfreigabesignale der verschiedenen Segmente und den Gehäuseöffnungsschutz zu steuern. Die Verwendung dieser Technik bietet zusätzliche Vorteile:

• - Bei Verlust eines Kartenausweises kann dieser ohne gerätetechnische Eingriffe inner­ halb kurzer Zeit gesperrt werden, wodurch die entsprechende Sicherheitslücke sehr schnell und preiswert schließbar ist.
• - In Verbindung mit dem Kartenausweis können Benutzerprofile gespeichert werden, die den Zugriff auf Speichersegmente, Dienste und Geräte steuern oder Zeitrahmen vorgeben.
• - Unter Umständen kann ein bereits in ein Unternehmen eingeführtes und von der Be­ legschaft akzeptiertes Medium verwendet werden.
• - Die Authentifikation durch diese gerätetechnische Komponente ist wesentlich sicherer als eine auf spezifischem Wissen beruhende.

Die benötigten Schreibfreigabesignale und das Gehäuseöffnungssignal können allerdings auch aus einer auf biometrischen Merkmalen beruhenden Authentifikationsvorrichtung abge­ leitet werden. Bei Verwendung von Handabdrücken zur Authentifikation kann zum Beispiel das Schreibfreigabesignal für den Steuer- bei Erkennen der rechten und das Schreibfreiga­ besignal für den Programmbereich bei Erkennen der linken Hand generiert werden. Da sich die Bilder beider Handflächen extrem unterscheiden, sind Verwechslungen oder Doppeler­ kennungen auszuschließen. Um Handabdrücke einzulesen, genügt im einfachsten Fall ein handelsüblicher Flachbettscanner, mit dem heutzutage fast jeder Rechnerarbeitsplatz stan­ dardmäßig ausgestattet ist. Diese Realisierungsmöglichkeit bietet die folgenden Vorteile:

• - Es ist kein zusätzliches Authentifikationsmedium notwendig, das auf irgendeine Art und Weise verlustig gehen könnte, oder spezifisches Wissen, das vergessen werden kann oder gar notiert wird, um es nicht zu vergessen, und damit eine Sicherheitslücke darstellt.
• - Bei Verwendung eines Flachbettscanners sind die durch gerätetechnische Einheiten verursachten zusätzlichen Kosten sehr gering.
• - Authentifikation mittels Handabdruck gilt als sehr sicher.
• - Die bildverarbeitungstechnische Unterscheidung der linken von der rechten Hand ist extrem einfach und daher fehlersicher.

Besonders bei der Verwendung von Verfahren, die auf biometrischen Merkmalen oder persönlichem Besitz beruhen und daher als sehr sichere Authentifikationsmethoden angese­ hen werden, erscheint es sinnvoll, die Speicherverwaltungseinheit einer Datenverarbeitungs­ anlage derart zu steuern, dass die und nur die für den jeweiligen Benutzer relevanten Daten der Anlage zur Bearbeitung zur Verfügung stehen; d. h. auf die Daten eines nicht im System angemeldeten Benutzers kann auch nicht zugegriffen werden.

Werden die Systemdatenbasen aktualisiert, so ist mittels der Speicherverwaltungseinheit der Anlage nur ein Zugriff auf diese, nicht aber auf die Programm- oder Benutzerdatenbereiche möglich.

Die Installationsphase ist dadurch gekennzeichnet, dass kein Zugriff auf den Steuer- oder Benutzerdatenbereich möglich ist.

Durch diese Maßnahmen werden Aktivitäten von Ausspäh- und Modifikationsprogrammen - selbst in der Installationsphase von Programmen - wirksam unterbunden, und während des normalen Betriebes werden Schäden durch Fehlbedienung und dergleichen gerätetechnisch auf die Datenbestände des momentan authentifizierten Benutzers beschränkt.

Zum besseren Verständnis des Sachverhaltes sei dabei auf Abb. 1 verwiesen, die im Folgenden erläutert werden soll.

Mittels der Authentifikationseinheit wird ein sich am System anmeldender Benutzer mit seiner momentanen Funktion authentifiziert. Bei korrekter Authentifikation werden sodann die Profilzeiger, entsprechend des vorgegebenen Interaktionsrahmens, gesetzt. Aus den hier­ durch ausgewählten Berechtigungsprofilen ergeben sich die für die aktuelle Sitzung maßgeb­ lichen Berechtigungsvorgaben. Dabei gilt es, den bereits gerätetechnisch in unterschiedliche Bereiche (System-, Benutzerbereich usw.) untergliederten Arbeits- und Massenspeicher der Anlage zu schützen.

Viele Datenverarbeitungsanlagen arbeiten heutzutage mit virtuellen Adressen, um den auf ihnen laufenden Prozessen mehr Arbeitsspeicher zur Verfügung stellen zu können, als sie tatsächlich besitzen. Dabei machen sie in der Regel von Speicherverwaltungseinheiten Ge­ brauch, die Aufgaben der Abbildung virtueller Adressen auf tatsächlich vorhandene, geräte­ technisch realisierte Adressen übernehmen. Zur Implementierung von Speicherverwaltungs­ einheiten werden oftmals spezielle Ein-/Ausgabeprozessoren verwendet, die dann ihre Ar­ beit zeitlich parallel zum Hauptprozessor oder den Hauptprozessoren verrichten und diesen oder diese entlasten. Um Anwendungsprogrammen mehr Arbeitsspeicher zur Verfügung zu stellen als gerätetechnisch tatsächlich vorhanden ist, muss der vorhandene und hinsichtlich seiner Zugriffszeiten wesentlich langsamere Massenspeicher teilweise miteinbezogen werden. Zu diesem Zweck wird der virtuelle Arbeitsspeicher in gleich große Blöcke, genannt Seiten, aufgeteilt. Ihnen entsprechen, im gerätetechnisch vorhandenen Arbeitsspeicher, die soge­ nannten Seitenrahmen oder Kacheln, welche fortlaufend mit Seitenrahmennummern (SRN) versehen sind. Die weniger oft benötigten Seiten werden in den Massenspeicherbereich, in sogenannte Auslagerungsdateien, ausgelagert. Benötigt ein Prozess eine ausgelagerte Seite, so kommt es zu einem Seitenfehlzugriff, welcher besagt, dass die benötigte Seite erst wieder aus dem Massenspeicher in den Arbeitsspeicher geladen werden muss.

Diese beiden Zugriffe, (a) auf die gerätetechnisch vorhandenen Seitenrahmen des Arbeits­ speichers und (b) auf die Auslagerungsdateien auf dem Massenspeicher bzw. auf Dateien im Allgemeinen, gilt es zu überwachen und zu schützen.

Im Falle des Arbeitsspeichers ist die gerätetechnische Arbeitsspeicheradressenermittlung, und damit der Schutz- und Überwachungsmechanismus, stark vom eingesetzten Betriebssy­ stem abhängig und soll daher im Folgenden nur beispielhaft an einer Datenverarbeitungsanlage unter Verwendung des Betriebssystems Windows NT dargestellt werden.

Die einzelnen Prozesse greifen bei Windows NT über 32 Bit breite Adressen auf den virtuel­ len Speicher zu. Virtuelle Adressen sind untergliedert: sie beinhalten einen Seitenverzeichnis­ zeiger, einen -tabellenzeiger und einen -versatz (siehe Abb. 2). Jeder Prozess verwendet ein eigenes Seitenverzeichnis, dessen Startadresse in den Kontrollblockdaten des Prozesses abgelegt ist. Jedes Mal, wenn der Prozessor einen anderen Prozess bearbeitet, muss zu Be­ ginn der Bearbeitung das Prozessorregister aktualisiert werden, welches die Startadresse des zum jeweiligen Prozess gehörigen Seitenverzeichnisses enthält. (Dies ist z. B. für Alpha- Prozessoren das "Seitenverzeichnisregister" und für x86-Prozessoren das "Steuerregister 3".)

Virtuelle Adressen werden in einem mehrstufigen Verfahren aufgelöst. Zuerst lokalisiert die Speicherverwaltungseinheit mittels des Seitenverzeichnisregisters die Startadresse des Sei­ tenverzeichnisses. Unter Zuhilfenahme des Seitenverzeichniszeigers der virtuellen Adresse wird dann der gesuchte Seitenverzeichniseintrag ermittelt. Dieser Seitenverzeichniseintrag zeigt auf den Anfang einer weiteren Tabelle, der Seitentabelle. Mittels des ebenfalls in der virtuellen Adresse enthaltenen Seitentabellenzeigers kann nun der aktuelle Seitentabellen­ eintrag bestimmt werden, der wiederum auf die gesuchte Seitenrahmennummer im geräte­ technisch realisierten Arbeitsspeicher zeigt. Damit ist der gesuchte Zielseitenrahmen gefun­ den. Die genaue Zieladresse und damit der Zielinhalt werden mittels des Seitenversatzes der virtuellen Adresse ermittelt, was allerdings für die Betrachtung der Überwachungs- und Schutzfunktionalität bedeutungslos ist, da eine feinergranulare Untergliederung der Schutz­ bereiche nicht sinnvoll erscheint. Dies bedeutet, dass der Zugriff auf die Seitenrahmen zu schützen ist. (Die Seitengröße ist abhängig von der Art der verwendeten Prozessoren und beträgt bei Alpha-Prozessoren 8 KB (1 KB = 1024 Byte) und bei x86-Prozessoren 4 KB.)

Zum Zwecke der Überwachung werden sowohl die virtuellen, als auch die gerätetechnischen Adressen bzw. die Dateizugriffe beobachtet und mit den zum aktuellen Zeitpunkt gültigen Berechtigungsvorgaben verglichen. Im Falle des Massenspeichers wird dazu die Lage der entsprechenden Datei auf dem (den) Datenträger(n) ausgewertet. Der Arbeitsspeicher wird ebenfalls durch Vergleich der virtuellen und gerätetechnischen Adresse, auf welche zugegrif­ fen werden soll (siehe hierzu auch die Ausführungen weiter unten und die Abb. 2, 3 und 4) überwacht. Dabei ist selbstverständlich wesentlich, ob schreibend oder lesend zuge­ griffen werden soll.

Einen Schutz der Speicherinhalte aus einer Überwachung der gegenwärtig gebräuchlichen virtuellen Adressen abzuleiten, scheitert an der Tatsache, dass selbst die Sicherheitsberei­ che der Betriebssysteme, die heutzutage als am verbreitesten angesehen werden, nicht frei von Fehlern sind. Auf Grund ihres Programmumfanges darf auch in Zukunft nicht erwartet werden, dass sich an dieser Situation etwas ändert. Wie [1] belegt, gelingt es Eindringlingen beispielsweise unter dem Betriebssystem Windows 95, in den Ring 0 des Sicherheitssystems heutiger Prozessoren einzudringen und damit direkten Zugriff auf gerätetechnische Adressen zu erlangen oder die Speicherverwaltungseinheiten umzuprogrammieren. Aus diesen Tatsa­ chen folgt, dass ein wirksamer Schutzmechanismus nicht auf Funktionen eines Betriebssy­ stems heutiger Ausprägung oder Speicherverwaltungseinheiten heutiger Rechner angewiesen sein darf.

Um allerdings die linearen, und damit wesentlich einfacher zu kontrollierenden, virtuellen Adressen zur Überwachung eines Systems verwenden zu können, ist Folgendes nötig.

• a) Der Speicher ist vor einem direkten Zugriff des Prozessors unter Umgehung der Spei­ cherverwaltungseinheit zu schützen. Dies wird dadurch erreicht, dass die Speicherver­ waltungseinheit gerätetechnisch zwischen den Prozessor und den Speicher platziert wird.
• b) Die Speicherverwaltungseinheit ist vor unerlaubter Modifikation bzw. Programmie­ rung durch den Prozessor zu schützen. Dieser Forderung wird durch einen gerätetech­ nisch realisierten Schutz der Speicherverwaltungseinheit unter Verwendung der Be­ rechtigungsprofile Rechnung getragen. Dies bedeutet, dass der Prozessor die Speicher­ verwaltungseinheit nur bei entsprechend privilegierter Authentifikation programmie­ ren kann. In allen anderen Fällen sind die zur Programmierung notwendigen Signale gesperrt.
• c) Die derzeit gebräuchlichen virtuellen Adressen und die Seitenverzeichnisstartadressen werden um authentifikationsabhängige Teile erweitert, um sicherstellen zu können, dass keine unerlaubte Bereichsüberschreitung vorkommen kann (siehe dazu Abb. 3). Durch diese Erweiterungen werden aus den derzeit üblichen virtuellen Adres­ sen sichere authentifikationsabhängige virtuelle Adressen (siehe hierzu auch Abb. 4).

Hierdurch wird eine wesentlich einfacher zu realisierende Überwachung eines linearen Adressraumes möglich, bei welchem lediglich die Zugriffsart (schreibend oder lesend) und die Adressgrenzen - mittels Berechtigungsvorgaben - zu prüfen sind. Die Überwachung der gerätetechnischen Adressen hat dabei nur noch optionalen Charakter und sollte nur für äußerst kritische Systembereiche, die zudem feste gerätetechnische Adressen aufweisen, ange­ wandt werden, um Fehler in der Speicherverwaltungseinheit durch Plausiblititätsprüfungen erkennen zu können.

Speicherbereiche werden dabei dadurch geschützt, dass ein Warnsignal ausgegeben wird und das entsprechende Schreib- bzw. Lesesignal gesperrt wird, sofern ein Vergleich mit den Berechtigungsvorgaben negativ ausgefallen ist und dementsprechend der Zugriff verwehrt werden sollte, oder das Ergebnis einer Plausibilitätsprüfung auf einen Defekt der Speicher­ verwaltungseinheit hindeutet.

Literatur

[1] Wang, R., Plc, S.: Flash in the Pan? Erschienen als Online-Dokumentation des Virus-Bulletins unter http://www.virusbtn.com/VirusInformation/cih.html. Stand vom 01.03.2000.
[2] JP 4-297938 A.
[3] DE 196 06 663 A1.

Claims (2)

1. Einrichtung zum gerätetechnischen Schreibschutz von Massenspeichern in digitalen Datenverarbeitungsanlagen, dadurch gekennzeichnet, dass der Massenspeicherbereich in mehrere gerätetechnisch schreibgeschütz­ te Segmente aufgeteilt ist und die gerätetechnischen Schreibsperren dieser Segmente derart untereinander verkoppelt sind, dass jeweils nur genau ein Segment zum Schreiben freigegeben werden kann.

2. Einrichtung nach Patentanspruch 1, die es ermöglicht, einen in mehrere Segmente aufgeteilten, linearen Speicherraum durch Überwachung der vir­ tuellen Adressen vor Bereichsüberschreitung zu schützen, dadurch gekennzeichnet, dass eine Speicherverwaltungseinheit zum Schutz des Speichers vor direktem Prozessorzugriff gerätetechnisch zwischen Prozessor und Speicher platziert wird, dass die Speicherverwaltungseinheit gerätetech­ nisch vor unerlaubter Parametermodifikation seitens des Prozessors durch authentifikationsabhängige Berechtigungsvorgaben geschützt wird, indem die zur Programmierung notwendigen Signale nur bei ausreichend privi­ legierter Authentifikation zugelassen werden, und dass authentifikations­ abhängige virtuelle Adressen und Seitenverzeichnisstartadressen zur Ver­ waltung des linearen Speicherbereichs verwendet werden.