JP2017207952A - Processing device, access control method, and access control program - Google Patents
Processing device, access control method, and access control program Download PDFInfo
- Publication number
- JP2017207952A JP2017207952A JP2016100388A JP2016100388A JP2017207952A JP 2017207952 A JP2017207952 A JP 2017207952A JP 2016100388 A JP2016100388 A JP 2016100388A JP 2016100388 A JP2016100388 A JP 2016100388A JP 2017207952 A JP2017207952 A JP 2017207952A
- Authority
- JP
- Japan
- Prior art keywords
- access
- address
- policy data
- application
- processing device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Abstract
Description
本発明は、機器に接続するとともに、機器を利用するアプリケーションを実行する処理装置、アクセス制御方法およびアクセス制御プログラムに関する。 The present invention relates to a processing device, an access control method, and an access control program that connect to a device and execute an application that uses the device.
近年の情報機器の発達に伴って、セキュリティ確保が問題になっている。例えば、アプリケーションによって利用されるコンピュータのリソースは、そのアプリケーションに必要な範囲に制限されることが好ましい。 With the development of information equipment in recent years, ensuring security has become a problem. For example, computer resources used by an application are preferably limited to the extent necessary for the application.
例えばUnix系のオペレーションシステムにおいて、任意アクセス制御(DAC:Discretion Access Control)が行われている。しかしながら任意アクセス制御では、権限設定ミスなどによる情報流出や脆弱性による管理者権限奪取などのセキュリティ面での問題があるので、この問題を解決するために、強制アクセス制御(MAC:Mandatory Access Control)が用いられる場合がある(例えば、非特許文献1参照)。 For example, arbitrary access control (DAC: Discretion Access Control) is performed in a Unix-based operation system. However, discretionary access control has security problems such as information leakage due to authority setting mistakes and administrator authority capture due to vulnerabilities. To solve this problem, mandatory access control (MAC: Mandatory Access Control) May be used (see, for example, Non-Patent Document 1).
強制アクセス制御は、OSへのシステムコールを全てフックし、予め定めたポリシーに基づいて、リソースへのアクセスの許可または拒否を判定する。強制アクセス制御においては、定めたポリシーに基づいたアクセス権限しか許可しない。従って、強制アクセス制御によれば、仮に攻撃者からアプリケーションの脆弱性によって予期せぬ問題が発生したとしても、ポリシーで規定されないアクセスは排除され、ポリシーで許可されていないリソースへのアクセスを防御することができる。 The forced access control hooks all system calls to the OS, and determines whether to permit or deny access to resources based on a predetermined policy. In forced access control, only access rights based on a defined policy are allowed. Therefore, according to forced access control, even if an attacker has an unexpected problem due to the vulnerability of the application, access that is not defined by the policy is eliminated, and access to resources that are not permitted by the policy is prevented. be able to.
しかしながら、非特許文献1に記載されたアクセス制御方法は、下位アドレスに展開されるシステム領域の保護を目的としているため、任意のアドレスに対してアクセス制御を行うことができない。具体的には、システム領域を保護するために、「0x0000FFFFより小さいアドレス帯域へのアクセスを規制する」と、制限対象のアドレス帯域のアドレスの上限値を設定する。従って、非特許文献1に記載された方法では、特定のアドレスに対してアクセス制限をかけることができない。
However, since the access control method described in Non-Patent
また、アプリケーションが、メモリ上の特定のアドレスを介して、コンピュータに接続される機器を利用する。しかしながら、従来のアクセス制御方法においては、アドレス帯域のアドレスの上限値を設定するので、機器を利用する際に参照する特定のアドレスのみにアクセスを許可し、それ以外のアドレスへのアクセスを拒否するなど、適切にアクセスを制御することができない。その結果、アプリケーションの脆弱性に起因して、機器を利用する際に参照するアドレス以外のアドレスへのアクセスが許容され、セキュリティを担保できない可能性がある。 The application uses a device connected to the computer via a specific address on the memory. However, in the conventional access control method, since the upper limit value of the address bandwidth is set, access is permitted only to a specific address that is referred to when using the device, and access to other addresses is denied. It is not possible to properly control access. As a result, due to the vulnerability of the application, access to an address other than the address that is referred to when using the device is allowed, and security may not be ensured.
従って本発明の目的は、機器を接続する処理装置において、機器を利用するアプリケーションによるアクセスを適切に制御することのできる処理装置、処理方法および処理プログラムを提供することである。 Accordingly, an object of the present invention is to provide a processing device, a processing method, and a processing program capable of appropriately controlling access by an application that uses a device in a processing device that connects the devices.
上記課題を解決するために、本発明の第1の特徴は、機器に接続するとともに、機器を利用するアプリケーションを実行する処理装置に関する。ここでアプリケーションは、処理装置のメモリにアクセスして機器を利用する。第1の特徴に係る処理装置は、アプリケーションが機器を利用する際にアクセスするメモリ上のアドレスおよびアクセス種別を対応づけたポリシーデータを記憶する記憶装置と、アプリケーションによるメモリへのアクセスの試みが検知されると、アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、ポリシーデータに記憶されたアドレスおよびアクセス種別と一致するか否かを判定し、一致する場合にアクセスを許可し、一致しない場合にアクセスを拒否するアクセス制御手段を備える。 In order to solve the above-described problem, a first feature of the present invention relates to a processing apparatus that connects to a device and executes an application that uses the device. Here, the application uses the device by accessing the memory of the processing device. The processing device according to the first feature detects a storage device that stores policy data in which an address on a memory and an access type that are accessed when an application uses a device, and an attempt to access the memory by the application If the address and access type on the memory to which the application tried to access match the address and access type stored in the policy data, the access is permitted and the addresses do not match. Access control means for denying access in some cases.
ここでポリシーデータは、機器が処理装置に接続する際に用いられうるインタフェースの識別子に、インタフェースに対応するメモリ上のアドレスおよびアクセス種別を対応づけたデータであって、アクセス制御手段は、メモリへのアクセスの試みが検知されると、アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、ポリシーデータにおいて、機器が接続されたインタフェースに対応づけられたアドレスおよびアクセス種別と一致するか否かを判定しても良い。 Here, the policy data is data in which an identifier of an interface that can be used when the device is connected to the processing device is associated with an address on the memory and an access type corresponding to the interface. If an access attempt is detected, whether the address on the memory and the access type that the application attempted to access match the address and access type associated with the interface to which the device is connected in the policy data. May be determined.
また処理装置は、ポリシー提供サーバに接続し、ポリシー提供サーバは、処理装置のための新たなポリシーデータを生成し、新たなポリシーデータを、処理装置に配信し、処理装置は、ポリシー提供サーバから新たなポリシーデータを取得して、記憶装置に記憶されたポリシーデータを、新たなポリシーデータに更新する更新手段を備えても良い。 The processing device connects to the policy providing server, and the policy providing server generates new policy data for the processing device, distributes the new policy data to the processing device, and the processing device receives the policy from the policy providing server. Update means for acquiring new policy data and updating the policy data stored in the storage device to the new policy data may be provided.
本発明の第2の特徴は、機器に接続するとともに、機器を利用するアプリケーションを実行する処理装置に用いられるアクセス制御方法に関する。ここでアプリケーションは、処理装置のメモリにアクセスして機器を利用する。第2の特徴に係るアクセス制御方法は、処理装置が、記憶装置に、アプリケーションが機器を利用する際にアクセスするメモリ上のアドレスおよびアクセス種別を対応づけたポリシーデータを記憶する記憶ステップと、処理装置が、アプリケーションによるメモリへのアクセスの試みを検知する検知ステップと、処理装置が、アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、ポリシーデータに記憶されたアドレスおよびアクセス種別と一致するか否かを判定し、一致する場合にアクセスを許可し、一致しない場合にアクセスを拒否する判定ステップを備える。 The second feature of the present invention relates to an access control method used in a processing apparatus that executes an application that uses a device while connecting to the device. Here, the application uses the device by accessing the memory of the processing device. An access control method according to a second feature includes a storage step in which a processing device stores policy data in which a storage device is associated with an address on a memory to be accessed when an application uses the device and an access type. A detection step in which the device detects an attempt to access the memory by the application, and an address and access type on the memory in which the processing device has attempted to access the address and the access type stored in the policy data match. A determination step of permitting access if they match, and rejecting access if they do not match.
ここでポリシーデータは、機器が処理装置に接続する際に用いられうるインタフェースの識別子に、インタフェースに対応するメモリ上のアドレスおよびアクセス種別を対応づけたデータであって、判定ステップは、アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、ポリシーデータにおいて、機器が接続されたインタフェースに対応づけられたアドレスおよびアクセス種別と一致するか否かを判定しても良い。 Here, the policy data is data in which an address of the memory corresponding to the interface and an access type are associated with an interface identifier that can be used when the device connects to the processing device. It may be determined whether the address on the memory and the access type that attempted to match the address and access type associated with the interface to which the device is connected in the policy data.
また処理装置は、ポリシー提供サーバに接続し、ポリシー提供サーバは、処理装置のための新たなポリシーデータを生成し、新たなポリシーデータを、処理装置に配信し、アクセス制御方法は、ポリシー提供サーバから新たなポリシーデータを取得して、記憶装置に記憶されたポリシーデータを、新たなポリシーデータに更新する更新ステップを備えても良い。 The processing device connects to the policy providing server, the policy providing server generates new policy data for the processing device, distributes the new policy data to the processing device, and the access control method is the policy providing server. An update step of acquiring new policy data from the server and updating the policy data stored in the storage device to the new policy data may be provided.
本発明の第3の特徴は、コンピュータを、本発明の第1の特徴に記載の処理装置として機能させるためのアクセス制御プログラムに関する。 A third feature of the present invention relates to an access control program for causing a computer to function as the processing device described in the first feature of the present invention.
本発明によれば、機器を接続する処理装置において、機器を利用するアプリケーションによるアクセスを適切に制御することのできる処理装置、処理方法および処理プログラムを提供することができる。 ADVANTAGE OF THE INVENTION According to this invention, in the processing apparatus which connects an apparatus, the processing apparatus, the processing method, and processing program which can control appropriately the access by the application using an apparatus can be provided.
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一または類似の部分には同一または類似の符号を付している。 Next, embodiments of the present invention will be described with reference to the drawings. In the following description of the drawings, the same or similar parts are denoted by the same or similar reference numerals.
(実施の形態)
図1を参照して、本発明の実施の形態に係る処理装置1を説明する。処理装置1は、記憶装置10、処理制御装置20、および機器インタフェース30を備える一般的なコンピュータである。ここで処理装置1は、パーソナルコンピュータやスマートフォンに限らず、例えば、カメラ等であっても良い。処理装置1は、このような一般的なコンピュータが、所定の機能を実現させるためのプログラムを実行することにより、処理制御装置20に、図1に示す各手段が実装される。
(Embodiment)
With reference to FIG. 1, the
処理装置1は、機器インタフェース30を介して、機器2に接続する。この機器2は、例えば、処理装置1で実行されるアプリケーションによって利用されるセンサやアクチュエーター等である。処理装置1は、少なくとも一つの機器2を接続すればよく、接続される機器2の数は問わない。
The
機器インタフェース30は、例えば図2に示すように、機器2とのデータの入出力のインタフェースとなるGPIO(General Purpose Input/Output)である。機器インタフェース30は、GPIOに限らず、一般的なポートなどのインタフェースでも良いし、入力および出力のいずれかのみに用いられるインタフェースであっても良い。
For example, as shown in FIG. 2, the
このような処理装置1において、アプリケーションは、処理装置1内のメモリにアクセスして機器2を利用する。アプリケーションは、機器2に直接アクセスするのではなく、機器2を利用するためにメモリに展開されたメモリ領域を介して、機器を利用する。ここで、機器2を利用するためのメモリ領域は、図3に示すように、0x000A0000などのアドレスで特定される。例えば、GPIO等のインタフェースを介して機器2が接続される場合、各GPIOについて、アプリケーションからアクセスされるメモリ領域のアドレスと、ReadまたはWriteなどのアクセス種別とが、予め定められている。アプリケーションは、予め定められたアドレスに対して、予め定められたアクセス種別でアクセスすることにより、GPIOを介して機器2を利用することができる。
In such a
記憶装置10は、処理装置1で実行させるアプリケーションのプログラムや、オペレーションシステムのプログラムを記憶するとともに、ポリシーデータ11を記憶する。
The
ポリシーデータ11は、アプリケーションが機器2を利用する際にアクセスするメモリ上のアドレスおよびアクセス種別を対応づけたデータである。ポリシーデータ11において特定される、機器2を利用するためのアドレスは、制御用レジスタのアドレスを特定可能な情報であればよく、物理アドレスであっても良いし、アドレス空間内の仮想アドレスであっても良い。
The
ポリシーデータ11は、例えば図4に示すように、アクセス元のアプリケーションの識別子に、このアプリケーションに許可するリソースの情報、アクセス権限およびアクセス有効期限を対応づける。
For example, as shown in FIG. 4, the
リソースの情報は、アクセス元のアプリケーションに許可されたリソースを特定する情報である。リソースの情報は、メモリ上のアドレスのみで特定されても良いし、インタフェースの識別子とこのインタフェースに対応するアドレスとで特定されても良い。インタフェースの識別子は、例えばGPIOやポートの識別子である。 The resource information is information for identifying a resource permitted to the access source application. The resource information may be specified only by an address on the memory, or may be specified by an interface identifier and an address corresponding to this interface. The interface identifier is, for example, a GPIO or port identifier.
アクセス種別は、アクセス元のアプリケーションに許可されたリソースに対して許可されたアクセスの種別である。アクセス種別に、Readのみ、Writeのみ、またはReadおよびWriteの両方のうちの、いずれかが設定される。アクセス有効期限は、アクセス元のアプリケーションに許可されたリソースに対して、アクセス可能な期間を特定する情報が設定される。 The access type is the type of access permitted for the resource permitted to the access source application. In the access type, any one of Read only, Write only, or both Read and Write is set. In the access expiration date, information for specifying an accessible period is set for the resource permitted to the access source application.
処理制御装置20は、アプリケーション実行手段21a、21bおよび21cと、アクセス制御手段22を備える。 The processing control device 20 includes application execution means 21 a, 21 b and 21 c and an access control means 22.
アプリケーション実行手段21a、21bおよび21cは、異なるアプリケーションA、アプリケーションBおよびアプリケーションCをそれぞれ実行する。各アプリケーションは、図2に示すように、ミドルウエアより上位のアプリケーションレイヤにおいて実行される。 The application execution means 21a, 21b, and 21c execute different applications A, B, and C, respectively. Each application is executed in an application layer higher than the middleware, as shown in FIG.
これに対しアクセス制御手段22は、図2に示すように、OSレイヤにおいて実行される。アクセス制御手段22は、検知手段23と判定手段24を備える。
On the other hand, the access control means 22 is executed in the OS layer as shown in FIG. The
検知手段23は、アプリケーションがメモリを介して機器2を利用しようとする際に、アプリケーションによるメモリへのアクセスの試みを検知する。検知手段23は、システムコール機能などによって、アプリケーションがメモリを介して機器2を利用しようとする際にAPIが呼び出されることを検知し、判定手段24に通知する。
The
判定手段24は、アプリケーションによるメモリへのアクセスの試みが検知されると、アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、ポリシーデータ11に記憶されたアドレスおよびアクセス種別と一致するか否かを判定する。判定手段24は、一致する場合にアクセスを許可し、一致しない場合にアクセスを拒否する。判定手段24は、図4に参照するポリシーデータ11を参照して、アプリケーションが利用しようとする機器2が接続されたGPIOに対応づけられたアドレスおよびアクセス種別が、アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別と一致するか否かを判定しても良い。
When an attempt to access the memory by the application is detected, the
また判定手段24は、アドレスおよびアクセス種別のみならず、アクセス元のアプリケーションの識別子およびアクセス有効期限が、ポリシーデータ11で定めるポリシーに一致しているか否かを判定しても良い。
Further, the
本発明の実施の形態においてポリシーデータ11には、許可されるアクセスの条件が設定される。従って検知手段23が検知したアプリケーションによるアクセスがポリシーデータ11に反する場合、判定手段24は、そのアクセスを拒否し、アプリケーションに、ポリシーデータ11で許可されたアクセスのみを実行させるよう制御する。
In the embodiment of the present invention, permitted access conditions are set in the
図5を参照して、本発明の実施の形態に係るアクセス制御手段22によるアクセス制御方法を説明する。 With reference to FIG. 5, the access control method by the access control means 22 which concerns on embodiment of this invention is demonstrated.
まずステップS1において、アクセス制御手段22が、アプリケーションが機器2を利用するためにメモリへのアクセスを試みることを検知すると、ステップS2に進む。ステップS2においてアクセス制御手段22は、ポリシーデータ11から、ステップS1で検知されたアクセス元のアプリケーションに関するポリシーを抽出する。
First, in step S1, when the access control means 22 detects that the application attempts to access the memory in order to use the
ステップS3においてアクセス制御手段22は、ステップS3においてポリシーデータ11から抽出されたポリシーと、ステップS1で検知されたアクセスとが一致するか否かが判定される。一致する場合、ステップS4においてアクセス制御手段22は、ステップS1で検知されたアクセスを許可し、アプリケーションにメモリへアクセスさせる。一方一致しない場合、ステップS5においてアクセス制御手段22は、ステップS1で検知されたアクセスを拒否し、アプリケーションにメモリへアクセスさせない。
In step S3, the access control means 22 determines whether or not the policy extracted from the
このように、本発明の実施の形態に係る処理装置1は、アプリケーションが処理装置1のメモリにアクセスして機器2を利用する場合に用いられるアドレスおよびアクセス種別を予め保持する。これにより、アプリケーションの脆弱性によって予期せぬ問題が発生したとしても、予め定めたアドレスおよびアクセス権限しか許可しない。従って、本発明の実施の形態に係る処理装置1によれば、アドレス単位でアクセス規制を実現することができるので、アプリケーションに、広いアドレス範囲へのアクセスを許可することなく、適切にアクセス制御を実行することができる。
As described above, the
(変形例)
本発明の実施の形態においては、ポリシーデータ11が予め記憶装置10に記憶される場合を説明したが、変形例においては、ポリシーデータ11が更新される場合を説明する。オペレーションシステムの更新等に伴って、アプリケーションが機器2を利用する際にアクセスするメモリ上のアドレスおよびアクセス種別が変更する場合がある。
(Modification)
In the embodiment of the present invention, the case where the
そこで変形例に係るアクセス制御システム5は、図6に示すように、通信ネットワークNを介して、ポリシー提供サーバ3と、第1の処理装置1a、第2の処理装置1bおよび第3の処理装置1cとが、相互に通信可能に接続する。
Therefore, the access control system 5 according to the modification includes a
図7を参照して、第1の処理装置1aを説明する。なお、第2の処理装置1bおよび第3の処理装置1cは、第1の処理装置1aと同様の構成を備える。
The
変形例に係る第1の処理装置1aは、図1に示す実施の形態に係る処理装置1と比べて、更新手段25および通信制御装置40を備えている点が異なる。通信制御装置40は、第1の処理装置1aが通信ネットワークNに接続するためのインタフェースである。
The
更新手段25は、ポリシー提供サーバ3から新たなポリシーデータを取得して、記憶装置10に記憶されたポリシーデータ11を、新たなポリシーデータに更新する。更新手段25は、例えば、定期的に、或いは、ポリシーデータ11で設定されるいずれかのアクセス有効期限が満了した際に、ポリシー提供サーバ3にポリシーデータ11の更新を問い合わせ、更新があったときに新たなポリシーデータをダウンロードして、記憶装置10に記憶する。
The updating
ポリシー提供サーバ3は、第1の処理装置1a等のための新たなポリシーデータを生成し、新たなポリシーデータを、第1の処理装置1a等に配信する。
The
図8に示すように、ポリシー提供サーバ3は、記憶装置50、処理制御装置60および通信制御装置70を備える一般的なコンピュータである。一般的なコンピュータが、所定の処理を実行するためのポリシー提供プログラムを実行することにより、図8に示す各手段が実装される。
As shown in FIG. 8, the
記憶装置50は、利用リソースデータ51、アドレスマップデータ52、第1の処理装置用ポリシーデータ53a、第2の処理装置用ポリシーデータ53b、第3の処理装置用ポリシーデータ53cを記憶する。
The
第1の処理装置用ポリシーデータ53a、第2の処理装置用ポリシーデータ53bおよび第3の処理装置用ポリシーデータ53cはそれぞれ、第1の処理装置1a、第2の処理装置1bおよび第3の処理装置1cに配信されるポリシーデータである。
The first processing
利用リソースデータ51は、アプリケーションと、アプリケーションが利用するリソースを対応づけたデータである。アプリケーションが利用するリソースは、インタフェースの識別子およびアクセス種別によって特定される。図9に示すように利用リソースデータ51において、アプリケーションが利用するリソースとして、GPIOの識別子とアクセス種別を対応づけて記憶している。ここで、GPIOは例示に過ぎず、利用リソースデータ51は、インタフェースの識別子とアクセス種別を対応づければ良い。
The used
アドレスマップデータ52は、各処理装置におけるインタフェースの識別子と、そのインタフェースに割り当てられるアドレスを対応づけるデータである。図10に示すように、アドレスマップデータ52は、第1の処理装置1aにおけるGPIOの識別子と、そのGPIOに割り当てられるアドレスが対応づけるデータを含む。第2の処理装置1bおよび第3の処理装置1cについても、アドレスマップデータ52は、同様のデータを含む。
The
処理制御装置60は、生成手段61および配信手段62を備える。
The
生成手段61は、利用リソースデータ51およびアドレスマップデータ52から、図4に示すような、各処理装置用のポリシーデータを生成する。このとき生成手段61は、各レコードの有効期限、他のアクセス条件等を設定しても良い。
The
配信手段62は、生成手段61が生成した各処理装置用のポリシーデータを、各装置に配信する。例えば配信手段62は、第1の処理装置1aから更新の問い合わせを受け、更新があったタイミングで、第1の処理装置用ポリシーデータ53aを第1の処理装置1aに配信する。
The
このような変形例によれば、ポリシーデータ11の陳腐化を回避し、最新のポリシーデータ11に自動的に更新することができる。
According to such a modification, the
(その他の実施の形態)
上記のように、本発明の実施の形態とその変形例によって記載したが、この開示の一部をなす論述および図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例および運用技術が明らかとなる。
(Other embodiments)
As described above, the embodiments of the present invention and the modifications thereof have been described. However, it should not be understood that the descriptions and drawings constituting a part of this disclosure limit the present invention. From this disclosure, various alternative embodiments, examples, and operational techniques will be apparent to those skilled in the art.
例えば、本発明の実施の形態においてポリシーデータ11は、許可されるアクセスの条件を設定する場合を説明するが、拒否されるアクセスの条件が設定されても良い。
For example, in the embodiment of the present invention, the
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。 It goes without saying that the present invention includes various embodiments not described herein. Therefore, the technical scope of the present invention is defined only by the invention specifying matters according to the scope of claims reasonable from the above description.
1 処理装置
2 機器
3 ポリシー提供サーバ
5 アクセス制御システム
10、50 記憶装置
11 ポリシーデータ
20、60 処理制御装置
21a、21b、21c アプリケーション実行手段
22 アクセス制御手段
23 検知手段
24 判定手段
25 更新手段
30 機器インタフェース
40、70 通信制御装置
51 利用リソースデータ
52 アドレスマップデータ
61 生成手段
62 配信手段
N 通信ネットワーク
DESCRIPTION OF
Claims (7)
前記アプリケーションは、前記処理装置のメモリにアクセスして前記機器を利用し、
前記アプリケーションが前記機器を利用する際にアクセスするメモリ上のアドレスおよびアクセス種別を対応づけたポリシーデータを記憶する記憶装置と、
前記アプリケーションによる前記メモリへのアクセスの試みが検知されると、前記アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、前記ポリシーデータに記憶されたアドレスおよびアクセス種別と一致するか否かを判定し、一致する場合にアクセスを許可し、一致しない場合にアクセスを拒否するアクセス制御手段
を備えることを特徴とする処理装置。 A processing device that connects to a device and executes an application that uses the device,
The application uses the device by accessing the memory of the processing device,
A storage device that stores policy data that associates an address and an access type on a memory to be accessed when the application uses the device;
When an attempt to access the memory by the application is detected, it is determined whether or not the address and access type on the memory to which the application tried to access match the address and access type stored in the policy data. A processing apparatus comprising: an access control unit that determines and permits access when they match, and denies access when they do not match.
前記アクセス制御手段は、前記メモリへのアクセスの試みが検知されると、前記アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、前記ポリシーデータにおいて、前記機器が接続されたインタフェースに対応づけられたアドレスおよびアクセス種別と一致するか否かを判定する
ことを特徴とする請求項1に記載の処理装置。 The policy data is data in which an address on the memory corresponding to the interface and an access type are associated with an identifier of an interface that can be used when the device connects to the processing device,
When an access attempt to the memory is detected, the access control means associates the address and access type on the memory to which the application tried to access with the interface to which the device is connected in the policy data. The processing apparatus according to claim 1, wherein it is determined whether or not the received address and the access type match.
前記ポリシー提供サーバは、前記処理装置のための新たなポリシーデータを生成し、前記新たなポリシーデータを、前記処理装置に配信し、
前記処理装置は、
前記ポリシー提供サーバから前記新たなポリシーデータを取得して、前記記憶装置に記憶されたポリシーデータを、前記新たなポリシーデータに更新する更新手段
を備えることを特徴とする請求項1または2に記載の処理装置。 The processing device connects to a policy providing server,
The policy providing server generates new policy data for the processing device, distributes the new policy data to the processing device,
The processor is
The update means for acquiring the new policy data from the policy providing server and updating the policy data stored in the storage device to the new policy data. Processing equipment.
前記アプリケーションは、前記処理装置のメモリにアクセスして前記機器を利用し、
前記アクセス制御方法は、
前記処理装置が、記憶装置に、前記アプリケーションが前記機器を利用する際にアクセスするメモリ上のアドレスおよびアクセス種別を対応づけたポリシーデータを記憶する記憶ステップと、
前記処理装置が、前記アプリケーションによる前記メモリへのアクセスの試みを検知する検知ステップと、
前記処理装置が、前記アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、前記ポリシーデータに記憶されたアドレスおよびアクセス種別と一致するか否かを判定し、一致する場合にアクセスを許可し、一致しない場合にアクセスを拒否する判定ステップ
を備えることを特徴とするアクセス制御方法。 An access control method used for a processing device that connects to a device and executes an application that uses the device,
The application uses the device by accessing the memory of the processing device,
The access control method includes:
A storage step in which the processing device stores, in the storage device, policy data in which an address and an access type on a memory to be accessed when the application uses the device is associated;
A detecting step in which the processing device detects an attempt to access the memory by the application;
The processing device determines whether or not the address and access type on the memory to which the application has attempted access matches the address and access type stored in the policy data, and permits access if they match. An access control method comprising: a determination step of denying access when they do not match.
前記判定ステップは、前記アプリケーションがアクセスを試みたメモリ上のアドレスおよびアクセス種別が、前記ポリシーデータにおいて、前記機器が接続されたインタフェースに対応づけられたアドレスおよびアクセス種別と一致するか否かを判定する
ことを特徴とする請求項4に記載のアクセス制御方法。 The policy data is data in which an address on the memory corresponding to the interface and an access type are associated with an identifier of an interface that can be used when the device connects to the processing device,
In the determination step, it is determined whether an address and an access type on a memory to which the application has attempted access match an address and an access type associated with an interface to which the device is connected in the policy data. The access control method according to claim 4, wherein:
前記ポリシー提供サーバは、前記処理装置のための新たなポリシーデータを生成し、前記新たなポリシーデータを、前記処理装置に配信し、
前記アクセス制御方法は、
前記ポリシー提供サーバから前記新たなポリシーデータを取得して、前記記憶装置に記憶されたポリシーデータを、前記新たなポリシーデータに更新する更新ステップ
を備えることを特徴とする請求項4または5に記載のアクセス制御方法。 The processing device connects to a policy providing server,
The policy providing server generates new policy data for the processing device, distributes the new policy data to the processing device,
The access control method includes:
The update step of acquiring the new policy data from the policy providing server and updating the policy data stored in the storage device to the new policy data is provided. Access control method.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016100388A JP6619690B2 (en) | 2016-05-19 | 2016-05-19 | Processing device, access control system, access control method, and access control program |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016100388A JP6619690B2 (en) | 2016-05-19 | 2016-05-19 | Processing device, access control system, access control method, and access control program |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2017207952A true JP2017207952A (en) | 2017-11-24 |
JP6619690B2 JP6619690B2 (en) | 2019-12-11 |
Family
ID=60415011
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2016100388A Active JP6619690B2 (en) | 2016-05-19 | 2016-05-19 | Processing device, access control system, access control method, and access control program |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP6619690B2 (en) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN114826956A (en) * | 2022-03-30 | 2022-07-29 | 杭州迪普科技股份有限公司 | DPI policy library file automatic generation method and device for DPI test equipment |
-
2016
- 2016-05-19 JP JP2016100388A patent/JP6619690B2/en active Active
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN114826956A (en) * | 2022-03-30 | 2022-07-29 | 杭州迪普科技股份有限公司 | DPI policy library file automatic generation method and device for DPI test equipment |
CN114826956B (en) * | 2022-03-30 | 2023-05-26 | 杭州迪普科技股份有限公司 | Automatic DPI policy library file generation method and device for DPI test equipment |
Also Published As
Publication number | Publication date |
---|---|
JP6619690B2 (en) | 2019-12-11 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US20220224726A1 (en) | Distribution and Management of Services in Virtual Environments | |
ES2806379T3 (en) | Hardware-based virtualized security isolation | |
US10375111B2 (en) | Anonymous containers | |
US8893225B2 (en) | Method and apparatus for secure web widget runtime system | |
US10489145B2 (en) | Secure update of firmware and software | |
US10298586B2 (en) | Using a file whitelist | |
EP2973175B1 (en) | Managing device driver cross ring accesses | |
US9830457B2 (en) | Unified extensible firmware interface (UEFI) credential-based access of hardware resources | |
US20210397700A1 (en) | Method and apparatus for isolating sensitive untrusted program code on mobile device | |
WO2011042892A1 (en) | Platform security | |
US9147066B1 (en) | Systems and methods for providing controls for application behavior | |
US9075996B2 (en) | Evaluating a security stack in response to a request to access a service | |
JP6619690B2 (en) | Processing device, access control system, access control method, and access control program | |
US20230177148A1 (en) | Liveness guarantees in secure enclaves using health tickets | |
US10542001B1 (en) | Content item instance access control | |
CN115795493A (en) | Access control policy deployment method, related device and access control system | |
US9240988B1 (en) | Computer system employing dual-band authentication | |
EP2581853B1 (en) | Method and apparatus for secure web widget runtime system | |
US20150207661A1 (en) | System and method for providing priority based access to resources for applications | |
US20220278988A1 (en) | Kernel level application data protection |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20180618 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20190313 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20190508 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20190620 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20191112 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20191115 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6619690 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |