改进selinux 构建可信计算平台

《改进selinux 构建可信计算平台》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、改进SeLinux构建可信计算平台王畅１　　刘美莲２(1.华北水利水电学院信息安全研究所，450011；E-mail：xqy2008@163.com2.周口职业技术学院，河南，周口466001）摘要：安全操作系统是连接信任根和可信应用程序的桥梁。把TSPI作为OS的特权系统调用来实现、把TSS软件栈作为一个独立的模块封装入OS内核，并在OS之上对TSPI进行面向服务的封装，将大大方便应用程序与TPM的交互。在OS内部添加可信服务访问控制（TSAC）模块，确保具有平台属主权限的用户才能使用可信服务。信任链扩展到应用程序是一种复杂的可信服务，实现程序的完整性度量是信任链

2、成功扩展的关键。采用分级的完整性测量方案能够高效地进行完整性测量，从而实现信任链的扩展。中图法分类号:TP316　　文献标识码:A基金项目：华北水利水电学院青年基金（基金编号：HSQJ2008016）关键词：可信计算，可信服务访问控制，信任链的扩展，完整性度量ImproveSeLinuxtoBuildTrustedComputingPlatformWangchang1,Liumeilian2(1.InformationSecurityResearchInstitute,NorthChinaInstituteofWaterConservancyandHydroelec

3、tricPower(NCIWCHP),450011;2.ZhoukouVocationalTechnologyCollege,HeNan,Zhoukou,466100)Abstract:TrustedRootandTrustedApplicationarelinkedbythesecureOS.TSPI,theinterfaceofTSSstack,isimplementedastheprivilegedsystemcallofOS.TherestofTSSisencapsulatedasaindependentmoduleof9OSkernel.AboveOS,t

4、hroughservice-orientedencapsulation,TSPIisimprovedasaccessibletrustedservices.CallingtheseservicesapplicationprograminteractswithTPM.TSACModuleisappendedtoOSkernelensuresthatonlytheuserwhopossessesplatformownerrightscanusethetrustedservices.Extendingtrustedchaintoapplicationprogramisac

5、omplicatedprocessinwhichprogramintegritymeasurementisthecrucialstep.Adoptingerarchicalintegritytestingcanefficientlycompletethetask,thentheextensionoftrustedchainisachieved.Keywords:trustedcomputing,TrusedServiceAccessControl,extensionoftrustedchain,integritymeasurement１、引言可信计算为解决信息安全问

6、题提供了新的思路，它以TPM为信任根，通过信任链的扩展逐渐扩大可信域，直到整个系统成为可信平台。信任链的成功扩展是构建可信平台的关键关节。文献[1]论述了任链的扩展过程：以TPM为信任根，逐步扩展到BIOS、操作系统（OS）和应用程序。OS是连接信任根和可信应用程序的桥梁。TCG提出了TSS软件栈[2]，使用TSS构筑应用程序和TPM交互的安全通道。应用程序工作在OS之上，如果OS对TSS进行封装，将大大方便应用程序与TPM的交互。文献[3]、[4]研究了信任链从TPM到OS的扩展过程，主要思想是通过验证各个组件的完整性确保系统的一致性。本文提出使用SeLinux对

7、TSS进行面向服务的封装，通过改进SeLinux内核，9实现信任链从OS到应用程序的扩展，进而构建可信计算平台。在以下的论述中提到的OS均指SeLinux。2、对SeLinux的改进SeLinux是一款开源的安全等级较高的操作系统（Ｂ1级）[5]，使用SeLinux构建可信平台，可以在原有结构的基础上做最小的修改，达到理想的效果。2.1、添加可信服务访问控制TSAC（TrusedServiceAccessControl）模块TSAC是受TPM管理的OS内核特权模块，工作在由TPM隔离的主机特定内存空间（非TPM内存），OS其它模块无权访问该模块。TSAC能使用T