安全操作系统中mac机制的分析与设计

《安全操作系统中mac机制的分析与设计》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、鬻黍蘩鬻戮豢黍黎攀纂粪黍懑鬻鬻瓣赣_纛蘩万方数据1引言摘要本文根据操作系统在信息系统安全中的重要性，对强制型安全模型进行了分析j并任此基础卜提出了增加操作系统强制存取控制机制的设计方案。关键词操作系统，安全模型，强制存取摔制‘操作系统是应用软件与系统硬件的接口，其目标是高效地、最大限度地、合理地使用计算机资源。若没有安全操作系统的支持，数据库就不可能具有存取控制的安全可信性，就不可能有网络系统的安全性，也不可能有应用软件信息处理的安全性。因此，安全操作系统是整个信息系统安全的基础。但是，目前大多数操作系统的安

2、全性都比较弱。为了使操作系统达到国际标准ISO／IEC15408信息技术安全评估准则的EAL4级，必须为操作系统增加强制存取控制(MandatoryAccessControl——MAC)机制。强制存取控制提供了基于信息机密性的存取控制方法，用于将系统中的用户和信息进行分级别、分类别管理，强制限制信息的共享和流动，使不同级别和类别的用户只能访问到与其有关的、指定范围的信息，从根本上防止信息的失泄密和访问混乱现象。2强制型安全模型安全模型用来描述系统和用户的安全特性，是对安全策略所表达的安全需求简单、抽象、无歧义

3、的描述。安全模型用于精确地定义系统的安全需求，为设计开发安全操作系统提供指导方针。强制存取控制是用户不可逾越的由系统实施的存取控制，它将系统中的进程以及蕴含或接收信息的实体抽象为主体和客体。系统中的主体和客体根据其性质的不同而具有不同的安全级。强制存取控制机制根据主体和客体的安全级，依据强制存取控制策略，对主体和客体进行分级分类管理，构成层次结构。强制型安全模型在安全操作系统中采用最为普遍、经典的代表是Bell—LaPadula模型，简称BLP模型。该模型是D．E．Bell和J．LaPadula于1973年模

4、拟军事安全策略创建的，后已于1974年改进和1976年应用于Multics。BLP模型的目标是精确地描述符合多级安全策略的系统及其中的操作，它形式化地定义了模型中的概念，证明了其中的定理和结论并表明系统是可通过数学推导证明其自身的安全性。其主要着眼点，就是维护系统的保密性，有效地防止泄密，并由此描述了不同访问级别的主体和客体之间的关系。BLP模型考虑如下主体对客体可执行的存取方式：作者简介：蔡谊，女，1972年生，博士研究生，主要研究方向为信息安全。2001．6糖鳓搠憋灏鲻躐耪露暌j鳓蘸壤恻女熊鳜25万方数据

5、攀麓泰鸶馥蠢鬻蘩黍霎攀鬻鬻饕蒸黍攀攀萋鋈蒸鬻蒸纛鎏蒸漤瓣i鬻鬻鬻鬻瓣纛黍

6、

7、·只读(Read—Only)常又称为“读”。读包含在客体中的信息，通·仅当主体的安全级支配或等于客体的安全级时·添加(Append)：向客体中添加信息，且不读客体中信息。·执行(Execute)：执行一个客体(程序)。·读写(Read—Write)：向客体中写信息，且允许读客体中信息，通常又称为“写”。模型针对MAC机制定义了如下规则：·简单安全规则(ss规则)：仅当一个主体的安全级别支配另一个客体的安全级别时，主体才能具有对此客体“

8、读”或“写”的存取权限。·星(4)规则：一个不可信主体可以对一个客体具有“添加”(append)权限，仅当此客体的安全级别支配主体的当前安全级别；一个不可信主体可以对一个客体具有“写”(write)权限，仅当此客体的安全级别等于主体的当前安全级别；一个不可信主体可以对一个客体具有“读”(read)权限，仅当此客体的安全级别受主体的当前安全级别的支配。3数据结构和安全策略的制定MAC是借助于与系统中主客体相关的标识实现的。这个标识表示一种敏感级{Jq(1evel)，即客体的数据敏感级别和主体所具有的权利级别，称

9、之为安全级。根据BLP模型的要求，实现MAC机制，需要对系统中的每个进程，每个文件，每个IPC客体(消息队列、信号量集合和共享存储区)赋予相应的安全级，当一个进程访问一个客体(如文件)时，调用MAC机构，根据进程的安全表示(安全级)，比较进程的安全级和文件的安全级，从而确定是否允许进程对文件的访问。安全级由两部分组成，一部分表示一种层次性的概念，即级别(classification)，另一部分没有层次性，它由部门(category)组成。密级如绝密、机密、秘密等，是线性有序的，可进行二进制编码；类别为集合，由

10、若干个元素(部门)组成，是偏序的，它由若干个byte内部表示。安全环境可支持256个级别和1024个部门。任意两个安全级间可以是支配、相等、被支配和无关的关系。安全级S1支配安全级S2，需满足：·S1的级另U≥S2的级另q；·S1的类别三S2的类别。安全级S1与安全级s2相等，需满足：·S1的级另q=S2的级另Ⅱ；·S1的类别=s2的类别。不满足上述关系的S1和s2即为无关。在实际的操作系统中，可以