[发明专利]一种高安全等级操作系统的参照监视器实现方法

说明书

技术领域

本发明涉及高安全等级操作系统的安全内核，特别涉及一种不可绕过的参照监视器实现方法。

背景技术

安全操作系统是整个信息系统安全的基础。安全操作系统的关键目标是提供尽可能强的访问控制和审计机制，在应用程序和系统硬、软件资源之间执行符合安全策略的调度，限制非法的访问。不可绕过的参照监视器是安全操作系统的重要保证，可用于政府、军事、国防等重要领域的信息系统，提高重要信息系统的保障能力。

传统操作系统大多从各种实用的功能需求和性能需求出发进行设计和实现，随后通过安全增强，添加安全相关的功能组件来提高安全性。事实上，安全性不是安全功能的简单叠加，这样不能保证其引用验证机制是不可被绕过的。高安全等级操作系统需要从设计之初就充分考虑安全的需求，通过设计严密科学的安全体系结构来保证系统安全性。根据这种要求，本发明提供一种精简而有效的参照监视器，使得其引用验证机制总是处于活跃状态并且不可被绕过，以保证安全策略的正确实施。

发明内容

本发明主要针对高安全等级操作系统，尤其是达到GB17859-1999《计算机信息系统安全保护等级划分准则》第四级及以上安全操作系统对安全内核的要求，提供一种参照监视器实现方法，能够对主客体之间所有的访问进行不可绕过的监视和仲裁，并将重要安全事件存入审计文件。

为实现本发明所述目的，本发明提供一种不可绕过的参照监视器实现方法。高安全等级操作系统的参照监视器实现方法，(1)参照监视器结构；参照监视器结构基于一个安全增强的微内核，所有服务程序和用户应用程序都位于核外，进程间通信(IPC)是应用程序获得服务、访问资源以及服务器之间交互的唯一途经，通过增强微内核的进程间通信服务和引入强制实施器对IPC通信进行控制和验证，再配合安全服务器和客体管理器对安全策略的实施，实现一个不可绕过的参照监视器：1)通过在进程的地址空间中增加一个监视域字段，设置成空或者一个仲裁者的引用；如果为空，表示这个进程的IPC通信不受监控；否则，这个进程的IPC通信会被重新定向到一个仲裁者，实现监视控制；2)在消息的格式中添加“真实源”字段，这个字段在消息初始化的时候由内核负责赋值；无论经过多少次重定向，改变的只是消息中原来的发送者的字段，“真实源”字段保持不变，其值是源发送；(2)对微内核IPC通信控制的实现；步骤20是初始动作；步骤21发送进程生成消息，内核将消息的真实源设置为发送进程；步骤22判断持有消息的当前进程的监视域字段是否为空，如果为空，则转步骤23，否则，转步骤25；步骤23表示持有消息的当前进程的监视域字段为某个服务进程，则将消息发送给监视域进程；步骤24监视域进程收到消息，转步骤22继续进程监视域字段判断；步骤25表示持有消息的当前进程的监视域字段为空，也就是通信可以直接进行，则将消息发送给真正的目的进程；步骤26根据消息的真实源字段通知消息发送是否成功；步骤27是结束状态；

(3)参照监视器所需安全服务启动的流程；步骤31首先加载安全微内核，内核提供了后续所有服务所需的服务机制，其中包括参照监视器不可绕过性所需的增强的IPC通信服务；步骤32加载安全存储服务器；步骤33加载服务器装载器；步骤34服务器装载器验证并启动审计服务器，当审计服务器加载后，系统中安全相关的事件记录下来；步骤35服务器装载器验证并启动强制实施器；步骤36服务器装载器验证并启动安全服务器，它负责加载相应的安全策略，为客体管理器提供决策服务；步骤37服务器装载器验证并启动客体管理器(根据安全服务器的判定，来具体实施相应的访问控制请求；步骤38服务器装载器验证并启动验证服务器，它负责验证访问控制中主体的身份；步骤39随后启动其他操作系统模块。