计算机操作系统（第3版）课件 第14章 保护

第14章保护保护是指一种控制程序、进程或用户对计算机系统资源的访问的机制。安全是对系统完整性和系统数据安全的可信度的衡量。第14章保护本章目标讨论现代计算机系统中保护的目的与原则解释保护域如何与访问矩阵结合以用于明确进程可以访问的资源检测基于权限的保护系统和基于语言的保护系统14.1保护目标保护最初是多道程序设计的附属产物，现在演化为提高所有使用共享资源的复杂系统的可靠性。提供保护的理由防止用户有意或恶意地违反访问约束确保活动的执行组件以与规定的策略一致的方式使用系统资源保护在计算机系统中扮演的角色：为实施资源使用的控制策略提供一种机制。策略和机制不同。机制决定怎样做，策略决定做什么。14.2保护原则指导原则–最小特权原则程序、用户和系统应该给予刚够完成他们任务的特权。14.3保护域一个计算机系统是进程和对象的集合，对象分为硬件对象和软件对象。每个对象都有一个唯一的名字。用户只能通过定义好的、有意义的操作来访问对象。可以执行的操作取决于对象。进程可以访问那些已经获得授权的资源。而且，在任何时候只能访问完成现阶段任务所需要的资源。14.3.1域结构一个进程只在一个保护域内操作。每个域定义了一个集合。集合的元素是对象和运用于集合中每一个对象上的操作的类型。在一个对象上执行一个操作的权限是一种访问权限。一个域是一个访问权限的集合。每个访问权限是一个有序对<对象名，权限集>域之间允许存在交集；它们可以共享访问权限。14.3.1域结构Domain=setofaccess-rights

一个有三个保护域的系统14.3.1域结构一个域和一个进程之间的关联可以是静态的，也可以是动态的。如果是静态的，必须保证存在一个能改变域内容的机制。如果是动态的，则必须提供一种允许进程在域之间切换的机制。14.3.1域结构一个域可以通过以下几种不同的途径来实现：每个用户是一个域，这种情形下，可以访问的对象集取决于用户的身份。域切换动作在更换用户时发生每个进程是一个域，对象集的访问取决于进程的身份。一个进程发送消息给另外一个进程并等待回复时，就会发生域切换每个过程是一个域。可以访问的对象集对应这个过程中所定义的局部变量。过程调用时，发生域切换动作。14.3.2实例：UNIXSystemconsistsof2domains:UserSupervisorUNIXDomain=user-idDomainswitchaccomplishedviafilesystem.Eachfilehasassociatedwithitadomainbit(setuidbit).Whenfileisexecutedandsetuid=on,thenuser-idissettoownerofthefilebeingexecuted.Whenexecutioncompletesuser-idisreset.14.3.3实例：MULTICSLetDiandDj

beanytwodomainrings.Ifj<i

Di

Dj14.4访问矩阵可以将保护模型抽象为一个矩阵，称之为访问矩阵。矩阵的行代表域，矩阵的列代表对象。矩阵的每个条目是一个访问集合。图14.3访问矩阵14.4访问矩阵访问矩阵策略提供了一个指定多样化策略的机制。IfaprocessinDomainDi

triestodo“op”onobjectOj,then“op”mustbeintheaccessmatrix.Canbeexpandedtodynamicprotection.Operationstoadd,deleteaccessrights.Specialaccessrights:ownerofOicopyopfromOitoOjcontrol–DicanmodifyDjaccessrightstransfer–switchfromdomainDitoDj14.4访问矩阵Accessmatrixdesignseparatesmechanismfrompolicy.MechanismOperatingsystemprovidesaccess-matrix+rules.Ifensuresthatthematrixisonlymanipulatedbyauthorizedagentsandthatrulesarestrictlyenforced.PolicyUserdictatespolicy.Whocanaccesswhatobjectandinwhatmode.14.4访问矩阵图14.4将域作为对象的图14.3的访问矩阵14.4访问矩阵要为访问矩阵的条目内容提供受控更改还需要三个额外的操作：复制、所有者、控制。复制有两种变形：将一个权限从access(i,j)复制到access(k,j)，然后将这个权限从access(i,j)中删除。是迁移。复制权限的传播是受限的。一个系统可能只会选择一种复制权限的方法，也可能同时提供三种：复制、迁移、受限的复制。14.4访问矩阵图14.5带复制权限的访问矩阵14.4访问矩阵所有者权限：允许添加新的权限或删除已有的权限。14.4访问矩阵有了复制和所有者权限后，进程就可以在一个列中修改条目。此外，还需要一个允许在行中修改条目的机制。控制权限只适用于域对象。如果access(i,j)包含控制权限，那么在域Di中执行的进程可以从行j中删除任意一个访问权限。14.4访问矩阵14.5访问矩阵的实现访问矩阵是一个稀疏矩阵，大多数条目是空的。14.5.1全局表全局表：这个表是一个有序三元关系<域，对象，权限集合>的集合。缺点是开销大。14.5.2对象访问列表访问矩阵中的每个列都可以被实现成一个对象的访问列表Eachcolumn=Access-controllistforoneobject

Defineswhocanperformwhatoperation.

Domain1=Read,Write

Domain2=Read

Domain3=Read

14.5.3域的权限列表域的权限列表由对象以及允许作用于这些对象上的操作组成。EachRow=CapabilityList(likeakey)

Foreeachdomain,whatoperationsallowedonwhatobjects.Object1–ReadObject4–Read,Write,ExecuteObject5–Read,Write,Delete,Copy14.5.4锁-钥匙机制锁-钥匙机制是访问列表和权限列表之间的一个折中。每个对象都有一个由具有唯一性的位模式组成的列表，称为锁。每个域都有一个由具有唯一性的位模式组成的列表，称为钥匙。当域拥有一把打开那个对象的某把锁地钥匙时，在该域执行的进程才可以访问相应的对象。14.5.5比较使用全局表简单，但表可能太大。访问列表直接和用户需求挂钩。然而一个特定域的访问权限信息不是局部的，因此判定每个域的访问权限集合非常困难。权限列表不直接和用户挂钩。要访问的进程必须为访问准备一个权限，撤回权限的操作可能会效率很低。锁钥机制是前两种的折中。14.6访问控制保护可以应用到非文件资源上。Solaris10提出了基于角色的控制实现最小特权特权是执行系统调用的权利或在一个系统调用中使用选项；特权能被赋予给进程；用户被赋予角色，授权访问特权和程序。14.6访问控制图14.8Solaris10系统中基于角色的访问控制14.7访问权限的撤回AccessList–Deleteaccessrightsfromaccesslist.SimpleImmediateCapabilityList–Schemerequiredtolocatecapabilityinthesystembeforecapabilitycanberevoked.ReacquisitionBack-pointersIndirectionKeys14.8面向权限的系统HydraFixedsetofaccessrightsknowntoandinterpretedbythesystem.Interpretationofuser-definedrightsperformedsolelybyuser'sprogram;systemprovidesaccessprotectionforuseoftheserights.CambridgeCAPSystemDatacapability-providesstandardread,write,executeofindividualstoragesegmentsassociatedwithobject.Softwarecapability-interpretationlefttothesubsystem,throughitsprotectedprocedures.14.9基于语言的保护Specificationofprotectioninaprogramminglanguageallowsthehigh-leveldescriptionofpoliciesfortheallocationanduseofresources.Languageimplementationcanprovidesoftwareforprotectionenforcementwhenautomatichardware-supportedcheckingisunavailable.Interpretprotectionspecificationstogeneratecallsonwhateverprotectionsystemisprovidedbythehardwareandtheoperatingsystem.ProtectioninJava2ProtectionishandledbytheJavaVirtualMachine(JVM)AclassisassignedaprotectiondomainwhenitisloadedbytheJVM.Theprotect