第11章 操作系统安全

操作系统OperatingSystem第11章操作系统安全Chapter11:Security课程目标理解操作系统内部保护机制（Ring等级、MMU、访问控制）掌握操作系统对外防御技术（加密、身份认证、防火墙）探索可信执行环境（TEE）与鸿蒙安全子系统的实现操作系统安全的核心地位内核保护：隔离内核态与用户态，防止恶意程序直接操作硬件。生态安全：保障应用生态的合法性与数据完整性（如鸿蒙的联合目录树弱一致性）。威胁应对：防御病毒、蠕虫、木马等攻击，维护系统稳定性。操作系统内部保护Ring等级MMU与页面读写权限访问控制Ring等级特权等级划分Ring0（最高权限）：直接访问硬件（CPU、内存）。Ring3（最低权限）：用户程序运行空间。门控访问外层Ring需通过预定义门访问内层资源，防止越权操作。示例：用户程序访问摄像头需通过驱动程序的Ring1接口。Ring等级MMU与页面读写权限MMU不仅完成了虚拟地址到物理地址的映射，还能控制内存权限。在页表数组中，每个元素占用4个字节，即32位，高20位表示物理页编号，余下的低12位则用来控制内存，决定映射到物理内存或磁盘，程序的访问权限以及页面的执行权限等。若无权限，则会触发异常，并将其交由操作系统处理访问控制策略基本构成：主体（Subject）：请求访问资源的用户或程序客体（Object）被访问的资源，比如文件、数据库或系统资源等。访问权限（AccessRights）访问控制策略访问控制模型：自定义访问控制（DAC）：所有者根据自己的判断来授予用户访问权限客体。基于角色的访问控制（RBAC）：权限分配基于明确的业务角色（而非个人身份或资历）。强制访问控制（MAC）：用户必须通过审批程序才能获得访问权限。这种模式在政府和军事领域被广泛采用。基于特性的访问控制（ABAC）：根据时间、地点等特性和环境条件灵活授予访问权限。操作系统面临的安全威胁病毒：一种具有自我复制能力的恶意软件，它通过附着在其他程序上并感染其他程序和系统来传播。蠕虫：与病毒相似，也是一种恶意软件，能够自行复制，但它可以独立运行，无需依附其他程序。特洛伊木马(TrojanHorse)：一种假扮成正常程序或文件的恶意软件，隐藏在用户不易察觉的地方，在用户不知情的情况下执行恶意操作LinuxCrypto子系统功能：提供对称/非对称加密、哈希算法（如AES、RSA、SHA）。支持内核级数据加密（如eCryptfs堆叠文件系统）。应用场景：加密敏感文件、通信数据，防止未授权访问。PAM身份认证机制Linux-PAM，即Linux可插入认证模块，是一套共享库，允许本地系统管理员可以通过更改配置的方式，随意选择程序的认证方式。PAM配置的组成部分：

PAM模块类型PAM控制标记：规定了在鉴别认证成功或者失败之后的处理方式，以及控制流程。模块路径模块参数eCryptfs加密堆叠文件系统定义：eCryptfs是Linux内核中的堆叠加密文件系统，提供透明、动态的文件加密功能。工作原理：用户态应用→VFS（虚拟文件系统）→eCryptfs→底层文件系统（如ext3/ext4）。加密流程：文件写入时，eCryptfs使用对称密钥（FEK）加密数据。FEK通过用户口令或TPM公钥加密为EFEK，存储在文件元数据中。加密数据写入底层文件系统。eCryptfs加密堆叠文件系统eCryptfs加密堆叠文件系统应用场景企业数据保护：敏感文件（如财务、研发文档）加密存储。个人隐私：保护用户隐私文件（如照片、通信记录）。云存储安全：确保上传到云端的数据始终加密。TEE可信执行环境TEE（TrustedExecutionEnvironment）原理：通过硬件隔离创建安全区域，保护敏感数据（如支付、生物特征）。独立于主操作系统，运行可信代码。鸿蒙中的应用：安全启动、应用代码签名验证、设备间互信认证。ARMTrustZoneARM公司开发了一项基于处理器硬件架构的TEE技术，名为ARMTrustZone。将系统划分为安全域(SecureWorld)和普通域(NormalWorld)，各自承担不同的功能。IntelSGXSGX技术利用硬件隔离和加密技术，将应用程序安全地运行在被称为“飞地（Enclave）”的受保护区域，这是一个被硬件隔离和加密保护的内存区域。TEE的典型应用安全多方计算（SecureMultipartyComputation）移动支付与敏感数据保护物联网设备安全云计算与边缘计算鸿蒙安全子系统鸿蒙安全子系统对外API：OpenHarmony系统中的应用和系统服务都在单独的隔离环境中运行，通过API来对外访问，并进行权限管理。证书管理与应用校验：对安装的应用进行签名和验签。同时OpenHarmony还支持在运行时进行校验。设备互信认证统一可信关系建立统一设备认证凭证与秘钥协商操作系统安