支撑信息处理可信多域安全系统框架研究.pdfVIP

第二二十三届令同计算机信息管理学术研讨会论文集 支撑信息处理的可信多域安全系统框架研究 北京文献服务处韦博 001 (北京市167信箱，北京142) wbwaper@gmail．corn 摘要本文探讨了通过应用可信计算与虚拟化技术构建可信多域系统运行环境。探讨了解决基于虚拟 机的Rootkit的检测方法以及防止恶意软件跨域访问内存。提出了一种用来支撑信息系统运行的安 全框架。 关键字虚拟机，可信计算，安全信息系统，恶意软件防护 1研究背景 1．1问题背景 信息的搜集与处理越米越需要一个安全的计算环境予以支持。为了商业利益，很多组织在信息 的源头注入了恶意代码用来获取搜集者的“秘密”。 在以前相对“友善”的信息环境中，没有很多的恶意软件，致使设计者们为操作系统赋予了用 户进程过多的不必要特权，以至于无法弥补“所有”的安全漏洞米避免如今疯狂的恶意软件攻击。 微软每月所更新的系统重要安全补丁足够证明用户的系统正处于“危险”之中。而如今数以千万计 的软件已经不可能再经历一次大规模的结构化改变，使得他们在任何操作系统之上达到绝对的安全。 更为可怕的是基于虚拟机的Rootkit(系统内核级木马程序)BluePill【lJ已经诞生，它让所有的系 统级安全防护手段对其全部失效，至今没有一种很好的方法能够在用户操作系统之上对其进行检测 和清除。并且这种Rootkit能够收集用户所有的信息，即使你在硬盘上存储的数据都是加密的，信息 在网络上通过SSL加密传输，对于这种RootKit来讲无济于事。 用户对待顽固木马的常用方法包括了对系统进行格式化，可是谁又能想到木马可以隐藏在你的 硬件中呢?隐藏在硬件中的木马程序【2】已经成为了可能，由于Hash芯片价格的降低，硬件厂商在选 过硬件保护，就可以把自身的代码写到硬件的Hash芯片中。对于这种木马，不管用户如何格式化硬 盘并重装系统也都无济于事。当用户安装好新的操作系统后，木马又各就各位等待抓取用户隐私的 信息了。 1．2研究目的 为解决上文提出的问题，必须通过系统化的方法来进行解决。日常通用的计算机及操作系统从 根本上无法解决上述的问题，只能通过在计算机硬件之上构建一个“虚拟层”模拟我们理想中的“安 全计算机”，并在其上运行多个操作系统，使程序与程序之间达到完全隔离的效果，使得恶意程序无 法“入侵”其它的应用系统。 228 第=I。!扁全国计算机情息管4{术Ⅻ讨会论Z集 2可信计算平台 2．1软件完整性保护 软件完整性保护至少在两个方面都需要防范．即软件在内存中及外存中都需要被保护。目前的 本马、恶意代码等都是针对内存中代码进行恶意篡改，这主要原因是软件完整性保护的手段还比较 薄弱，使攻击者得以将一个本来语义或行为基本上正确或至少是非恶意的软件的代码部分篡改成错 误的甚至是恶意的版本。 一个软件的代码(包括有些数据)已经被加载入计算平台的内存中后，在执行的时候平台对内存 内容实行完整性保护。在这一情况下，软件完整性的定义是一个比较复杂的问题(例如需要区分软 件代码的台法自身修改与被非法篡改。另外在内存中一个软件可咀有动态联接部分)。所以目前在 内存中对软件的完整性保护手段是很有限的，对于软件在外存(如磁盘)中的完整性定义要比在内 存中的情况简单的多，就是指一般意义上的数据完整性。手段不外乎是使用更改检测码(modification 乱tecuon code．MDC。可以用哈希函数来实现)，所以保护手段就相对比较成熟。目前在研究与实践 中很热门的“可信计算”(Trusted 台上的一个密码芯片中保护起来”J。 2．2可信平台模块 图21构建可信链 TPM)。TPM是个具有计算及存储功能的芯片。输入／输出控制器(I／0conⅡ011盯)是连接外部设备 与内存的总线。将TPM安装在输入／输出控制器中的目的是为了让TPM截获每一个从外存装载人内 存的程序。TPM仅存储被它所截获到的程序(软件)的一个哈希值。TPM内部配备有哈希函数。 TPM会