关于本地虚拟化技术的隔离执行模型研究.pdfVIP

第31卷第10期 计 算 机 学 报 v01．31No．10 2008年10月 CHINESE OFCOMPUTERS Oct．2008 JOURNAL 基于本地虚拟化技术的隔离执行模型研究 温 研 王怀民 (国防科学技术大学计算机学院 长沙410073) 摘 要程序隔离执行是一种将被隔离代码的执行效果与其它应用隔离的安全机制．但是目前的相关研究无法在 PC平台下兼顾操作系统隔离与被隔离代码的可用性．针对这个问题，文中提出并实现了一种新的名为SVEE(Safe VirtualExecution Environment)的隔离执行模型．SVEE具有两个关键特性：一是借助基于本地虚拟化技术的系统 级虚拟机(SVEE VM)有效实现了非可信代码与宿主操作系统的隔离，二是利用本地虚拟化技术实现了宿主机计 算环境在SVEEVM内的重现，保证了被隔离程序在SVEEVM中与在宿主操作系统内的执行效果的一致性．因 此，SVEE在保护了宿主操作系统安全的同时，兼顾了隔离执行代码的可用性．测试证明，对于计算密集型应用 SVEE虚拟机的性能达到了本地性能的91．23％～97．88％，具有很好的可用性． 关键词人侵隔离；隔离执行；虚拟执行环境；安全；虚拟机 中图法分类号TP393 A ExecutionModel Isolated Basedon Virtualization Local Technology WEN YanWANGHuai—Min (,School 410073) ofComputer，NationalUniversityo／DefenseTechnology．Changsha AbstractIsolationisamechanismthathasbeen toallowtheisolated code while applied running therestofthe from shields theireffects．However，underthePC iso— system platforms，existing and latedexecution cannotachieveboththeOSisolationthe benefitsof approaches functionality theisolateduntrusted addressthis anovelisolated applications．Toproblem，thispaperproposes executionmodelcalledSecureVirtualExecutionEnvironment(SVEE)．Therearetwo fea—