课件10：第4-5~6节基于编译的机制.pptVIP

4.5 基于编译的机制 本节内容是根据Denning, D.E. 及其合作者建立起来的简单的程序证明机制。 它是为了证明“执行在其他安全系统中的应用程序的内部流”而开发的，不是用于证明安全核的。 这种机制可以保证程序中每一语句的安全执行，其中包括可能不被执行的语句。 这种机制很容易集成到任何一个编译器中。但是这种机制是不精确的，它会拒绝一些安全语句。 例如，语句 if x=1 then y:=a else y:=b 要求 SC(a)≤SC(y)和SC(b)≤SC(y)都成立，才能允许执行。 但如果仅当x=1时SC(a)≤SC(y)成立，仅当x≠1时SC(b)≤SC(y)，这个语句将会不精确地被拒绝执行。 更精确的机制需要使用程序安全性证明技术解决。 4.5.1 关于流的说明 将研究具有下述语法结构的过程流的安全性证明。 Procedure Pname (x1,x2,…,xm, var y1, y2, ……, yn)； Var z1, z2, ……, zp； /* 局部变元说明 */ S /* 过程体 */ end Pname 这里x1,…..,xm是输入参数，y1,…..,yn是输出参数（或输入/输出参数），假定S不涉及全局变元。 因此，每一过程所涉及的非局部客体必须通过过程参数显式地传送。 设u表示输入参数x或输入/输出参数；v表示参数或局部变元，v的说明形式为： v：type Security-Class {u| u?v是允许的 } 安全类说明“Security-class {u1,……,un}”指定了允许流入v的所有参数的集合。 Security-class简写为SC 具体地说，输入参数x的类SC(x)={x}（变量自己可以流向自己，下同）。 输入/输出参数y的类SC(y)={y,u1,……,uk}，其中，u1,……,uk是流入y的其他输入。 如果y是唯输出的，SC(y)={u1,u2,…,uk} （即y?SC(y)）。 y的值在进入过程时必须被清除，以保证它的旧值不能流入过程内。 局部变元z的类SC(z)={u1, u2,……,uk}。 安全类形成一个子集格的关系，用于表示可允许的输入/输出关系。子集格的总体称为流说明。 有了流说明，在程序证明中每一客体都有固定的安全类，避免了由可变类引起的问题。 实际参数的安全类仅需要满足对形式参数定义的关系即可。 例4-19 计算最大值的过程的流说明如下： Procedure max (x: integer Security-Class{x}； y: integer Security-Class{y}； var m: integer Security-Class{x，y})； begin if xy then m:=x else m:=y end end max 为输出m指定的安全类蕴涵着SC(x)≤SC(m)和SC(y)≤SC(m)。 例4-20 下面的过程交换两个变元x和y的值，并把记录交换次数的计数器i加1。Procedure swap (var x,y: integer Security-Class{x, y}； var i: integer Security-Class{i})； var t: integer Security-Class{x, y}； begin t:=x；x:=y；y:=t；i:=i+1 end end swap 为了安全性，需要SC(x)≤SC(y)和SC(y)≤SC(x)同时成立，说明中给出了SC(x)=SC(y)。 类似的，这一安全类也指派给了局部变元t。i自己构成一类，因为它不接收来自x与y的信息。 4.5.2 各种语句的安全性要求 如果一个过程满足流说明(子集格)的要求的话，则称它是安全的。 即，如果对每一输入u和输出y，过程的执行能够导致一个流u?y，仅当指定给u和y的类满足SC(u)≤SC(y)。 各种语句的安全性要求(续) 下面递归定义出每一过程体S的安全性要求，给出每一类语句安全性的充分条件。 这些条件都表达为参数和局部变元的类上的约束，而流说明蕴涵着这些约束。这样，就将过程安全定义与安全性条件衔接起来。 不过，这些条件对安全性不都是必要的。换言之，这种证明机制不是精确的 暂时假设过程体S包括以下几种形式的语句： 1）赋值语句：y:=e； 2）复合语句：begin S1；S2；……,Sn end； 3）选择语句：if e then S1 [else S2]