嵌入式系统的VxWorks安全性问题分析.docxVIP

PAGE 1 PAGE 1 嵌入式系统的VxWorks安全性问题分析  本文在分析现有嵌入式安全操作系统构建原理及技术的基础上，提出了VxWorks安全内核，实现了基于多策略的强制访问掌握等安全机制。测试表明，该安全内核不仅增加了VxWorks系统的安全性，而且对其实时性的影响较小。  引言  实时嵌入式系统与网络的结合以及高可信掩盖网络的发展使得嵌入式实时操作系统的安全性问题日益突出。提高实时嵌入式系统的安全性和牢靠性是将来实时嵌入式系统发展的重要方向之一。VxWorks是一个运行在目标机上的高性能、可裁剪的嵌入式实时操作系统。该系统以其良好的牢靠性和卓越的实时性被广泛应用在通信、军事、航空、航天等高精尖技术及实时性要求极高的领域中。VxWorks系统在安全方面未作任何处理。针对这一问题，本文在分析现有嵌入式安全操作系统构建原理及技术的基础上，提出了VxWorks安全内核，实现了基于多策略的强制访问掌握等安全机制。测试表明，该安全内核不仅增加了VxWorks系统的安全性，而且对其实时性的影响较小。  1安全操作系统构建原理及方法  1.1强制安全和访问掌握  操作系统的安全性是整个计算机系统安全性的基础。操作系统的安全特性许多，强制安全是其一个侧面。是不是强制安全，要视其安全策略规律定义与安全属性安排是不是由系统安全性策略管理员掌握。假如是，则是强制安全；反之，假如是由平凡用户掌握的，则是自主安全。一个操作系统的强制安全策略可以分解为若干种类的策略，如访问掌握策略，认证、加密策略等。  在本系统中实现了基于多策路的强制访问掌握，即规定主体在操作系统的掌握下依据一定的策略对客体进行访问。为此，供应了一个定义和转换强制安全性策略的架构，用于定义操作系统的强制安全策略，并把它转化成底层的操作系统强制安全机制能够解释的形式。  1.2增加嵌入式操作系统安全性的方法  在一个现有的较成熟的嵌入式操作系统基础上增加安全核来增加现有系统安全性，是一个很好的开发安全嵌入式系统的思路。安全内核负责实现整个操作系统的安全机制，在硬件、操作系统、计算系统的其他部分之间供应安全接口，将安全功能隔离在安全核内。  2VxWorks安全核框架  2.1安全核体系结构  本文提出一种如图1所示的VxWorks安全核框架结构。基本思想是：应用程序对Wind内核的访问都是受控的，即应用程序(主体)对任务、信号量、共享内存、消息队列、管道、信号和文件等(客体)的访问及操作都受到强制的掌握，安全核依据一定的策略判定是否允许主题对客体访问。应用程序对Wind内核的全部调用都被监控器拦截。首先通过查询策略缓存判定该调用的合法性，假如合法则允许进行该调用；假如没有找到相关策略则将该恳求交由安全服务器进行判定，合法则允许进行该调用并将该策略写入策略缓存以便下次调用时直接判定，非法则拒绝此次调用。每次调用及结果反馈给审计模块以备查询。监视器、安全服务器、审计模块的配置工作由主机端配置工具进行。  该安全核的强制访问掌握模块主要由监控器、策略缓存和安全服务器三大组件组成。其中，监控器负责拦截主体对客体的全部访问，将拦截到的访问交由判定机构判定，并负责依据接收到的判定结果对访问进行掌握；策略缓存(AccessVectorCache，AVC)组件缓存安全服务器供应的访问掌握决策供监控器使用，以削减检查对象访问权限耗时，从而提高整体性能；安全服务器是内核的一个子系统，将安全策略与通用接口封装在一起的一个组件，通用接口用于获取安全策略决策。针对不同对象的管理器负责向安全服务器申请SID标签以及向监控器供应服务。  2.2安全服务器  安全服务器是本系统的核心组件，是访问合法性的判定部分。其结构如图2所示。  安全上下文是表示安全属性的变长字符串，是安全服务器私有的数据类型，由安全服务器依据一定的策略规律负责解释。安全上下文不直接与主客体绑定，而是在运行时由安全服务器依据标签规则进行其与安全标识符SID的映射。多策略验证器是安全服务器的核心模块，它包含系统设定的全部安全策略的判定规律。本安全核对多安全策略的支持由这一模块实现。根据不同的策略，对访问有不同的判定结果，安全服务器依据这些判定结果的交集做出最终的判定结论。  策略数据库是策略数据的存储结构，通过主机端配置工具配置其中相关信息。  本安全核的实现采用了一种结合类型实施(TE)、基于角色的访问掌握(RBAC)和多级安全(MLS)的多安全策略。安全服务器定义的安全性上下文由用户身份、角色、类型及可选的安全级别和范围组成，其中角色只与任务(task)相关。只有合法的用户、角色