基于lsm的安全访问控制.doc

基于LSM的安全访问控制实现 阮越 王成耀 (北京科技大学计算机系) 摘要 LSM(Linux Security Modules)是Linus Torvalds本人提出来的支持多种安全策略的底层架构。而细粒度的自主访问控制和强制访问控制是安全操作系统中重要且必不可少的一部分。本文简要介绍了了LSM项目的结构与设计，并以此为基础讨论了细粒度的自主访问控制和强制访问控制在其上的实现。 关键字：LSM，钩子函数（hook），自主访问控制，强制访问控制 1 LSM简介 1.1 LSM的由来 在2001年Linux峰会上，NSA(美国国家安全局)展示了她的Security Enhanced Linux原型 系统，该系统在Linux内核上实现了“可变的访问控制结构”-----FLASK。Linus Torvalds本人在看到NSA这一研究成果后，也觉得有必要在主流Linux内核版本中增加支持访问控制的底层架构，该架构可以使那些具体的安全策略及实现作为一个可选择的内核模块载入内核。随后，WireX正式启动了这个项目，NAI labs、IBM、NSA以及世界各地的许多优秀程序员都参加了进来，并在2002年4月28日正式发布了基于2.4.18稳定内核版本的补丁。现在，必威体育精装版的版本是基于2.4.19稳定内核版的补丁和基于2.5.30开发版的内核补丁。 在这个项目完成前，世界各地已有不少安全访问控制架构，象NSA的FLASK，RSBAC（Role set based access control）的GFAC(Generalized Framework for Access Control )等。这些模型各有其优缺点，业界也没有统一的结论。但在LSM完成后，世界上许多基于Linux的安全操作系统纷纷将其实现移植到其上，这其中包括NSA的SELinux、Domain and Type Enforcement、LIDS(the Linux Intrustion Detection System)等。 1.2 LSM的设计原则及工作原理 Linus本人在LSM开发中，提出了三大设计原则和目标 确实的通用性。当选择一个使用不同安全策略的模型时，仅仅是装载一个不同的内核模块，不再需要额外的内核补丁。 概念的简单性。LSM的实现应不涉及复杂的安全理论，不干扰或不对安全模型的实现提供“具体的”支持；尽量减少对原有内核的改动；不能对内核执行效率有大的影响。 能够使已有的POSIX.1e capabllities逻辑结构作为一个可选择的安全模块装入。 依据这三大原则，LSM在一些内核数据结构上增加了模糊的安全域（opaque security fiel- ds），通过“void *”实现，并在程序流程的关键点插入hook函数来操作安全域和进行访问控制（hook函数类似与MFC的框架函数，它可以保证在内核的平台无关部分的适当地点被调用，而其中的具体操作需要用户自己定义）。LSM提供了内核模块的载入机制和模块栈（module stacking）技术，可以使实现具体安全策略的模块与LSM的框架相接，并使得多个安全模块可以堆叠在一起并保持LSM接口的单一性。LSM没有采用直接对系统调用进行仲裁或者当访问物理设备时仲裁的设计方法，因为那样都涉及处理用户空间的安全信息，而那时的安全信息不是很全面和有效同时会影响效率。LSM只对内核空间的内部对象进行操作，如进程（task）、i节点、打开的FILE结构等，并依据这些内部对象的安全信息来进行访问仲裁。 用户进程执行系统调用时，将通过原有的内核接口逻辑先后执行功能性错误检查、传统的UNIX访问控制检查,在即将访问内核的内部对象前，通过LSM hook调用LSM，LSM在调用具体的访问控制策略来决定该访问是否合法。其原理如图一所示 用户空间 内核空间 LSM内核模块引擎 调用 回答 访问