策略灵活安全系统的设计与实现

安全需求多样化对操作系统提出策略灵活性要求，传统操作系统把对安全策略的支持分散到系统相关功能模块中，如文件系统及进程通信等，难以满足这种需求，该文通过对操作系统中策略相关功能部件的分析，提出了一种策略灵活的安全体系结构，并在Linux基础上实现该结构。同以往研究相比，该结构通过对安全属性的统一维护简化了策略冲突协调的复杂性，既方便用户灵活配置已有安全策略，又支持用户针对本领域的安全需求引入新的安全属性及添加新型安全策略。     

可定制的安全操作系统内核

随着因特网的高速发展,安全问题显得日益严重,而计算机操作系统是信息系统的安全基础,但传统的操作系统安全机制已缺乏足够的灵活性,不能提供可根据具体应用系统配置特定安全策略的机制,提出了一种可定制的安全操作系统内核机制,用户可使用基于规则,面向事件的高层定义语言来描述安全策略而无需关心底层细节,系统具有良好的适应能力,可支持广泛的安全策略的实现。     

改进的BLP模型的建模及其应用

BLP模型是经典的数据机密性模型,也是高等级安全操作系统研发过程中最常使用的一种安全策略模型。但是由于模型自身存在的不足,使得它无法满足实际系统开发的需求。通过对其做相应的改进,并对其做完全形式化的描述,将其应用到具体的系统当中,从而满足《信息安全技术——操作系统安全技术要求》(《GB/T 20272-2006》)中对"访问验证保护级"安全操作系统研发过程中提出的需要完全形式化的安全策略模型的需求。     

操作系统对象语义模型(OSOSM)及形式化验证

操作系统的复杂性使得其安全性问题日益突出.有不少的研究工作采用形式化的方式对现有的操作系统进行了正确性的验证,这些工作主要是采用程序形式逻辑验证代码级的功能实现性.从系统设计的角度,以高阶逻辑和类型论为基础,提出了操作系统对象语义模型(OSOSM).OSOSM采用分层结构,包括基本功效层、实现层和优化层.OSOSM将操作系统中的行为主体和资源抽象为操作系统对象,建立操作系统的论域,利用以操作系统对象变元集合为定义域到论域的映射表示操作系统的状态,描述操作系统系统调用等行为的语义,使用逻辑系统的谓词公式表达操作系统的安全属性,给出如何验证操作系统在运行过程中保持安全策略和属性的形式化描述方法.以实现并经过形式化验证的可信操作系统(VTOS)为例,阐述OSOSM的语义正确性.使用Isabelle定理证明工具验证设计和安全需求的一致性,以说明VTOS具有预期的安全属性.     

操作系统安全增强模型的通用化

研究了实现操作系统安全增强模型通用化的途径。把安全增强模型中与操作系统体系结构相关的部件隐藏在系统特征封装层，从而降低了模型的系统依赖性，使之适用于不同类型的操作系统；引入安全策略抽象层，使安全增强模型独立于任何特定的安全策略，使之对不同安全策略通用；在模型中增加应用支持层，实现在安全增强的操作系统环境下灵活支持已有应用程序。     

一个灵活的操作系统安全框架FMAC

当前，操作系统的安全需求越来越多样、灵活和具体，它们往往只描述系统中一小部分实体之问的约束，但对安全策略的灵活性厦定制的简洁性有较高的要求。传统的安全框架，如FLASK等，难于满足此类“轻量级”的安全需求。本文提出的FMAC框架专门面向此类安全需求，它定义了基于标记迁移系统LTS的安全策略模型，以规范和简化安全策略的定制。FMAC框架由通用的对象管理器模型和安全策略管理器模型组成。讨论了FMAC在Unix类操作系统中的实现，通过层次式的客体组织与基于角色的主体组织，普通用户可以方便快捷地定制出满足要求的轻量级安全策略。     

专用安全操作系统

随着Internet的高速发展，安全问题显得日益重要。而计算机操作系统是信息系统的安全基础，但传统的操作系统安全机制已缺乏足够的灵活性，不能提供面向分布式环境的，可根据具体应用系统配置特定安全策略的机制。提出了一种专用安全操作系统的体系结构，用户可使用基于事件的高层定义语言来描述与进程相关的安全策略而无须关心底层细节，因此系统具有良好的适应能力和可扩展性。     

安全操作系统中基于多策略的应用支持模型

在安全操作系统中，安全策略的实施可能导致已有的应用程序无法正常运行。把应用程序抽象为一组功能模块的集合，在此基础上提出安全策略与应用程序之间的兼容性检测方法。基于多策略安全模型，该文建立安全操作系统的应用支持模型，分析了该模型的安全性。     

基于LSM的动态多策略研究与实现

安全需求多样化对操作系统提出支持大量广泛的安全策略灵活性要求.这些灵活性需要支持控制访问权限的转移,执行细粒度的访问控制和撤消之前许可的访问权限.传统操作系统把对安全策略的支持分散到系统相关功能模块中,难以满足这种需求.通过对操作系统中策略相关功能部件的研究,介绍并分析了一种基于通用访问控制框架LSM的动态多策略安全体系结构,阐述了如何把主流Flask体系结构和LSM合理有效的结合以及在Linux上的实现.     

基于Linux的强制访问控制研究

本文围绕安全操作系统中强制访问控制部分的理论和研究,自行构建了Linux系统的强制访问控制机制。该机制支持BLP修改模型的多级安全策略,其构建参考了GFAC和LSM等访问控制模型。内容包括总体设计思路、安全策略和安全信息的形式化、关键函数的实现等。     

隐藏访问策略的可追踪属性基加密方案

属性基加密作为一种一对多的加密机制,能够为云存储提供良好的安全性和细粒度访问控制。但在密文策略属性基加密中,一个解密私钥可能会对应多个用户,用户可能会非法共享其私钥以获取不当利益;另外,访问策略通常包含敏感信息,这对隐私性要求较高的场合造成了重大挑战。针对上述问题,提出一个隐藏访问策略的可追踪密文策略属性基加密方案。该方案基于合数阶双线性群进行构造,通过将用户的身份信息嵌入到该用户的私钥中实现可追踪性,将访问策略中的特定敏感属性值隐藏在密文中实现策略隐藏,利用解密测试技术提高解密效率,给出了在标准模型下方案是完全安全和可追踪的证明。对比分析表明,该方案在解密运算方面有所优化,从而降低了解密运算开销,提高了效率。     

Emerging security requirements

Interest in the security of information systems has increased partly because of evolving systems maturity, and partly in response to dramatic intrusions into major systems. These have included intrusions by amateur ‘hackers’ which, although embarrassing have caused no substantial damage. Intrusions from employees are far more damaging but have not been widely publicized. The paper describes the US government's security policy and its implications for private organizations. A security policy is basic to the concept of security and defines the manner in which an information system can access and manipulate data. Protection mechanisms which enforce security policies are discussed. Mandatory and discretionary policies which form a particular security policy are outlined. The characteristics of a formal security model are also defined, and the design of a secure operating system is discussed. The present status of information systems security is outlined.     

基于仿生控制机理的信息系统内生免疫体系研究

随着信息通信系统的架构日益复杂,承载的数据量呈指数级增长,现有的安全防护体系存在严重缺陷:先建网络、后做防护导致安全防护难以到位;集中式防御模式导致信息系统对外服务能力下降严重;防御机制与信息系统的安全状况关联不大导致防御效能低下.如何从根源上突破以上瓶颈成为未来信息系统安全的核心问题,需要改变被动式防御方式,实施主动...     

NUTOS系统多策略安全模型设计与实现

传统的MLS策略侧重于信息机密性保护，却很少考虑完整性，也无法有效实施信道控制策略，在解决不同安全级别信息流动问题时采用的可信主体也存在安全隐患。为了在同一系统中满足多样性的安全需求，给出混合多策略模型——MPVSM模型，有机组合了BLP、Biba、DTE、RBAC等安全模型的属性和功能，消除了MLS模型的缺陷，提高了信道控制能力和权限分配的灵活度，对可信主体的权限也进行了有力的控制和约束。给出MPVSM模型的形式化描述以及在原型可信操作系统Nutos中的实现，并给出了策略配置实例。     

Towards the design of secure systems

Within a programmed system, we may distinguish between different kinds of information in order to control the use of each kind by separate security policies, where each policy is tailored to the sensitivity and desired dissemination of that one kind of information. This paper analyses the implications of implementing security policies and describes mechanisms which can be used as the basis for constructing operating systems with the desired security attributes.     

基于多级安全策略的二维标识模型

安全模型是用形式化的方法来描述如何满足系统的安全要求．经典的安全模型都只能要么满足系统的保密性要求(如BLP模型)，要么满足完整性的要求(如Biba模型)．该文提出了一个多级安全策略的二维标识模型，在对可信主体必须遵守最小特权原则的前提下，利用保密性标识和可信度标识共同构成主客体的访问标识，并利用两个约束条件，使得既能防止越权泄露信息．又能控制信息的非授权修改，从而同时保证了系统的保密性和完整性．     

基于安全等级协商的移动安全服务系统

分析了移动业务在安全方面需求的差异性，设计了安全策略及组织结构。在此基础上提出了一种移动安全服务系统模型，并设计了不同安全等级的网元之间的协商流程。该研究成果有效解决了按照用户需求分配安全服务的问题，并为移动通信运营商实现增值安全服务提供技术保障。     

Policy driven management for distributed systems

Separating management policy from the automated managers which interpret the policy facilitates the dynamic change of behavior of a distributed management system. This permits it to adapt to evolutionary changes in the system being managed and to new application requirements. Changing the behavior of automated managers can be achieved by changing the policy without having to reimplement them—this permits the reuse of the managers in different environments. It is also useful to have a clear specification of the policy applying to human managers in an enterprise. This paper describes the work on policy which has come out of two related ESPRIT funded projects, SysMan and IDSM. Two classes of policy are elaborated—authorization policies define what a manager is permitted to do and obligation policies define what a manager must do. Policies are specified as objects which define a relationship between subjects (managers) and targets (managed objects). Domains are used to group the objects to which a policy applies. Policy objects also have attributes specifying the action to be performed and constraints limiting the applicability of the policy. We show how a number of example policies can be modeled using these objects and briefly mention issues relating to policy hierarchy and conflicts between overlapping policies.