RT-Thread Smart 微内核操作系统概述

RT-Thread Smart采用微内核的设计思想,将操作系统自身的服务组件从内核中剥离出来,在用户态以进程的形式运行,避免服务组件的错误造成内核崩溃,提高系统整体的稳定性和可靠性。另一方面,依据用户配置选项,RT-Thread Smart继续支持将组件编译进内核中,以获得更佳的性能和向下兼容性。为了支持这些特性,RT-Thread Smart实现了对MMU和进程管理的支持,并通过通道机制来完成内核和用户态进程间的数据交换。     

基于分段保护的内核模块隔离机制

传统单块结构操作系统的所有内核代码在一个公共的、共享的地址空间运行。因此内核中任何一个漏洞或在内核中加载任何不可靠模块都会威胁到整个系统的安全。内核模块隔离机制从安全的角度出发,将原内核中最易引入不安全因素的部分采用保护模块的形式装载到内核中,并利用硬件保护机制与其它内核模块隔离,从而增强现有单块操作系统内核的可靠性与安全性。     

基于地址空间标识符的QEMU动态跳转优化

随着硬件技术的不断演进和软件需求的持续增长,人们对以QEMU为代表的指令集架构仿真平台的执行性能提出了更高的要求.本文针对目标架构支持虚拟内存的场景,分析了QEMU现有动态跳转处理机制及其存在的问题,根据常见虚拟内存系统的特点提出了基于地址空间标识符的动态跳转优化方案,并以RISC-V为目标架构在QEMU主线6.2.0版本上实现了该方案.实验表明,相较于原生QEMU,基于地址空间标识符的动态跳转方案提升了约12%的运行性能.     

一种在不可信操作系统内核中高效保护应用程序的方法

在现代操作系统中,内核运行在最高特权层,管理底层硬件并向上层应用程序提供系统服务,因而安全敏感的应用程序很容易受到来自底层不可信内核的攻击.提出了一种在不可信操作系统内核中保护应用程序的方法AppFort.针对现有方法的高开销问题,AppFort结合x86硬件机制(操作数地址长度)、内核代码完整性保护和内核控制流完整性保护,对不可信内核的硬件操作和软件行为进行截获和验证,从而高效地保证应用程序的内存、控制流和文件I/O安全.实验结果表明:AppFort的开销极小,与现有工作相比明显提高了性能.     

一种新型的基于构件和微内核的设备驱动模型

论文首先从内核性能和安全性的角度分析驱动程序对微内核与单体内核的影响;然后讨论硬件抽象层对驱动抽象能力的影响以及与移植性及内核大小的关系;分析传统UNIX系列与Windows NT操作系统内核结构以及驱动模型优缺点;最后介绍一个构件化驱动模型的特点。该模型基于构件装配运行平台技术,运行在和欣2.0操作系统平台上。驱动模型底层是一个合适的硬件抽象层,方便移植,用户态程序可以灵活地调用驱动程序。     

KFUR:一个新型内核扩展安全模型

保障内核扩展的安全性对操作系统具有重要意义.当前存在大量针对内核函数使用规则的攻击,内核扩展中也存在大量违反内核函数使用规则的错误,因此针对内核函数使用规则的安全性检测十分必要.虽然存在多种提高内核扩展安全性的方法,但很少有方法对内核函数的使用规则进行安全性检测.文中设计了KFUR( Kernel Function Usage Rule)内核扩展安全模型系统,用于在运行时检测内核扩展调用内核函数是否遵守内核函数使用规则.如果内核扩展调用内核函数满足模型安全运行条件,则允许对该内核函数进行调用,否则将错误报告给操作系统内核并终止该内核扩展的运行.文中所述研究在Iinux操作系统上对KFUR安全模型系统进行实现,并将其运用于e1000网卡驱动、SATA硬盘驱动和HDA声卡驱动内核扩展.安全性评测表明安全模型系统能够对内核函数使用规则进行安全性检测,性能评测表明安全模型系统带来的开销很小.     

一种优化的内核态文件发送方法

传统的Linux内核协议栈已不能满足大规模数据处理系统对网络传输越来越高的性能要求。现有很多研究是将原来在内核态实现的协议和接口移到用户态去实现，但针对内核态优化的研究比较少。在研究分析Linux内核态文件发送接口sendfile( )处理流程和管理机制的基础上，本文提出一种内核态文件发送优化方法，采用自动负载均衡的定长内存池管理、CPU亲和性等技术，对内核态文件发送接口进行优化改造。解决了系统在高负载情况下内存碎片、内存耗尽及CPU抖动的问题，有效提升了数据传输性能。实验结果表明，在高并发、高吞吐场景下，采用本文优化方法后，系统运行更稳定，内核态CPU占有率下降50%。     

基于快速上下文切换扩展的快速地址空间切换

在传统的x86处理器上进行地址空间切换通常需要清空TLB和cache,导致内核时间大量消耗。通过启用ARM920T嵌入式处理器上的快速上下文切换扩展机制,使每个进程地址空间中的低端32 MB可以被硬件重定向到该进程标志符指定的一段虚拟地址空间。该虚拟地址空间互不重叠,使得在进程切换时TLB和cache中的地址信息保持有效,消除了不必要的TLB和cache清空操作,提高了嵌入式系统的性能。     

基于嵌入式Linux系统的内核级线程库的研究与实现

在当前嵌入式系统应用中,性能问题一直是人们关注的重点.大多数嵌入式Linux应用往往运行在用户态,系统运行时需要经常在内核态和用户态之间反复切换,降低了关键业务的执行效率.以往的研究较少从内核态下的线程库出发来考虑性能优化的实现方法,影响了嵌入式系统的整体性能.对此,本文提出一种适用于嵌入式Linux系统的内核级线程库(LKTL),并且分析了实现的关键技术.LKTL提供了线程管理、信号量同步、内存的动态分配和回收、日志管理以及基本的GNU C库的功能,不但大大提高了应用程序的运行效率,还方便了应用程序的开发和移植.实验表明LKTL能够显著优化嵌入式Linux系统的整体性能.     

基于IPT硬件的内核模块ROP透明保护机制

Return-Oriented Programming（ROP）是一种流行的利用缓冲区溢出漏洞进行软件攻击的方法,它通过覆写程序栈上的返回地址,使程序在之后执行返回指令时,跳转到攻击者指定位置的代码,因而违反了程序原本期望的控制流.控制流完整性（Control-flow Integrity,简称CFI）检查是目前最流行的ROP防御机制,它将每条控制流跳转指令的合法目标限制在一个合法目标地址集合内,从而阻止攻击者恶意改变程序的控制流.现有的CFI机制大多用于保护用户态程序,然而当前已经有诸多针对内核态的攻击被曝出,其中Return-oriented rootkits^[1] （ROR）就是在有漏洞的内核模块中进行ROP攻击,达到执行内核任意代码的目的.相较于传统的基于用户空间的ROP攻击,ROR攻击更加危险.根据Linux CVE的数据统计,在2014-2016年中,操作系统内核内部的漏洞有76%出现在内核模块中,其中基本上所有被公布出来的攻击都发生在内核模块.由此可见,内核模块作为针对内核攻击的高发区,非常危险.另一方面,当前鲜有针对操作系统内核的CFI保护方案,而已有的相关系统都依赖于对内核的重新编译,这在很大程度上影响了它们的应用场景.针对这些问题,本文首次提出利用Intel Processor Trace （IPT）硬件机制,并结合虚拟化技术,对内核模块进行透明且有效的保护,从而防御针对其的ROP攻击.实验表明该系统具有极强的保护精确性、兼容性和高效性.     

DBox:宏内核下各种设备驱动程序的高性能安全盒

越来越多和宏内核操作系统中使用的设备驱动程序相关的漏洞被发现,这些漏洞严重危害操作系统的安全性和可靠性.现有的解决方案无法既能为操作系统内核提供强有力的保护又能达到与原生系统相近的性能.在本文中,我们提出了一个称为DBox的驱动程序隔离框架解决方案同时考虑系统的安全性和性能.DBox为设备驱动程序提供了一个基于虚拟化的安全容器,使得驱动程序和主机系统有效隔离,并通过通用I/O交互接口实现对多种设备驱动的支持.我们通过对EPT页表和IOMMU地址翻译表的修改,创建了一块基于连续物理内存的共享内存,实现了硬件设备、驱动程序和主机系统内核之间的高性能通信基础.我们通过多核并行化、高效消息传递、零拷贝和批量数据传输等机制深度优化了I/O性能,在大多数情况下DBox中的驱动程序都可以达到与原始内核相同的性能.在DBox中添加新驱动程序支持无需修改驱动程序代码,使得DBox方案在现实环境中易于采用.我们在DBox中实现了四个常见驱动程序类别(NIC,块设备,UART和输入设备),经过实验表明,TCP/UDP吞吐量、往返时延、块设备吞吐量、串口吞吐量、串口往返时延及键盘响应时间的性能下降均在5%以下.     

基于硬件虚拟化的内核同层多域隔离模型

为了解决内核不可信带来的问题,很多工作提出了同层可信基的架构,即在内核同一硬件特权水平构建可部署安全机制的唯一保护域.但是,实际过程中往往面临多样化的安全需求,将多种对应的安全机制集中于唯一的保护域必然导致只要其中任何一个安全机制被攻陷,同一个保护域内其它所有安全机制都可能被攻击者恶意篡改或者破坏.为了解决上述问题,本文提出了内核同层多域隔离模型,即在内核同一硬件特权水平构建多个保护域实现了不同安全机制的内部隔离,缓解了传统方法将所有安全机制绑定在唯一保护域带来的安全风险.本文实现了内核同层多域隔离模型的原型系统Decentralized-KPD,其利用硬件虚拟化技术和地址重映射技术,将不同安全机制部署在与内核同一特权水平的多个保护域中,并不会引起较大的性能开销.总体而言,实验结果展示了内核同层多域隔离模型的安全性和实用性.     

一种新型内核扩展安全访问方法

内核扩展的安全性对操作系统的稳定运行具有重要意义.内核扩展在为驱动开发提供了便捷的同时,但也带来了重大安全隐患.本文设计了一个新型内核扩展安全访问(Security Access to Kernel Extension,SAKE)模型系统,该系统通过对驱动模块的控制范围进行约束,对关键内核扩展函数接口进行审查,来实现安全的内核扩展访问.文中所述研究在Linux操作系统上对SAKE模型系统进行了实现,并结合多款驱动进行了评测.安全性评测结果表明SAKE能够提供安全内核扩展访问功能,并且性能评测表明该系统带来的开销很小.     

分层隔离的安全操作系统内核结构研究

传统单块结构操作系统的所有内核代码在一个公共的、共享的地址空间运行,因此内核中任何一个漏洞或在内核中加载任何不可靠模块都会威胁到整个系统的安全。本文提出了一个分层隔离的操作系统安全结构,该结构有效地将内核特权分割隔离,阻止内核安全漏洞的扩散,防止恶意内核模块代码对内核代码数据的随意篡改。原型操作系统完全自主开发,支持i386体系结构。内核模块隔离机制利用分段保护硬件机制保证安全微内核的不被篡改性,并在此基础上实现操作系统各服务功能模块的隔离。     

重叠地址空间的二次重定向研究

为了提高操作系统内核在地址空间切换时候的效率,利用ARM处理器上的快速上下文切换扩展(fast context switching extension,FCSE),实现任务地址空间的二次重定向.该方法首先将任务地址空间重定向到一个大的单地址空间,内存管理单元再进行从虚拟地址空间到物理地址空间的重定向.单地址空间到物理地址空间的地址转换信息始终保持有效.因而,内存管理单元(memory management unit,MMU)在任务切换的时候不必清空转换查询表(translation look-aside buffer,TLB),可提高处理器在任务切换时候的效率.通过在ARM920RT处理器上的实验发现,按该方法设计实现的内核可以稳定地运行在虚拟机上.     

基于编译器插件的轻量级内核重构加固方法研究

操作系统是整个计算机系统的基础,只有保证操作系统的安全性,才能确保上层软件的安全性。本文采用保护内核控制流的方法提高操作系统安全性,提出一种基于编译器插件的轻量级内核重构加固方法。该方法是在相关转移指令前动态插入控制流断言,确保执行路径在有效的内核边界内,保护程序、指令运行的位置和顺序被修改。它能有效加强用户地址空间与内核地址空间的隔离,对内核起到有效加固的作用,同时可以防止通过篡改内核关键数据结构而引发权限提升类漏洞的攻击。实验结果证明,该方法是轻量级的内核加固方法,能够防止空指针引用漏洞及相关内核权限提升类漏洞攻击。     

基于异构组件的图档管理系统的设计与实现

为了提高图档管理的质量和效率,提出了将异构组件技术应用于图档管理系统的分析和设计方法,将JavaBeans和COM组件技术整合,可以将直接访问AutoCAD的ActiveX对象部分封装成COM组件,然后借助Jacob软件包桥接调用COM组件,并将其封装成JavaBeans,形成了以JavaBeans为外壳、以COM为内核的异构组件,解决了Java不支持的平台相关特性,并根据这一思路开发了面向设计院的基于B/S的图档管理系统.实际运行结果表明,该系统适合于设计院对图档管理的要求,并且具有良好的开放性和可扩展性.     

基于内存取证的内核完整性度量方法

内核级攻击对操作系统的完整性和安全性造成严重威胁.当前,内核完整性度量方法在度量对象选取上存在片面性,且大部分方法采用周期性度量,无法避免TOC-TOU攻击.此外,基于硬件的内核完整性度量方法因添加额外的硬件使得系统成本较高;基于Hypervisor的内核完整性度量方法,应用复杂的VMM带来的系统性能损失较大.针对现有方法存在的不足,提出了基于内存取证的内核完整性度量方法KIMBMF.该方法采用内存取证分析技术提取静态和动态度量对象,提出时间随机化算法弱化TOC-TOU攻击,并采用Hash运算和加密运算相结合的算法提高度量过程的安全性.在此基础上,设计实现了基于内存取证的内核完整性度量原型系统,并通过实验评测了KIMBMF的有效性和性能.实验结果表明：KIMBMF能够有效度量内核的完整性,及时发现对内核完整性的攻击和破坏,且度量的性能开销小.     

基于内核级程序快照的软件调试框架

现代软件的功能需求越来越多样,软件编制规模越来越大,但隐藏其中的代码错误也随之增长.与此同时,种类丰富的外设、高级程序语言特性、现代处理器特性等因素的出现,却使得软件的错误诊断变得更加困难.提出一种基于内核级程序快照的软件调试框架(简称Sydump).Sydump扩展了操作系统内核以记录程序运行时信息,并提供一套用户态工具帮助程序员进行诊断.使用Sydump框架进行调试无需重新执行程序,不仅减轻了开发人员的负担,而且能够方便处理场景难以复现的软件错误.通过充分挖掘x86体系结构特性,Sydump无需专用硬件即可高效运行,具有很强的实用性.实验结果表明,Sydump仅带来很低的性能损耗,能够在实际部署中监控长期运行的服务器程序.     

Linux内核参数对Spark负载性能影响的研究

关于Spark性能的研究目前正在成为热点,但调优策略多位于应用层,而不是系统层。操作系统作为硬件之上的第一层软件,对硬件性能发挥起着根本作用。Linux内核提供了丰富的参数作为优化性能的接口,但实际中,这些参数的作用并没有得到充分发挥。人们更多是采用系统默认值,而不是根据具体环境进行调整。然而本文实验发现,系统默认值并不一定是最好的选择,有时甚至是最坏的。定义了"影响比"这一概念,并基于此概念提出了一种通过分析内核函数的执行情况来认识参数对Spark应用影响的方法。针对Spark内存计算的特点,从大页、NUMA这两个与使用内存紧密相关的方面分析了相关内核参数对几种典型Spark负载的性能影响,并由此得出一些结论。希望本文的分析和结论可以为Spark平台合理设置内核参数提供一些参考。