Изоляции

Системы изоляции процессов в двух отношениях. В ходе первого процесса представлены условия, которые, по-видимому, в компьютере под управлением только в том, что процесс или процессы будут изолированы. Во втором, обстановка в которых процесс действия проанализированы для определения их утечки информации. Первый тип среды препятствует процессу доступ к основной компьютерной системы и любые процессы или ресурсы, которые не являются частью этой среды. Второй тип среды не эмулирует компьютер. Он просто изменяет интерфейс между существующей компьютерной и процесс (ов).

Виртуальные машины

Первый тип среды называется виртуальной машиной.

Виртуальная машина - это программа, которая имитирует аппаратными средствами (возможно абстрактного) компьютерной системы.

Виртуальная машина использует специальную операционную систему называют монитором виртуальных машин для обеспечения виртуальных машин, на которых обычные операционные системы могут запустить

Основным преимуществом виртуальной машины заключается в том, что существующие операционные системы не должны быть изменены. Они идут на монитор виртуальных машин. В монитором виртуальных машин обеспечивает желаемой политики безопасности. Это прозрачности для пользователя. В монитором виртуальных машин функции безопасности ядра.

С точки зрения политики, монитором виртуальных машин занимается предметам (темы, в виртуальной машины). Даже если виртуальная машина работает сотни процессов, монитором виртуальных машин знает только о виртуальной машине. Таким образом, она может применяться для проверки безопасности своих граждан, и такой контроль применяется к процессам, что эти предметы подряд. Это удовлетворяет правило перевод заключения.

ПРИМЕР: В KVM/370 была повышенной безопасностью по версии IBM VM/370 монитором виртуальных машин. Это система виртуальных машин для ее пользователей, и одной из его целей является предотвращение связь между виртуальной машины разных классов безопасности, поэтому пользователи в разных классов безопасности может использовать систему одновременно. Как VM/370, она виртуальных машин с minidisks и позволяет систем обмена некоторых областях диска. В отличие от VM/370, он использует политики безопасности посредничество доступ к общей области на диске, чтобы ограничить связи между системами.

ПРИМЕР: Каргер и коллег в Digital Equipment Corporation разработали монитор виртуальных машин (VMM) для DEC VAX. Монитор - это ядро безопасности и может идти либо СМС или Ultrix операционной системы. В VMM работает на родной VAX оборудования и применяется в тех случаях, когда виртуальная машина выполняет привилегированное инструкции. Его структура является типичной для виртуальных машин для обеспечения безопасности.

В VAX имеет четыре уровня привилегий: пользователь, руководителю исполнительной власти, и ядро режимах. В целях обеспечения совместимого виртуальной машине, виртуальных машин, должны также иметь четыре уровня привилегий. Однако в режиме ядра процесс позволяет получить доступ к привилегированным инструкциям на VAX аппаратурой напрямую. Только VMM, разрешается сделать это. В виртуальных машин не может получить доступ режиме ядра. Решение предоставить виртуальных режимах. Эти режимы В.М. пользователя (соответствует пользовательском режиме), В.М. руководитель режиме, и VM исполнительной и VM ядра видов (как, фактически исполнительная режим).

В VMM вопросы пользователей и виртуальных машин. VMM имеет основные, плоской файловой системы для собственного использования и остальных разделов на диске среди виртуальных машин. Эти машины могут использовать любой файл структуры по своему желанию, и каждая виртуальная машина имеет свой собственный набор файловых систем. Каждый субъектом и объектом имеет многоуровневую безопасность и целостность ярлык, а также безопасность и целостность уровней образуют доступа класса. Два лица имеют доступ же класса, только если их безопасность и целостность этикетки и в то же время один субъект доминирует другой, только если оба безопасности и целостности классов доминировать.

Неотъемлемой составной частью VMM является механизма ревизии. Этот механизм действия записей для последующего анализа.

Поскольку виртуальные машины обеспечить такой же интерфейс для связи с другими виртуальных машин, что компьютеры предоставлять эти каналы связи, можно или разорвали. Как упоминалось ранее, если один хост проходит несколько виртуальных машин, этих виртуальных машин доля физических ресурсов пребывания на которой они управляют. (Они могут также обмениваться логических ресурсов, в зависимости от того, в virtualizing ядра реализованы.) Это создает благоприятную почву для скрытых каналов.

Песочницах

А игровая песочнице обеспечивает безопасные условия для пребывания детей дюйма Если дети покидают песочнице без присмотра, они могут что-то сделать они не должны делать. Компьютер песочнице аналогична. Он предоставляет безопасную среду для выполнения программ дюйма Если программы "отпуска" в песочнице, они могут делать то, что они не должны делать. Оба вида песочницах ограничить действия своих жильцов.

В песочнице - это условия, в которых действия процесс ограничивается в соответствии с политики безопасности.

Системам может привести в исполнение ограничения двумя способами. Во-первых, песочница может ограничить выполнение условий по мере необходимости. Это обычно делается путем добавления дополнительных мер безопасности - проверка механизмов для библиотек или ядра. Программа сама по себе не изменяется. Например, VMM ядра обсуждалось ранее - это песочница, поскольку она ограничивает доступ из (немодифицированного) операционных систем, которые идут по нему. В виртуальной машины Java является песочнице, поскольку его безопасности ограничивает доступ загруженных программ системных ресурсов, как продиктованные правила безопасности.

ПРИМЕР: Оперативный ядра из Сидевиндер брандмауэр использует тип исполнения ограничиться процессов. Это пример в песочнице встроена в ядро, и оно имущества, что песочница определяется продавцом. Она не должна быть изменена на месте. Такой дизайн типичен для ключ системы, которая является использование для Сидевиндер брандмауэр.

В Java виртуальная машина, в которой загруженные апплеты будут выполнены, - это еще один пример в песочнице. В песочнице ограничивает набор файлов, что апплет может получить доступ к и хосты, к которым апплет может подключиться. Другие механизмы безопасности, повышения песочнице.

DTE, типа механизма для DTEL, является примером, в котором ядро изменения позволяют системным администраторам настраивать собственные песочницах. Ядро обеспечивает ограничений.

Второй метод исполнения модифицировать программу (или процесса) должен быть казнен. Динамические отладчики и некоторые профайлеры использовать этот метод, добавив breakpoints в код и, когда в ловушку происходит, анализируя состояние текущих процесса. А вариант, известный как ошибки программного обеспечения изоляции, добавляет инструкции, которые выполняют доступ к памяти проверок или иных проверок, как проходит программа, поэтому любые попытки нарушения политики безопасности, приводит к ошибке.

ПРИМЕР: Janus осуществляет песочнице. Это исполнение условий, в которых система требует застрял и проверять. Пользователи выполнить ограничить объектов и способов доступа в ненадежные программы. Janus состоит из основы, которая делает на выполнении проверки, и модулей, которые определяют обращений, которые должны быть разрешены.

Янус первый читает файл конфигурации. Этот файл инструктирует их загрузить некоторые модули. Наряду с модулем идентификации список ограничений. В следующем примере конфигурационного файла определяется переменной среды МФС для ребенка и ограничивает ребенка доступ к файловой системе. Ребенок не могу открыть никакие файлы кроме тех, что называются ниже. Ребенок может читать или писать в любой файл в / usr файловой системы, за исключением тех, в / usr / lib и / usr / местные / lib директории (которые только чтение) и в / usr / бен (читать и исполнять). Ребенок может читать любой файл в / lib директорию и может читать и исполнить любой файл в / sbin и / бен каталоги. В файл конфигурации ниже, первое слово в каждой строке инструкция - это имя модуля и других слов аргументы передаются в модули ( "#" начинается комментарий).

  # базовых модуля базового

  # subprocess определение переменных окружения putenv МФС = "\ т \ н" PATH = / sbin: / бен: / usr / бен TZ = PST8PDT

  # отказать в доступе на все, кроме файлов в / usr путь отрицать читать, писать * путь, чтобы читать, писать / usr / * # subprocess позволяет читать файлы в библиотеку справочников #, необходимых для загрузки динамических путь позволяет читать / lib / * / usr / lib / * / usr / местные / lib / * # необходимо так ребенок может запускать программы путь позволяет читать, запустить / sbin / * / бин / * / usr / бин / *

Каждый модуль сдерживает системных вызовов. В рамках использует модули для создания связана список для каждого мониторинг системы слово. Этот список определяет возможность и запрещенные действия. После этого список был построен в рамках Janus ссылается на программу таким образом, чтобы контролировать всех системных вызовов оказались в ловушке.

Когда программа выполняет мониторинг системы слово, программа ловушек и Janus рамок нет. Он имеет доступ к аргументам, поставляется на sysem слово. Он подтверждает, что система слово, с этим конкретным параметрам, не допускается. Если система слово не допускается, в рамках наборов ребенка среды, чтобы система слово, по-видимому, не удалось. Если система призыв разрешена, в рамках возвращения контроля ребенка, который, в свою очередь, передает контроль ядра. По возвращении, контроль выходит на рамки, в которых обновления любого внутреннего состояния и возвращает результаты для ребенка.

Примером использования будет чтение почты MIME. Можно установили программу чтения почты пройти контроль на Postscript отображения двигателя. Некоторые такие двигатели имеют механизма исполнения системы на уровне команд встроенных в файл Postscript. Следовательно, злоумышленник может создать файл исключения команду в файл Postscript. Получатель бы запустить движок отображения прочитать файл, и некоторые ее файлы будут удалены. Однако, пользователь (или системный администратор) может создать Janus конфигурационного файла, чтобы запретить исполнение любых подпрограмм. Затем встроенной команды будут обнаружены (в системе слово исполнить его), и отвергли.

Как монитором виртуальных машин, одна песочница составной частью доверенного вычислительной базы. Если песочнице не удается, она обеспечивает меньшую защиту, чем считается представить. Следовательно, чтобы правильно песочнице реализует желаемого политики безопасности является критическим для безопасности системы.

в этой статье идет речь добавил Фред Фостер