[發(fā)明專利]基于安全域隔離的訪問控制方法及其系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201210107082.0
• 申請(qǐng)日: 2012-04-12
• 公開（公告）號(hào): CN103379089A
• 公開（公告）日: 2013-10-30
• 發(fā)明（設(shè)計(jì)）人: 李亞暉;牛文生;張亞棣
• 申請(qǐng)（專利權(quán)）人: 中國航空工業(yè)集團(tuán)公司第六三一研究所
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 西安智邦專利商標(biāo)代理有限公司 61211
• 代理人: 姚敏杰

1.一種基于安全域隔離的訪問控制方法，其特征在于：所述基于安全域隔離的訪問控制方法包括以下步驟：

1)采用支持分區(qū)化的嵌入式操作系統(tǒng)平臺(tái)將整體任務(wù)進(jìn)行多種級(jí)別的安全域劃分；

2)根據(jù)不同的安全訪問控制策略來實(shí)現(xiàn)安全域的隔離訪問控制。

2.根據(jù)權(quán)利要求1所述的基于安全域隔離的訪問控制方法，其特征在于：所述步驟1)將安全域劃分的依據(jù)是：根據(jù)任務(wù)的密級(jí)劃分或安全關(guān)鍵類任務(wù)的安全性劃分。

3.根據(jù)權(quán)利要求2所述的基于安全域隔離的訪問控制方法，其特征在于：所述任務(wù)劃分是根據(jù)任務(wù)的密級(jí)劃分時(shí)，所述任務(wù)被分為非密安全域、秘密安全域、機(jī)密安全域以及絕密安全域。

4.根據(jù)權(quán)利要求1或2或3所述的基于安全域隔離的訪問控制方法，其特征在于：所述步驟1)中的安全域劃分的結(jié)果是：同一分區(qū)相同安全域、同一分區(qū)不同安全域、不同分區(qū)相同安全域以及不同分區(qū)不同安全域；所述分區(qū)包括MILS消息路由以及GUARD兩個(gè)安全中間件；所述MILS消息路由是為分區(qū)間通信提供路由，同時(shí)支持?jǐn)?shù)據(jù)隔離以及信息流控制；所述GUARD中植入BLP授權(quán)模型，包含系統(tǒng)的強(qiáng)制訪問控制策略。

5.根據(jù)權(quán)利要求4所述的基于安全域隔離的訪問控制方法，其特征在于：所述步驟2)中的安全訪問控制策略是：相同安全域之間的訪問通信是通過MILS消息路由進(jìn)行的；不同安全域之間的訪問通信是通過訪問監(jiān)控器的安全訪問策略進(jìn)行仲裁進(jìn)行。

6.根據(jù)權(quán)利要求5所述的基于安全域隔離的訪問控制方法，其特征在于：所述安全域劃分的結(jié)果是同一分區(qū)相同安全域時(shí)，所述步驟2)的具體實(shí)現(xiàn)方式是：采用分區(qū)內(nèi)任務(wù)通信機(jī)制實(shí)現(xiàn)消息交互，需要分區(qū)內(nèi)安全監(jiān)控機(jī)制進(jìn)行訪問控制。

7.根據(jù)權(quán)利要求5所述的基于安全域隔離的訪問控制方法，其特征在于：所述安全域劃分的結(jié)果是同一分區(qū)不同安全域時(shí)，所述步驟2)的具體實(shí)現(xiàn)方式是：MILS消息路由提取通信消息的路由信息并判別出屬于不同安全域時(shí)，將通信消息傳給相應(yīng)的GUARD，GUARD依照訪問控制策略進(jìn)行判斷分析，是否禁止或允許該通信的進(jìn)行，同時(shí)將結(jié)果反饋給MILS消息路由；如果允許該通信進(jìn)行，則MILS消息路由將把消息傳輸至目的地；如果禁止該通信進(jìn)行，則丟棄需要發(fā)送的消息。

8.根據(jù)權(quán)利要求5所述的基于安全域隔離的訪問控制方法，其特征在于：所述安全域劃分的結(jié)果是不同分區(qū)相同安全域時(shí)，所述步驟2)的具體實(shí)現(xiàn)方式是：需要發(fā)送的消息通過進(jìn)行分區(qū)間轉(zhuǎn)發(fā)，其中MILS消息路由提取消息的路由信息，當(dāng)判別出屬于同一安全域時(shí)就直接將消息轉(zhuǎn)發(fā)。

9.根據(jù)權(quán)利要求5所述的基于安全域隔離的訪間控制方法，其特征在于：所述安全域劃分的結(jié)果是不同分區(qū)不同安全域時(shí)，所述步驟2)的具體實(shí)現(xiàn)方式是：需要發(fā)送的消息通過進(jìn)行分區(qū)間轉(zhuǎn)發(fā)，其中MILS消息路由提取消息的路由信息并判別出屬于不同安全域時(shí)，將需要發(fā)送的消息傳給相應(yīng)的GUARD，GUARD依照訪問控制策略進(jìn)行判斷分析，是否禁止或允許該通信的進(jìn)行，同時(shí)將結(jié)果反饋給MILS消息路由；如果允許該通信進(jìn)行，MILS消息路由將把需要通信的消息傳輸至目的地；如果禁止該通信進(jìn)行，則丟棄需要發(fā)送的消息。

10.一種用于實(shí)現(xiàn)權(quán)利要求1-9任一權(quán)利要求所述的基于安全域隔離的訪問控制方法的控制系統(tǒng)，其特征在于：所述基于安全域隔離的訪問控制系統(tǒng)包括：

應(yīng)用通信接口；

策略服務(wù)器：負(fù)責(zé)加載和更新安全策略進(jìn)行訪問仲裁或決策，負(fù)責(zé)維護(hù)安全標(biāo)識(shí)符/安全屬性表，給新建的主客體分配安全標(biāo)識(shí)符，管理可重用策略緩存；

安全策略緩存：策略緩存作為一個(gè)新的操作系統(tǒng)部件，用于改善安全核的性能，增加決策緩沖區(qū)來加快決策速度，減少系統(tǒng)開銷；

訪問監(jiān)控器：訪問監(jiān)控器監(jiān)控所有與安全相關(guān)的訪問，當(dāng)攔截到訪問請(qǐng)求，轉(zhuǎn)到安全判定部分；

分區(qū)間通信系統(tǒng)：負(fù)責(zé)分區(qū)間通信管理，信道資源分配和信道隔離，檢測(cè)隱蔽信道的存在，對(duì)信道進(jìn)行安全保護(hù)；

策略配置工具：負(fù)責(zé)為安全管理員提供安全策略的配置接口和操作界面，對(duì)系統(tǒng)安全審計(jì)信息進(jìn)行管理和維護(hù)；

安全審計(jì)模塊；

當(dāng)應(yīng)用任務(wù)訪問分區(qū)內(nèi)資源時(shí)，首先通過應(yīng)用通信接口發(fā)起通信請(qǐng)求，所述應(yīng)用通信接口將應(yīng)用請(qǐng)求發(fā)轉(zhuǎn)發(fā)給分區(qū)訪問監(jiān)控器；當(dāng)應(yīng)用任務(wù)訪問分區(qū)外系統(tǒng)資源時(shí)，首先通過系統(tǒng)調(diào)用應(yīng)用通信接口向操作系統(tǒng)發(fā)起請(qǐng)求，系統(tǒng)調(diào)用將該請(qǐng)求轉(zhuǎn)入內(nèi)核的分區(qū)通信接口，該分區(qū)通信接口將調(diào)用內(nèi)核訪問監(jiān)控器進(jìn)行訪問控制；

當(dāng)訪問監(jiān)控器接收到應(yīng)用請(qǐng)求時(shí)，需要根據(jù)應(yīng)用請(qǐng)求的標(biāo)識(shí)去查詢安全策略緩存；如果安全策略緩存命中查詢條目，則根據(jù)策略規(guī)則判別請(qǐng)求是否被允許；如果策略緩存中無相應(yīng)的策略條目，則需要將該請(qǐng)求轉(zhuǎn)向策略服務(wù)器進(jìn)行策略查詢；

當(dāng)安全策略緩存和策略服務(wù)器進(jìn)行安全策略匹配時(shí)，要根據(jù)應(yīng)用請(qǐng)求中攜帶的請(qǐng)求者標(biāo)識(shí)和被訪問者標(biāo)識(shí)進(jìn)行策略匹配；如果在安全策略緩存中查詢到相應(yīng)的策略，則根據(jù)策略規(guī)則對(duì)請(qǐng)求進(jìn)行授權(quán)，允許訪問則通過該請(qǐng)求，否則就拒絕該請(qǐng)求；如果在安全策略緩存中沒有查找到相應(yīng)策略，則需要在策略服務(wù)器中查找，當(dāng)在策略服務(wù)器中查找到對(duì)應(yīng)的安全策略后，就按照策略規(guī)則進(jìn)行授權(quán)，當(dāng)在策略服務(wù)器中也沒有查找到對(duì)應(yīng)的策略時(shí)，則按照安全策略的默認(rèn)規(guī)則拒絕該請(qǐng)求；

當(dāng)訪問監(jiān)控器獲得應(yīng)用請(qǐng)求的訪問控制結(jié)果后，需要將該請(qǐng)求結(jié)果寫入系統(tǒng)的安全審計(jì)模塊。