[發(fā)明專利]基于LSM與系統(tǒng)調(diào)用攔截相配合的可信計(jì)算實(shí)現(xiàn)系統(tǒng)及方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201910434540.3
• 申請(qǐng)日: 2019-05-23
• 公開（公告）號(hào): CN110135151B
• 公開（公告）日: 2020-12-01
• 發(fā)明（設(shè)計(jì)）人: 高景生;黃晶;施雪成
• 申請(qǐng)（專利權(quán)）人: 北京計(jì)算機(jī)技術(shù)及應(yīng)用研究所
• 主分類號(hào): G06F21/54
• 分類號(hào): G06F21/54
• 代理公司: 中國(guó)兵器工業(yè)集團(tuán)公司專利中心 11011
• 代理人: 王雪芬

1.一種基于LSM與系統(tǒng)調(diào)用攔截相配合的可信計(jì)算實(shí)現(xiàn)系統(tǒng)，其特征在于，包括：內(nèi)核態(tài)模塊、用戶態(tài)服務(wù)模塊和界面模塊；其中，所述內(nèi)核態(tài)模塊處于操作系統(tǒng)的內(nèi)核態(tài)，用于采用LSM與系統(tǒng)調(diào)用的方法，攔截操作系統(tǒng)動(dòng)作，包括啟動(dòng)程序和文件讀寫操作，還用于根據(jù)用戶態(tài)服務(wù)模塊的決策內(nèi)容執(zhí)行允許或禁止操作；用戶態(tài)服務(wù)模塊位于操作系統(tǒng)的用戶態(tài)，用于對(duì)所攔截的客體進(jìn)行度量和決策，確定是阻止還是放行該客體；界面模塊用于提供用戶與可信密碼設(shè)備交互的接口。

2.一種利用權(quán)利要求1所述的系統(tǒng)實(shí)現(xiàn)的一種利用上述系統(tǒng)實(shí)現(xiàn)的國(guó)產(chǎn)linux操作系統(tǒng)基于LSM與系統(tǒng)調(diào)用攔截相配合的可信計(jì)算方法，其特征在于，包括如下步驟：

S1、通過界面模塊初始化程序度量范圍和文件保護(hù)范圍；

S2、內(nèi)核態(tài)模塊基于LSM與系統(tǒng)調(diào)用的方法，攔截程序執(zhí)行和文件讀寫行為；

S3、用戶態(tài)服務(wù)模塊根據(jù)程序度量范圍和文件保護(hù)范圍對(duì)由內(nèi)核態(tài)模塊所攔截的正在執(zhí)行的程序和讀寫的文件進(jìn)行度量，根據(jù)度量結(jié)果對(duì)操作行為做出阻止或放行決策，并將操作結(jié)果記錄在日志；

S4、內(nèi)核態(tài)模塊根據(jù)決策內(nèi)容執(zhí)行允許或禁止操作。

3.如權(quán)利要求2所述的方法，其特征在于，步驟S1中，配置的內(nèi)容包括文件保護(hù)路徑配置、文件保護(hù)列表維護(hù)、白名單全盤掃描、白名單列表維護(hù)；

對(duì)于文件保護(hù)路徑配置：配置被保護(hù)的文件路徑，在該文件路徑下的所有文件將被保護(hù)，配置過程即是文件保護(hù)列表的初始化過程；對(duì)于文件保護(hù)列表維護(hù)，包括動(dòng)態(tài)增加或刪除被保護(hù)文件名單；對(duì)于白名單全盤掃描：掃描操作系統(tǒng)硬盤，讀取所有可執(zhí)行文件，計(jì)算摘要值，更新可信名單的基準(zhǔn)值，掃描過程即是白名單列表，即可執(zhí)行程序列表的初始化過程；對(duì)于白名單列表維護(hù)，包括動(dòng)態(tài)增加或刪除白名單列表中的可執(zhí)行程序。

4.如權(quán)利要求3所述的方法，其特征在于，步驟S1中，對(duì)于文件保護(hù)路徑配置、文件保護(hù)列表維護(hù)、白名單全盤掃描、白名單列表維護(hù)的操作，遵循以下規(guī)則：首先識(shí)別出是基于單個(gè)文件、文件路徑或可執(zhí)行程序路徑，如果是基于單個(gè)文件，則直接進(jìn)行添加、修改、刪除操作；如果是基于文件路徑，則遍歷文件路徑下的所有文件并計(jì)算每個(gè)文件的摘要值；如果是可執(zhí)行程序路徑，則識(shí)別出當(dāng)前路徑下的所有可執(zhí)行程序，并逐個(gè)計(jì)算摘要值。

5.如權(quán)利要求3所述的方法，其特征在于，步驟S1中，還將文件保護(hù)列表和可執(zhí)行程序列表存儲(chǔ)在可信密碼模塊中，并根據(jù)不同訪問接口，實(shí)現(xiàn)列表的修改和刪除。

6.如權(quán)利要求3所述的方法，其特征在于，步驟S1中，白名單和文件保護(hù)范圍初始化過程中與可信密碼模塊交互時(shí)，摘要值計(jì)算通過調(diào)用可信密碼接口模塊實(shí)現(xiàn)；文件保護(hù)信息和白名單信息存儲(chǔ)到可信密碼模塊中時(shí)，數(shù)據(jù)結(jié)構(gòu)中由鍵值對(duì)key-value組成映射表，每個(gè)鍵對(duì)應(yīng)一個(gè)鏈表，鍵key的取值是由被保護(hù)的文件或白名單的摘要值進(jìn)行哈希運(yùn)算得到的長(zhǎng)度為32位的字符串；映射值value為被保護(hù)文件或白名單的摘要值，哈希值相同的摘要值放在一個(gè)鏈表里。

7.如權(quán)利要求2所述的方法，其特征在于，步驟S2中，應(yīng)用程序發(fā)出讀操作時(shí)，通過標(biāo)準(zhǔn)庫(kù)函數(shù)調(diào)用syscall傳遞讀取行為到內(nèi)核態(tài)；內(nèi)核態(tài)通過自定義系統(tǒng)調(diào)用后，傳遞給vfs_read，經(jīng)過LSM鑒權(quán)后，由設(shè)備驅(qū)動(dòng)操作完成讀取操作；

內(nèi)核態(tài)模塊一旦監(jiān)聽到進(jìn)程啟動(dòng)或文件操作行為，就將當(dāng)前行為阻塞，并將進(jìn)程信息或文件信息交給用戶態(tài)服務(wù)模塊進(jìn)行決策；

由內(nèi)核態(tài)模塊傳遞給用戶態(tài)服務(wù)模塊的信息的數(shù)據(jù)結(jié)構(gòu)中，描述操作文件的絕對(duì)路徑，包括可執(zhí)行程序和其他類型的文件，還描述文件的操作類型，包括如下三種操作類型：?jiǎn)?dòng)進(jìn)程；寫入，包括修改、刪除；讀取。