[發明專利]一種強制訪問控制下的主體可信驗證方法及系統

有效

• 申請號: 201911341090.X
• 申請日: 2019-12-23
• 公開（公告）號: CN111159762B
• 公開（公告）日: 2022-08-12
• 發明（設計）人: 張建標;陶務升;黃浩翔;馮星偉;萬永祺;曹雪琛
• 申請（專利權）人: 北京工業大學
• 主分類號: G06F21/62
• 分類號: G06F21/62
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 楊明月

本發明實施例提供的一種強制訪問控制下的主體可信驗證方法及系統，該方法包括：初始化階段和權限審核階段；具體包括：獲取應用程序的二進制文件和對應的動態鏈接庫并進行度量，獲取初始基準值；權限審核階段包括：將應用程序的進程加載至內存，并在加載過程中度量應用程序的ELF文件，并將度量結果與初始基準值進行比對，獲取第一比對結果；根據所述第一比對結果，對應用程序的加載進行控制。本發明實施例提供的主體可信驗證方法及系統，通過在強制訪問控制模型中，在進程加載前、加載時以及運行時進行主體可信驗證，實現了對進程加載階段的可信驗證，有效避免了加載進程的系統調用被篡改而導致基準值錯誤情況的發生，增強了系統的安全防護。

技術領域

本發明涉及計算機技術領域，尤其涉及一種強制訪問控制下的主體可信驗證方法及系統。

背景技術

在強制訪問控制模型中，通過對系統中的主體、客體賦予相應的類型以及敏感級別，再結合策略規則，可以實現對主體訪問客體這一過程的權限控制，并且可以足夠細粒度地控制不同角色所執行的主體對客體有不同的權限，不同主體之間對同一個客體也有不同的權限。但是在傳統的強制訪問控制模型中，權限控制足夠細化，但是卻不夠安全。

現有技術中記載了一種實時檢查進程完整性的方法，包括監視即將在內存中運行的進程并判斷進程是否為第一次執行的進程；如果進程為第一次執行的進程，則收集與進程的散列值和與進程相對應的整個程序的散列值并存儲在進程參考表中；如果進程并非第一次執行的進程，則利用進程參考表中所存儲的進程的散列值和與進程相對應的整個程序的散列值，來驗證進程和與進程相對應的整個程序的完整性；在進程和與進程相對應的整個程序的完整性驗證結果為不完整的情況下，則恢復進程和與進程相對應的整個程序。

上述方法通過對進程是否是第一次運行進行判斷，如果進程是第一次運行，則對內存中的進程進行度量。但是，如果系統的加載進程的程序被篡改了，那么第一次將該程序加載到內存的過程中，應用程序的數據就被篡改了，就會導致從內存中獲取的就是錯誤的基準值。

現有技術中還記載了一種基于國產TCM的動態度量方法，通過TCM安全模塊對進程的程序區段進行分頁度量；當度量異常時，內核模塊立即向用戶告警，并暫停程序執行；用戶根據告警信息做出自己的選擇——恢復執行程序還是停止執行。

該方法能夠雖然能夠實現動態的對進程進行度量，但是未考慮進程加載階段，加載二進制文件這一操作的合法性，不能對這一操作的權限進行足夠細粒度的控制。

綜上所述，亟需提供一種在強制訪問控制下能夠對進程加載這一過程進行可信檢測即的方法及系統。

發明內容

有鑒于此，本發明實施例提供一種強制訪問控制下的主體可信驗證方法及其系統，用以解決在應用程序加載過程中，進程的系統調用可能被篡改而導致基準值錯誤情況發生的缺陷。

第一方面，本發明實施例提供一種強制訪問控制下的主體可信驗證方法，包括：初始化階段和權限審核階段；

初始化階段包括：

獲取應用程序的二進制文件，以及與二進制文件對應的動態鏈接庫；對二進制文件和所述動態鏈接庫進行度量，獲取初始基準值；

權限審核階段包括：

將應用程序的進程加載至內存，并在加載過程中度量應用程序的ELF文件對應的進程數據，并將度量結果與初始基準值進行比對，獲取第一比對結果；根據第一比對結果，對應用程序的加載進行控制。

進一步地，在度量應用程序的ELF文件，并將度量結果與初始基準值進行比對之前，還包括：獲取加載進程的系統調用序列；基于強制訪問控制模型的策略規則，根據系統調用序列判斷應用程序的權限；確定應用程序的權限為合格，則度量應用程序的ELF文件，并將度量結果與初始基準值進行比對。