面向多域計算環(huán)境安全的系統(tǒng)軟件研究.pdf

1、當前移動計算與云計算在教育、科技、醫(yī)療、商業(yè)和娛樂等各個領(lǐng)域改變著人們的工作與生活方式。同時近年來這些平臺惡意軟件激增且攻擊事件頻出，系統(tǒng)的安全性遭受著重大威脅。
　　針對移動與云平臺的安全問題，學(xué)術(shù)界與工業(yè)界基于多域計算環(huán)境從不同角度提出了許多安全方案。多域計算環(huán)境是指將系統(tǒng)分成多個互相隔離的執(zhí)行域，而每個域內(nèi)部具有權(quán)限級、地址空間隔離等隔離機制的計算環(huán)境。由于多域計算環(huán)境具有較好的安全隔離效果，特別適用于提高系統(tǒng)的安全性。

2、r>　　然而目前多域計算環(huán)境中的系統(tǒng)軟件存在如下兩個重要問題：
　　一是可信計算基太大。目前很多解決方案尚未能利用多域隔離環(huán)境，具有非常大的可信計算基。移動平臺硬件安全拓展ARM TrustZone機制能夠用于構(gòu)建一個雙域的計算環(huán)境，通過隔離的方式保護系統(tǒng)軟件安全，但是這樣的硬件隔離雙域環(huán)境并沒有被很好地利用：一方面，部分系統(tǒng)在隔離域中運行簡單的程序為另一個執(zhí)行域提供安全服務(wù)，可信基雖小但由于功能單一，不靈活通用；另一方面，部分研

3、究者嘗試在兩個域中分別運行一個復(fù)雜的操作系統(tǒng)，利用域之間的安全隔離提供靈活的安全服務(wù)，然而這導(dǎo)致了平臺可信計算基太大，安全性不高。
　　二是多域間切換的性能低下。當前許多安全的系統(tǒng)軟件利用虛擬化技術(shù)提供的多域隔離計算環(huán)境，在不同的域中運行安全等級不同的服務(wù)以保護平臺的安全。虛擬化技術(shù)在構(gòu)造多域計算環(huán)境的同時，使得整個系統(tǒng)有不同的權(quán)限等級和層次結(jié)構(gòu)，不同域間的交互需要跨越多個層次結(jié)構(gòu)和權(quán)限級，具有較大的性能開銷，直接導(dǎo)致系統(tǒng)的性能大

4、幅降低。出于性能考慮很多安全系統(tǒng)沒有在實際場景中被應(yīng)用。
　　本文利用計算機體系結(jié)構(gòu)自身的特點，通過對系統(tǒng)軟件的研究，在多域計算環(huán)境中以很小的可信計算基解決了幾個重要的安全問題，并創(chuàng)新性地提供了一個能夠同時達到較好性能、較高安全性的跨域調(diào)用機制。本文做出的學(xué)術(shù)貢獻包括如下三方面：
　　針對目前移動平臺缺乏一個可信基小、安全靈活的安全計算環(huán)境的問題，本文在移動平臺上利用硬件雙域機制實現(xiàn)了國內(nèi)第一個開源的安全內(nèi)核T6，為移動雙域

5、計算環(huán)境提供了一個安全平臺。T6運行在安全世界中，為普通世界的系統(tǒng)與應(yīng)用提供一個隔離安全域；具有極小的可信計算基，提供了現(xiàn)代操作系統(tǒng)常見的安全隔離與保護機制，通過安全啟動與應(yīng)用加載驗證機制保證了系統(tǒng)運行的任意代碼均是經(jīng)過驗證的可信代碼。此外，在T6基礎(chǔ)上首次提出在移動平臺的不可信驅(qū)動之上建立可信路徑的方法，保持極小的可信計算基（少于1萬行代碼）的同時能夠防御包括釣魚、設(shè)備截屏、觸摸記錄、代碼篡改等一系列針對用戶的攻擊，并且不對系統(tǒng)運行性

6、能造成影響。目前T6已被國內(nèi)外許多公司和研究機構(gòu)使用，證明了其實用性。
　　針對多域安全系統(tǒng)的性能問題，首次提出并實現(xiàn)了虛擬化環(huán)境上靈活的跨域調(diào)用機制。本文通過分析一系列多域安全系統(tǒng)案例指出，多域環(huán)境中的安全系統(tǒng)性能開銷主要來自于跨域切換，本文認為目前研究界該重新思考傳統(tǒng)保護域中復(fù)雜的垂直化層次結(jié)構(gòu)的設(shè)計，并提出了一套靈活的跨域調(diào)用機制，能夠同時達到較好的性能與較高的安全性。為了驗證其有效性，本文利用Intel VMFUNC硬件特

7、性，在虛擬化環(huán)境中構(gòu)建了一個靈活高效安全的跨域調(diào)用系統(tǒng)，并在實際的硬件中進行了實現(xiàn)與測試，驗證了其高效性與安全性。
　　針對目前移動平臺上嚴重且日益泛濫的廣告欺詐問題，首次提出了兩個創(chuàng)新性的安全原語：不可偽造的用戶點擊和可驗證的顯示，并利用該原語在移動平臺雙域計算環(huán)境下實現(xiàn)了基于用戶操作認證的方法對廣告欺詐行為進行檢測與防御的框架，能夠有效地檢測與防御目前已知的所有移動廣告欺詐行為。該框架能夠增量部署到現(xiàn)有的移動平臺與廣告系統(tǒng)中，