摘  要： 針對(duì)嵌入式計(jì)算機(jī)應(yīng)用領(lǐng)域中越來(lái)越突出的信息安全問(wèn)題。本文以u(píng)COSII操作系統(tǒng)為基礎(chǔ)，在其上增加了強(qiáng)制訪問(wèn)控制MAC模塊。模塊參照BLP安全模型，根據(jù)uCOSII特性設(shè)計(jì)出BLP修正模型，實(shí)現(xiàn)了對(duì)系統(tǒng)的強(qiáng)制存取控制。

關(guān)鍵字：強(qiáng)制訪問(wèn)控制 安全模型 安全操作系統(tǒng)

1   引言

    隨著嵌入式計(jì)算機(jī)應(yīng)用的日益普及，特別是嵌入式設(shè)備不斷的網(wǎng)絡(luò)化、智能化，嵌入式計(jì)算機(jī)的安全就成為一個(gè)急待解決的問(wèn)題。許多嵌入式計(jì)算機(jī)處理的信息涉及到國(guó)家政治經(jīng)濟(jì)安全，工商業(yè)情報(bào)等，不采取有效的安全防范措施，一旦受到攻擊將造成巨大的損失。

    在計(jì)算機(jī)系統(tǒng)中，安全機(jī)制的重要內(nèi)容就是存取控制。一般存在二種存取控制形式：自主訪問(wèn)控制和強(qiáng)制訪問(wèn)控制。

    自主訪問(wèn)控制具有很大的缺陷性。由于它的“自主”能力，從理論上講根本不可能建立對(duì)特洛伊木馬的有效防護(hù)機(jī)制。而強(qiáng)制訪問(wèn)控制MAC則強(qiáng)制性嚴(yán)格規(guī)定各個(gè)客體屬性，實(shí)現(xiàn)了信息的單向流通，可以有效的抵制特洛伊木馬的攻擊。

2   MAC控制模型

2.1 強(qiáng)制訪問(wèn)控制MAC簡(jiǎn)介

    在強(qiáng)制訪問(wèn)控制下，系統(tǒng)中的每個(gè)進(jìn)程，每個(gè)文件和每個(gè)IPC客體(消息，信號(hào)量和共享區(qū)域)都被賦予了相應(yīng)的安全屬性，這些屬性是有安全管理員或者系統(tǒng)自動(dòng)生成的，是不能隨意改變的。主體對(duì)任何客體的訪問(wèn)要求，必須經(jīng)過(guò)MAC訪問(wèn)控制模塊的檢測(cè)。如圖1所示。

圖1  MAC結(jié)構(gòu)示意圖

2.2 形式化安全模型BLP

    本文采用的MAC安全模型將基于改進(jìn)的BLP模型（Bell－LaPadula Module）的安全策略包括二部分：自主安全策略和強(qiáng)制安全策略。模型認(rèn)為系統(tǒng)中的活動(dòng)使系統(tǒng)狀態(tài)不斷變化，但是必須保持所有的狀態(tài)都是系統(tǒng)安全狀態(tài)。由此定義所有系統(tǒng)狀態(tài)的轉(zhuǎn)換規(guī)則必須保持簡(jiǎn)單安全性，*特性和自主安全性。

    與BIBA模型（BIBA Module）相反，BLP模型主要注重保密性控制，控制信息從低安全級(jí)傳向高安全級(jí)，但是缺少完整性的控制，其“向上寫(xiě)”規(guī)則存在潛在的危險(xiǎn)，它不能夠有效的限制隱通道。因此對(duì)其規(guī)則中所有涉及到可能對(duì)客體內(nèi)容進(jìn)行改動(dòng)的操作以更嚴(yán)格控制，修改后規(guī)則如下：

(O∈b(S:a))=>(f_o(O)=f_c(S))

(O∈b(S:w))=>(f_o(O)=f_c(s))

(O∈b(S:r))=>(f_o(S)>f_c(O))

(O∈b(S:c))=>(f_o(O)<f_c(S))

(O∈b(S:x))=>(f_o(S)>f_c(O))

其中：

S表示主體：用戶，進(jìn)程等；

O表示客體：文件，信號(hào)量等；

主體對(duì)客體的訪問(wèn)屬性A分為：r（只讀），a（只寫(xiě)），w（讀寫(xiě)），x（執(zhí)行）和c（控制）；

b （S