用于目標(biāo)裝置的主動(dòng)監(jiān)測(cè)、存儲(chǔ)器保護(hù)和完整性驗(yàn)證的方法、系統(tǒng)和計(jì)算機(jī)可讀介質(zhì)的制作方法
【專(zhuān)利說(shuō)明】用于目標(biāo)裝置的主動(dòng)監(jiān)測(cè)、存儲(chǔ)器保護(hù)和完整性驗(yàn)證的方法、系統(tǒng)和計(jì)算機(jī)可讀介質(zhì)
[0001]優(yōu)先權(quán)聲明
[0002]本申請(qǐng)要求于2012年8月3日提交的序列號(hào)為61/679，305的美國(guó)臨時(shí)專(zhuān)利申請(qǐng)的權(quán)益；所述臨時(shí)專(zhuān)利申請(qǐng)的公開(kāi)通過(guò)引用全部合并于此。
[0003]政府利益
[0004]利用由(美國(guó))國(guó)家科學(xué)基金會(huì)授予的基金號(hào)為0910767的政府支持和由美國(guó)陸軍研宄辦公室授予的基金號(hào)為W911NF-08-1-0105和528787的政府支持做出了本發(fā)明。政府在本發(fā)明中享有一定權(quán)利。
技術(shù)領(lǐng)域
[0005]在此描述的主題涉及到計(jì)算機(jī)系統(tǒng)安全。更具體地講，在此描述的主題涉及一種用于目標(biāo)裝置的主動(dòng)監(jiān)測(cè)、存儲(chǔ)器保護(hù)和完整性驗(yàn)證的方法、系統(tǒng)和計(jì)算機(jī)可讀介質(zhì)。
【背景技術(shù)】
[0006]攻擊和安全漏洞所導(dǎo)致的破壞和損失引起了對(duì)于開(kāi)發(fā)包括移動(dòng)和嵌入式系統(tǒng)的用于計(jì)算平臺(tái)的安全且可靠的系統(tǒng)的關(guān)注。
[0007]計(jì)算機(jī)攻擊和安全漏洞能通過(guò)對(duì)操作系統(tǒng)(OS)內(nèi)核或關(guān)鍵程序(比如，在目標(biāo)系統(tǒng)內(nèi)運(yùn)行的用戶進(jìn)程或系統(tǒng)管理后臺(tái)程序)執(zhí)行未授權(quán)的修改來(lái)嚴(yán)重影響目標(biāo)裝置。具體地講，修改OS內(nèi)核可允許惡意攻擊者擁有對(duì)整個(gè)系統(tǒng)的無(wú)限制的訪問(wèn)。
[0008]這些挑戰(zhàn)呈現(xiàn)出對(duì)于開(kāi)發(fā)出與運(yùn)行中的OS良好地隔離但能主動(dòng)監(jiān)測(cè)目標(biāo)系統(tǒng)(包括內(nèi)核)并提供需要的存儲(chǔ)器保護(hù)以保證其完整性的非傳統(tǒng)的解決方案的需求。

【發(fā)明內(nèi)容】

[0009]公開(kāi)一種用于在目標(biāo)裝置上運(yùn)行的軟件程序的主動(dòng)監(jiān)測(cè)、存儲(chǔ)器保護(hù)和完整性驗(yàn)證的方法、系統(tǒng)和計(jì)算機(jī)可讀介質(zhì)。根據(jù)一種方法，在目標(biāo)裝置上配置(instantiate，實(shí)例化)正常界虛擬處理器和安全界虛擬處理器。在正常界虛擬處理器上執(zhí)行目標(biāo)操作系統(tǒng)。在安全界虛擬處理器上執(zhí)行完整性驗(yàn)證代理。在正常界虛擬處理器上嘗試的預(yù)定操作被困制于安全界虛擬處理器。完整性驗(yàn)證代理用于確定困制操作在目標(biāo)裝置上的執(zhí)行效果。
[0010]根據(jù)一種系統(tǒng)，所述系統(tǒng)包括被配置為在目標(biāo)裝置上執(zhí)行的正常界虛擬處理器和安全界虛擬處理器。所述系統(tǒng)還包括被配置為在安全界虛擬處理器上執(zhí)行的完整性驗(yàn)證代理。所述系統(tǒng)還包括在正常界虛擬處理器上執(zhí)行的目標(biāo)操作系統(tǒng)。正常界虛擬處理器被配置為限制在正常界虛擬處理器上嘗試的一個(gè)或更多個(gè)預(yù)定操作。安全界虛擬處理器被配置為使用完整性驗(yàn)證代理確定困制操作在目標(biāo)裝置上的執(zhí)行效果。
[0011]用于目標(biāo)裝置的主動(dòng)監(jiān)測(cè)、存儲(chǔ)器保護(hù)和完整性驗(yàn)證的在此描述的主題可以以硬件、軟件、固件或它們的任意的組合來(lái)實(shí)現(xiàn)。如此，如在此使用的術(shù)語(yǔ)“功能”或“模塊”表示用于實(shí)現(xiàn)所描述的功能的硬件、軟件和/或固件。在一種示例性實(shí)施方式中，在此描述的主題可利用計(jì)算機(jī)可讀介質(zhì)來(lái)實(shí)現(xiàn)，在所述計(jì)算機(jī)可讀介質(zhì)上已存儲(chǔ)了在由計(jì)算機(jī)的處理器執(zhí)行時(shí)控制計(jì)算機(jī)執(zhí)行步驟的可執(zhí)行指令。適于實(shí)現(xiàn)在此描述的主題的示例性計(jì)算機(jī)可讀介質(zhì)包括非暫時(shí)性計(jì)算機(jī)可讀介質(zhì)，諸如，盤(pán)存儲(chǔ)器裝置、芯片存儲(chǔ)器裝置、可編程邏輯裝置、專(zhuān)用集成電路。另外，實(shí)現(xiàn)在此描述的主題的計(jì)算機(jī)可讀介質(zhì)可位于單個(gè)裝置或計(jì)算平臺(tái)上，或者可跨越多個(gè)裝置或計(jì)算平臺(tái)來(lái)分布。
【附圖說(shuō)明】
[0012]現(xiàn)將參照附圖解釋在此描述的主題，在附圖中:
[0013]圖1是對(duì)MCR指令進(jìn)行編碼的樣本的框圖；
[0014]圖2是根據(jù)在此描述的主題的實(shí)施例的用于目標(biāo)裝置的主動(dòng)監(jiān)測(cè)和存儲(chǔ)器處理的系統(tǒng)的框圖。
【具體實(shí)施方式】
[0015]我們擁有可解決這些挑戰(zhàn)的新型技術(shù)和機(jī)制。在此描述的主題的方面可提供在正常界(normal world)虛擬處理器和安全界(secure world)正常處理器之間的基于硬件的隔離。諸如由ARM Holdings pic提供的ARM架構(gòu)的特定處理器架構(gòu)提供這樣的隔離。在ARM中，此功能被稱(chēng)為ARM TrustZone技術(shù)。ARM的信任區(qū)(TrustZone)技術(shù)使基于硬件的隔離能將在單個(gè)物理處理器核上運(yùn)行的代碼分為兩界安全界”和“正常界”(或“非安全界”)。安全界意在用于安全敏感性操作，而正常界意在用于其它操作。
[0016]在一些實(shí)施例中，我們將要被保護(hù)的目標(biāo)操作系統(tǒng)置于正常界中，將我們信任的組件置于安全界中。此布置可在各種架構(gòu)上實(shí)現(xiàn)。盡管在此描述的主題的一些方面使用ARM TrustZone架構(gòu)，但是將理解的是，在此描述的方法和技術(shù)可在現(xiàn)在已知的或以后被開(kāi)發(fā)的其它處理器架構(gòu)上實(shí)現(xiàn)。
[0017]目標(biāo)操作系統(tǒng)原則上可以是任何操作系統(tǒng)，諸如，Android、嵌入式Linux、NetBSD或現(xiàn)在已知的或以后被開(kāi)發(fā)的任何其它的OS。在一些實(shí)施例中，目標(biāo)操作系統(tǒng)可包括負(fù)責(zé)管理裝置資源的內(nèi)核。在一些實(shí)施例中，OS內(nèi)核的代碼可在“特權(quán)模式”下運(yùn)行，并可被允許執(zhí)行特權(quán)指令和安全關(guān)鍵操作。
[0018]在一些實(shí)施例中，目標(biāo)裝置可具有在非特權(quán)的“用戶模式”下運(yùn)行并可不被允許執(zhí)行特權(quán)指令和安全關(guān)鍵操作的多個(gè)用戶進(jìn)程和/或后臺(tái)程序。
[0019]在一些實(shí)施例中，在正常界虛擬處理器上嘗試的一個(gè)或更多個(gè)預(yù)定操作(諸如，安全關(guān)鍵操作和特權(quán)指令)被困制于安全界虛擬處理器(限制在安全界虛擬處理器內(nèi))。例如，使安全關(guān)鍵操作或特權(quán)指令被困制(被限制)的步驟可包括將運(yùn)行環(huán)境從正常界虛擬處理器切換到安全界虛擬處理器。在此示例中，安全關(guān)鍵操作或特權(quán)指令可不通過(guò)在正常界中運(yùn)行的目標(biāo)操作系統(tǒng)而通過(guò)在安全界中運(yùn)行的完整性驗(yàn)證代理(agent)來(lái)執(zhí)行。
[0020]在一些實(shí)施例中，完整性驗(yàn)證代理可被用來(lái)確定在目標(biāo)裝置上執(zhí)行困制操作(限制操作)的效果。
[0021]在一些實(shí)施例中，可以修改正常界虛擬處理器上運(yùn)行的目標(biāo)OS，以使其不能夠執(zhí)行預(yù)定的安全關(guān)鍵操作或特權(quán)指令而無(wú)需將所述預(yù)定的操作或指令困制于在安全界虛擬處理器上運(yùn)行的完整性驗(yàn)證代理內(nèi)。例如，可以修改目標(biāo)操作系統(tǒng)內(nèi)核，以使全部的特權(quán)指令從所述內(nèi)核的可執(zhí)行的二進(jìn)制文件(binary)被去除。例如，安全特權(quán)指令包括但不限于控制目標(biāo)裝置的存儲(chǔ)器管理單元(MMU)的指令。
[0022]在一些實(shí)施例中，修改后的可執(zhí)行二進(jìn)制文件可被標(biāo)記為只讀以避免潛在的惡意修改，例如，將特權(quán)指令添加回二進(jìn)制文件中的未授權(quán)指令。
[0023]在一些實(shí)施例中，根據(jù)在此描述的主題的多個(gè)方面的方法可包括目標(biāo)操作系統(tǒng)的非特權(quán)程序(例如，用戶進(jìn)程)作為被映射為“永不特許執(zhí)行(privileged-executenever) ”的存儲(chǔ)器，所以，即使所述非特權(quán)程序被惡意修改，所述非特權(quán)程序也不被允許執(zhí)行特權(quán)指令。
[0024]在一些實(shí)施例中，可通過(guò)使用直接修改正常界OS的源代碼、修改正常界OS的可執(zhí)行二進(jìn)制文件的任何的現(xiàn)有技術(shù)，或者通過(guò)使用二進(jìn)制變換來(lái)進(jìn)行對(duì)正常界OS的修改。
[0025]在一些實(shí)施例中，根據(jù)在此描述的主題的多個(gè)方面的方法還可包括使用存儲(chǔ)器訪問(wèn)保護(hù)來(lái)防止目標(biāo)操作系統(tǒng)獲取用于執(zhí)行安全關(guān)鍵操作的需要的存儲(chǔ)器通路(access)。例如，安全關(guān)鍵操作可包括但不限于修改定義系統(tǒng)的存儲(chǔ)器映射的頁(yè)表或修改直接存儲(chǔ)器訪問(wèn)(DMA)控制器。DMA控制器可確定外圍裝置可訪問(wèn)哪個(gè)存儲(chǔ)器。攻擊可試圖利用DMA控制器以便使用外圍裝置來(lái)修改正常界虛擬處理器的代碼或數(shù)據(jù)。
[0026]在一些實(shí)施例中，根據(jù)在此描述的主題的方面的方法可包括:當(dāng)完整性驗(yàn)證代理檢測(cè)到對(duì)執(zhí)行違反預(yù)定策略的特權(quán)指令或安全關(guān)鍵操作的嘗試時(shí)，檢測(cè)目標(biāo)裝置的完整性違反。例如，所述策略可包括但不限于:不允許對(duì)正常界OS的可執(zhí)行二級(jí)制文件的修改、禁用正常界OS的存儲(chǔ)器訪問(wèn)保護(hù)或修改正常界OS的只讀關(guān)鍵數(shù)據(jù)結(jié)構(gòu)。
[0027]技術(shù)性能
[0028]我們的主要目標(biāo)在于防止嘗試修改目標(biāo)裝置(諸如正常界操作系統(tǒng))或其中的部分的安全攻擊。