画布1
高级系统安全
  第一讲 高级系统安全概述
    信息安全的定义
      层次描述（就信息安全的保护目标而言）
      属性描述（就信息安全的作用点而言）（机车是个可爱的玩意）
        机密性（C）（机车）
        完整性（I）（玩意）
        可用性（A）（可爱）
      方滨兴院士的网络安全四要素（CACA）
        机密性
        可鉴别性
        可控性
        可用性
  第二讲 硬件与环境安全
    数字系统设计：基础知识和漏洞
      数字系统实现
        通用门：一个门或一组门可以实现所有数字系统或所有布尔函数
          NOT: f(x,1,1)
          OR: f(x,0,y)
          AND: f(x, f(y,1,1),0)
      功能简化与无关条件
        可满足无关：输入不会发生
        可观察性无关：输入不影响输出
      时序系统实现
        激励表/输出表推导（根据状态表和触发器表填激励表/输出表）
    知识产权（IP）保护（考作用、区别，时间紧实现方法不考）
      水印
        保护IP防止被盗版
        威慑力量
        防止未授权使用
      指纹
        标识IP使用者和传播者的信息
        防止未授权拷贝
        相当于不同水印的多个副本
      硬件计量
        是一套安全协议
        设计院能够实现对其集成电路的制造控制
    旁路攻击/侧信道攻击（SCA）
      简介
        电子设备运行过程中的时间消耗、功率消耗、电磁辐射等侧信道信息泄漏进行攻击
      缓存侧信道攻击
        CPU缓存漏洞
          乱序执行、分支预测，预测错误CPU返回预测前状态，缓存未恢复
        缓存侧信道攻击
          概念
            CPU缓存与系统内存的读取的时间差异，猜测出CPU缓存中的数据
          熔断攻击
            通过用户程序访问整个内核空间和其他用户程序空间
          幽灵攻击
            利用分支预测,破坏不同应用程序之间的隔离
      电磁信息泄露（TEMPES）及防护
        RGB颜色配置技术
          原理
            触摸屏颜色配置使按下前后电磁辐射量不变
            即海明距离尽量小
            海明距离：H(x,y)=∑ (x[i] ⊕ y[i])
          判断步骤
            1. 将颜色代码从16进制转化为2进制
            2. 分别计算按下、未按下海明距离
            3. 判断海明距离差来判断是否安全
    硬件木马（HT）
      硬件木马与可信集成电路概述
        硬件木马
          概念
            对电路或系统进行具有恶意意图的任何添加/修改。
          特点
            恶意的目标
              更改或控制功能
              泄漏敏感信息
              降低电路可靠性
            故意添加/修改
        可信集成电路（IC）（与木马相反）
          概念
            完全符合要求、不多也不少
          不可信IC实例
            无法提供完整功能
            芯片/系统内部有硬件木马
    容灾备份
      备份概述（数据保护）
        概念
          应用系统的一个或多个完整的数据拷贝，可随时恢复需要的数据
        类型
          完全备份
            备份所有数据
          差异备份
            备份上一次全备份之后改变的数据
          增量备份
            备份上一次备份后改变的数据
      容灾概述（不考）（业务应用保护）
        发生灾难事故，保证数据的安全性以及业务的连续性
      磁盘RAID保护技术
        概念
          Redundant Arrays of Inexpensive（Independent） Disks
          廉价（独立）磁盘冗余阵列技术，是一项使用多个硬盘来提高性能或安全性或性能+安全性的技术
          性能+
            数据条带化
          安全性+
            镜像/奇偶校验方式=&gt;数据的冗余保护
        数据条带化
          条带：将数据分割成离散数据块
          这些数据块同时分布到硬盘阵列中的每个物理硬盘上
          带区：各硬盘同一位置的一组条带的集合
          带区大小：跨所有数据盘的一组条带的总大小
        镜像
          每个I/O操作都会在两个磁盘上执行，两个磁盘看起来就像一个磁盘一样
        奇偶校验
          计算阵列中成员磁盘上数据的校验信息，保证数据可靠性
        RAID0
          概念
            RAID陈列内的所有硬件上提供数据条带化
            有效容量=S（单位硬盘的容量）*N（硬盘的数量）
          优点
            读写效率高
          缺点
            单点故障
        RAID1
          概念
            以镜像为冗余方式，每一个磁盘都具有一个对应的镜像盘
            有效容量=S*（N/2）
          优点
            数据安全性最高
          缺点
            开销大、空间利用率低
        RAID3
          概念
            使用一个专门的磁盘存放所有的校验数据
            有效容量=S*(N-1)
          优点
            较高的读取效率
          缺点
            控制器设计复杂
            校验磁盘的写性能有瓶颈
        RAID5
          概念
            校验数据平均分布在每块硬盘上
            有效容量=S*(N-1)
          优点
            较高读取性能
            避免写操作瓶颈
          缺点
            单点故障，但不崩溃
        RAID6
          概念
            使用两种奇偶校验法
            RAID5的扩展
            有效容量=S*(N-2)
          优点
            较高的读取性能
            更高的容错能力
          缺点
            很慢的写入速度
            控制器设计更复杂、成本更高
  第三讲 操作系统安全
    操作系统安全概述
      系统安全基本概念
        策略与机制
          安全策略
            规定
          安全机制
            策略的实现方法
        安全建模思想
          系统不安全的原因
            安全策略不明确
            安全机制不完善
          为什么要建模
            先建模，再设计实现安全内核
          安全模型（安全策略的清晰表述）特点
            精确、无歧义
            简单易理解
            只涉及安全性质，不限制系统功能和实现
        引用监控器概念与安全内核设计思想
          引用监控器（Reference Monitor）
            只是访问控制的一个概念，主要是用来仲裁系统里面的主体对客体的访问过程
            是实施系统安全策略的所有的硬件和软件的组合
          安全内核
            根本
              大型操作系统中，相对较小的软件部分负责安全
            特点（“整个证”）
              完整性
              隔离性
              可验证性
      系统安全内外的基本概念
        TCSEC（可信计算机系统评测）
          评估等级
            D
              未提供任何安全机制
            C1
              自主访问控制
            C2
              自主访问控制、审计机制
            强制访问控制
              B1
                安全标记
              B2
                体系结构有一个很强的要求
              B3
                建立一个引用监控器
            A1
              形式化的规范
        CC（通用评估标准）
          EAL0
            D
          EAL1
          EAL2
            C1
          EAL3
            C2
          EAL4
            B1
          EAL5
            B2
          EAL6
            B3
          EAL7
            A1
    访问控制机制
      访问控制机制概述
        访问控制思想
          主体
            引起信息在客体间信息流动的载体
            人/设备/进程（执行操作的进程）
          客体
            被动的实体
            按照一定格式存储在一定记录介质上的数据信息
            文件系统格式/进程
            对客体的访问隐含对其包含信息的访问
          访问控制
            系统授予或撤销访问某些数据或执行某些操作的权利的任何机制
          权限
            对文件读/写的权限
            对程序执行的权限
        访问控制机制的任务
          授权
            确定哪些主体有权访问哪些客体
          确定访问权限
          实施访问权限
      自主访问控制（DAC）
        定义
          文件的拥有者可以按照自己的意愿精确指定系统中的其他用户对其文件的访问权
        “自主体现”
          1. 所有者自主指定权限
          2. 被授权者授予别人权限
        分类
          基于行
            连接可访问客体到指定用户
            能力表、前缀表、口令
          基于列
            连接用户列表到指定的客体
            9bit、ACL
      强制访问控制（MAC）
        概念
          给主客体打上一些敏感标签来来实施强制的一种策略
          事实上是在系统里面直接或者是间接的引入一种不可绕过访问控制机制
        特征
          每一个主体和客体都会打上一个相关的敏感标签
          依据这个主体和客体的安全标签，是否满足相关的一些条件，才可以达到读或者写这样的一个权限
        多级安全思想与BLP机密性强制访问控制规则
          多级安全
            概念
              文件按不同的密级进行分类，将用户按许可级别分类
              用户所具有的许可级别必 须大于或等于信息密级
            主要目标
              实施强制机密性安全策略，确保信息不会被无意泄露
          多级安全策略（军事安全策略）
            概念
              主要防止用户获得他不应获得的密级较高的信息
            安全级
              概念
                策略中主客体许可能/密级等统称
              组成部分
                保密级别
                范畴集
                  范畴是互相独立和无序的，但两个范畴集之间的关系是包含、被包含或无关
              表示形式
                一个保密级别后随一个范畴集(可包含一个或多个范畴)
              两个级别间的关系
                A支配B
                  密级：A &gt;= B
                  范畴集：A包含B
                A支配于B（B支配A）
                A=B
                A、B无关
          BLP模型
            规则
              一个进程不能读取一个访问等级较高的对象（简单安全），也不能写入一个访问等级较低的对象。
            安全属性
              简单安全属性（不可上读）
                如果且仅当S支配O，且S对O有自由裁量的读取权限时，S才能读取O
              *属性（不可下写）
                如果且仅当O支配S，且S对O有自由裁量的写入权限时，S才能写入O
      客体重用机制
        标准要求
          TCSEC(C2-A1)
          CC(EAL 2~EAL7)
    可追究机制
      标识与鉴别
        标识
          UID唯一、不可伪造
        鉴别
          用户标识符与用户联系
            以识别用户的真实身份
            要求用户提供能够证明他身份的特殊信息
        标识机制
          客体有uid、gid
          主体有uid、gid
      可信路径
        用于保障用户和真实的内核通信的机制
      安全审计
        对系统安全相关行为进行记录、检查、审核
        目的
          检测和阻止非法用户对计算机系统的入侵
          并显示合法用户的误操作
    连续保护机制
      最小特权原则
        每一个程序和每一个用户理论上只应该拥有完成他任务所需的最小特权
      Set-UID特权程序
        UID
          RUID
            标识进程的真正所有者
          EUID
            标识进程的特权
          执行正常程序时 RUID = EUID
          执行特权程序时 RUID 不等于 EUID
            RUID：仍等于用户ID
            EUID：等于程序所有者ID，如果程序归root所有，则程序使用根权限运行
      隐蔽通道
        概念
          用户还可以利用计算机系统中本意不用于通信的通道
        类型
          隐蔽存储通道
            一个进程直接或间接写入一个存储位置，而另一个进程直接或间接读这个存储位置
          隐蔽定时通道
            如果它的发送信号方式是一个进程调节自己对系统资源（比如CPU）的使用、从而影响另外一个进程观察到的真实系统响应时间
        构建
          场景描述-双方同步，准备传输。-发送Bit 1: Sender调用Create原语创建一个新文件 发送Bit 0: Sender什么也不做-Receiver调用Create创建一个新文件-Receiver调用Stat查看新建文件的节点号i-Reciever比较上次创建文件时的节点号j如果i-j=2,接收1，i-j=1，接收0
        判断标准（存储通道）
          发送方和接收方进程能访问共享资源的同一属性
          发送方进程能改变该共享资源的状态
          接收方进程能察觉该共享资源状态变化
          发送方与接收方进程之间有同步机制
        规范级隐蔽通道标识方法-Kermerer共享资源矩阵法
          找R-同行M-M列R-R行空-空列R则r
        常用处理技术
          消除
          限制带宽
          审计
    安全模型