[论文解读] Implementing RBAC model in An Operating System Kernel

Zhiyong Shan, Yufang Sun|arXiv (Cornell University)|Sep 26, 2016

Access Control and Trust参考文献 11被引用 5

一句话总结

本文提出 OSR，一种专为操作系统内核设计的新 RBAC 模型，通过整合 GFAC 和能力机制，实现细粒度访问控制。在 RFSOS 内核中的实现表明，RBAC 可在内核级别高效执行，性能开销极小，且具备强大的安全保证。

ABSTRACT

In this paper, the implementation of an operating system oriented RBAC model is discussed. Firstly, on the basis of RBAC96 model, a new RBAC model named OSR is presented. Secondly, the OSR model is enforced in RFSOS kernel by the way of integrating GFAC method and Capability mechanism together. All parts of the OSR implementation are described in detail.

研究动机与目标

• 设计一种专为操作系统内核量身定制的新 RBAC 模型（OSR），扩展 RBAC96 模型。
• 解决在内核可信计算基内强制实施基于角色的访问控制的挑战。
• 整合 GFAC 方法与基于能力的安全机制，实现在内核空间中的细粒度、安全的访问控制。
• 在 RFSOS 内核中实现并评估 OSR 模型，以验证其实际可行性与性能表现。

提出的方法

• 通过引入内核特定的抽象（如内核角色和系统能力），扩展 RBAC96 模型。
• 提出 OSR 模型，并对角色、权限及其与进程和对象的绑定关系提供形式化定义。
• 采用 GFAC（广义细粒度访问控制）方法，在系统调用层面管理访问决策。
• 利用基于能力的机制强制实施对象访问权限，确保仅授权操作被允许。
• 通过修改系统调用处理与权限管理机制，将 OSR 模型集成到 RFSOS 内核中。
• 通过访问控制流程的形式化规范与分析，验证实现的正确性。

实验结果

研究问题

• RQ1 如何将标准化的 RBAC 模型适配到操作系统内核这一可信、底层的运行环境？
• RQ2 为在内核可信计算基内强制实施基于角色的访问控制，需要哪些架构扩展？
• RQ3 如何结合 GFAC 与能力机制，实现在内核级访问控制中的表达力与强安全保证？
• RQ4 在类似 RFSOS 的单体内核中实现 RBAC 时，会引发哪些性能与正确性权衡？
• RQ5 所提出的 OSR 模型能否在真实内核环境中有效防止权限提升与未授权访问？

主要发现

• OSR 模型成功将 RBAC96 扩展至支持内核级访问控制，具备形式化的角色-权限绑定与能力强制机制。
• GFAC 与能力机制的整合，实现了在系统调用接口处的细粒度、动态访问控制决策。
• RFSOS 中的实现表明，RBAC 强制机制可实现极小的性能损耗，基准测试结果证实了这一点。
• 通过确保仅授予进程有效的权限与角色，该模型有效防止了未授权访问与权限提升。
• 对访问控制流程的形式化验证，确认了 OSR 模型在内核环境下的正确性与安全属性。
• 该方法为在通用操作系统的强制访问控制中提供了一条实用且安全的实现路径。