虚拟机隔离运行模型.docx
《虚拟机隔离运行模型.docx》由会员分享,可在线阅读,更多相关《虚拟机隔离运行模型.docx(78页珍藏版)》请在咨信网上搜索。
1、第三章 隔离运行模型本章提出了一种新的基于虚拟机技术的隔离运行模型SVEE,该模型满足满足操作系统隔离、应用透明、计算环境重现、隔离程序执行效果跟踪与操作系统信息重构等五个应用约束,平衡了安全隔离性、功能完整性、性能适应性和行为可监控性。同时,本章给出了该模型的形式化安全性分析和度量,通过理论分析阐明了 SVEE 能够满足 Bell-LaPadula 机密性模型和 Biba 完整性模型。并进一步论证了在此模型下,被保护的宿主环境的容侵能力也将得到有效提升。基于此模型,本章构造出以本地虚拟化技术为核心的满足 SVEE 隔离运行模型的体系结构,该体系结构独立于操作系统实现,具有很好的可移植性。通过
2、对现有虚拟机模型的详细分析,指出 Type II 虚拟机模型能够最有效地在个人计算平台下支持这五个约束条件。本章工作是后继章节所做工作的理论基础。3.1 隔离运行模型对于隔离运行非可信软件的运行环境而言,为了实现操作系统与应用程序透明的目标,同时能够重现已有的软件运行环境并支持操作系统语义信息的重构,即在保证安全隔离性的前提下提升隔离运行环境的功能完整性、性能适应性与行为可监控性,该环境必须满足以下约束条件。l 约束 1:操作系统隔离:非可信软件必须运行在一个与宿主操作系统隔离的虚拟计算机系统中,这是抵御特权恶意代码攻击、确保安全隔离性的必要条件。l 约束 2:应用程序与操作系统透明:现有操作
3、系统、应用程序和将被隔离的非可信软件均不需作任何修改即可直接布署该隔离机制,这一点在个人计算平台下尤其重要。此约束包含四个子约束: 约束 2A:无需修改现有操作系统与应用程序及其将被隔离的非可信软件的源代码,因为通常个人计算平台上流行的应用程序与操作系统(如 Windows)都未开放源代码。 约束 2B:不能限制非可信软件在隔离运行环境内访问的资源与执行的特权操作,这是保证隔离运行环境的功能完整性的必要条件。 约束 2C:尽可能地将隔离机制对可信代码运行环境造成的性能影响最小化,即在确保安全隔离性的同时兼顾系统的可用性。 约束 2D:无需重新安装现有操作系统。个人用户中绝大部分不是计算机专业技
4、术人员,所以个人计算平台上往往都预装有操作系统,所以在布署隔离运行技术时必须保证能够继续使用原有操作系统。l 约束 3:可配置的计算环境重现:由于非可信软件的正常执行与执行效果通常依赖于计算环境,尤其是文件系统内容与操作系统配置等,所以在隔离运行环境内重现宿主操作系统的计算环境既是保证隔离运行环境的功能完整性的要求,也是减少布署开销的必要条件。本约束可细化为: 约束 3A:计算环境的重现不应通过复制整个计算机的软硬件系统的来实现,这样的布署开销通常不能被个人用户接受。 约束 3B:为了提高系统机密性,被导出到隔离运行环境中的宿主计算环境资源应该是可配置的,被隔离软件只能访问这些资源,涉及敏感信
5、息的数据不应在隔离运行环境中重现。这是确保安全隔离性的必要条件。 约束 3C:尽可能地使隔离运行环境的性能接近宿主环境,这是提升性能适应性的要求。l 约束 4:隔离程序执行效果的跟踪:隔离运行环境必须能够跟踪和记录被隔离软件对数据的修改操作,从而为分析程序行为与提交相应程序的执行效果到宿主环境提供依据,这也是提高系统可用性与隔离运行环境的行为可监控性的关键。l 约束 5:支持操作系统语义信息重构:这里的语义信息是指操作系统抽象层的资源的信息,如进程、线程、文件、用户等。用户或相关工具程序只有借助隔离运行环境的这些信息才能精确分析隔离运行环境内应用程序和操作系统的行为,进而提升隔离运行环境的行为
6、可监控性。(a) 基于 Type I VMM 的 Native 隔离运行模型 (b)基于 Type II VMM 的 Hosted 隔离运行模型图 3.1 SVEE 的基于不同 VMM 的两种可选隔离运行模型为了满足约束 1,SVEE 必须利用虚拟机监视器(Virtual Machine Monitor,VMM)来创建非可信软件的运行容器虚拟机。只有这种基于硬件抽象层的虚拟机技术才能实现操作系统的隔离。按照 Goldberg 的定义,VMM 是能够为计算机系统创建高效、隔离的副本的软件。这些副本即为虚拟机(Virtual Machine,VM),在虚拟机内处理器指令集的一个子集能够直接在物理处
7、理器上执行。Goldberg 定义了两种 VMM:Type I VMM 和Type II VMM。Type I VMM 直接运行在计算机硬件系统上,负责调度和分配系统硬件资源,可以将其理解为一个实现了虚拟化机制的操作系统。而 Type II VMM则以一个应用程序的形式运行在已有的传统操作系统之上,而这个实际控制系统资源的操作系统被称为宿主操作系统(Host OS),运行在 Type II 虚拟机中的操作系统则被称为客户操作系统(Guest OS)。基于这两种不同的虚拟机监视器,SVEE就有了相应的两种隔离运行模型(如图 3.1 所示):基于 Type I VMM 的 Native隔离运行模型
8、和基于 Type II VMM 的 Hosted 隔离运行模型。对于约束 2A,作为硬件抽象层的虚拟机,Native 隔离运行模型中的 Type IVMM 与 Hosted 隔离运行模型中的 Type II VMM 均无需修改已有应用程序和将被隔离的非可信软件的源代码。Type II VMM 的实现不需要修改宿主操作系统,而 Type I VMM 是否需要修改操作系统则依赖于其实现技术,如基于动态指令转换技术则无需修改(如 VMware ESX Server),基于半虚拟化技术(Para-Virtualization)且没有硬件虚拟化技术的支持则需要修改运行在 VMM 之上的操作系统源代码(如
9、 Xen)。由于 Type I VMM 与 Type II VMM 这两种虚拟机技术均对上层应用提供了完整的虚拟化计算机硬件平台,VMM 之上运行的软件(操作系统)就像在真实的物理计算机系统上运行一样,无需限制代码访问的资源与执行的特权操作,因此这两种隔离运行模型均能满足约束 2B。约束 2C 强调的是保证可信代码运行环境的性能。如图 3.1 (a)所示,在 Native隔离运行模型中,所有操作系统都运行于虚拟机之上,所以不可避免地导致可信代码运行环境性能的下降。而基于 Type II VMM 的 Hosted 隔离运行模型的可信代码运行环境即为传统的操作系统,高效地直接运行于硬件系统之上。因
10、此,在尽可能减少影响可信代码运行性能这一点上,基于 Type II VMM 的 Hosted 隔离运行模型优于 Native 隔离运行模型。而对于约束 2D,在 Native 隔离运行模型中,需要用 VMM 替换原有的操作系统,这往往对于个人用户来说是无法接受的,而即使用户接受,要替换现在所有的个人计算平台上的操作系统也是一个非常漫长的过程。与此相反,Hosted 隔离运行模型则可以与已有操作系统共存。约束 3C 关注的是隔离运行环境的性能可适应性。与 Type I VMM 相比,Type II 虚拟机中的虚拟 I/O 设备性能不及 Type I 虚拟机。但是随着硬件虚拟化技术的普及、应用与提
11、高,以及各种虚拟 I/O 设备优化技术研究的不断发展,这种性能差距将逐渐缩小。约束 3(3A 和 3B)、约束 4 和约束 5 均与具体的虚拟机监视器模型无关,而对于这三个约束,Native 隔离运行模型和 Hosted 隔离运行模型均需要添加额外的机制才能支持,这也是 3.2 节(SVEE 体系结构)需要解决的问题。此外,从软件开发的角度来看,Native 隔离运行模型中的 Type I VMM 实际上是将传统操作系统的硬件资源管理功能下移到 VMM 中。但在个人计算平台下这种机制有一个明显的不足:个人计算平台上硬件设备的多样化将会极大地增加Type I VMM 开发的复杂性。个人计算平台开
12、放的体系结构导致计算机系统有类型繁多的硬件设备,而直接运行在硬件系统之上 Type I VMM 则需要管理这些设备,因此为它们编写相应的驱动程序将是工程浩大的工作。与此不同,Type II VMM 可以直接利用操作系统提供的设备抽象接口,极大简化 VMM 的开发,从而可以有效提高 VMM 的稳定性。综上所述,除了约束 2C 和约束 2D,这两种隔离运行模型均能够满足其他约束。但是,由于 SVEE 主要针对的是个人计算平台,而 Hosted 隔离运行模型在个人计算平台下具有显著优势,因此 SVEE 采用了基于 Type II VMM 的 Hosted 隔离运行模型。在这种模型下,SVEE VMM
13、 以 Type II VMM 的形式运行在宿主操作系统之上,并负责创建本地化启动的 SVEE 虚拟机作为执行非可信软件的运行环境。运行在本地化启动的 SVEE 虚拟机之上的客户操作系统是宿主操作系统的一个副本,因此非可信软件在宿主操作系统上的行为得以精确重现,同时将其执行效果同宿主运行环境彻底隔离。3.2 系统体系结构为了满足前文中描述的五个约束,SVEE 引入了本地虚拟化技术(Local Virtualization Technology)以实现可配置的计算环境重现。SVEE 基于 Type II VMM 的 Hosted 体系结构如图 3.2 所示,SVEE 由五个核心组件构成:SVEE
14、虚拟机监视器(SVEE VMM)、基于卷快照(Volume Snapshot)的虚拟机简单磁盘(Virtual Simple Disk)、操作系统动态迁移管理器(OS Dynamic Migration Manager)、修改跟踪管理器(Change Tracking Manager)和隐式操作系统信息重构组件(Implicit OS Information Reconstructor)。如 SVEE 隔离运行模型所述,SVEE VMM 需要以 Type II VMM 的形式实现,即在宿主操作系统之上运行。SVEE VMM 负责创建非可信软件的隔离运行环境SVEE 虚拟机(SVEE VM)。借
15、助基于卷快照的虚拟机简单磁盘和操作系统动态迁移管理器,SVEE 实现了本地虚拟化技术,即 SVEE 虚拟机中无需重新安装操作系统(这是现有虚拟机软件的运行模式),而是直接从宿主操作系统启动,启动后的操作系统即为“本地启动操作系统”(Local-Booted OS)。图 3.2 SVEE 体系结构修改跟踪管理器则记录 Local-Booted OS 和宿主操作系统(Host OS)内的资源(如文件、注册表等)变化信息,为进一步分析被隔离软件的行为或之后将Local-Booted OS 的数据变化合并到宿主操作系统提供支持。隐式操作系统信息重构组件不依赖于操作系统提供的接口,能够利用硬件层的数据(
16、如处理器寄存器信息、MMU、磁盘信息等)重构出具有应用层语义的客户操作系统信息。3.2.1 虚拟机监视器如前所述,SVEE 虚拟机即为采用本地虚拟化技术启动的硬件抽象层虚拟机,被隔离的非可信软件就在由 SVEE 虚拟机启动的 Local-Booted OS 中运行,而可信程序则直接在宿主操作系统上运行。为了满足不能修改操作系统源代码的约束(约束 2A),SVEE VMM 不能采用半虚拟机技术,而只能采用与 VMware 虚拟机(包括 VMware Workstation 和VMware ESX Server)类似的动态指令转换技术。由于 Intel Pentium 处理器(x86 体系结构)在
17、目前的个人计算平台上最为流行,因此SVEE VMM需要重点解决的就是如何在Intel Pentium处理器上实现基于动态指令转换技术的 Type II VMM。Goldberg分析并提出了适合虚拟化的第三代硬件体系结构应该满足的四点约束:1. 具有两个以上的处理器操作模式。2. 非特权的程序能够通过一种方法来调用特权级的系统例程。3. 具有内存重定位或保护机制,如分段机制或分页机制。4. 具有异步的中断机制。John Scott Robin 等人则提出了关于处理器支持 Type I VMM 和 Type II VMM需满足的约束。由于 SVEE VMM 是以 Type II VMM 的形式实现
18、的,因此本文只讨论处理器支持 Type II VMM 需满足的约束条件。约束 1(R1) 无论在特权模式还是非特权模式下,非特权指令的执行语义都必须相同。例如,处理器不能通过在指令代码内添加特殊的比特位来标识处理器当前的特权级(Current Privilege Level,CPL)。这个约束实际上是对 Goldberg 提出的约束 1 的一个扩展。约束 2(R2)处理器必须提供一种保护机制或地址转换机制,能够对物理计算机系统和虚拟机之间进行隔离和保护。这一约束与 Goldberg 提出的约束 3 一致。约束 3(R3)当虚拟机试图执行敏感指令(Sensitive Instruction)时,
19、处理器必须提供一种机制使得虚拟机监视器能够自动得到通知,以便于其模拟出该指令的执行语义。按照 John Scott Robin 等的定义,敏感指令就是指所有需要操作虚拟机监视器或宿主操作系统状态的指令,主要包括如下四类指令:1. 读写当前虚拟机和物理计算机系统状态的指令;2. 读写敏感寄存器和内存的指令,例如读写时钟寄存器或中断寄存器的指令;3. 操作处理器提供的保护机制或是地址转换机制的状态的指令;4. 所有 I/O 指令。x86 处理器满足 Goldberg 提出的四个约束:具有从 0-3 四种特权级(Privilege Level),操作系统内核运行在 Ring 0 级,而应用程序则运行
20、在最低特权级上Ring 3 级;提供了调用门(Call Gate)机制,用以支持低特权级的程序调用高特权级的代码;提供了段/页式内存管理机制,以支持内存重定位和保护;提供了中断(Interrupt)和异常(Exception)两种机制使得 I/O 设备可以与处理器异步通信。图 3.3 处理器指令分类同理,Intel x86 处理器也满足 John Scott Robin 约束 R1 和 R2,但是它依然不支持虚拟化,这是因为它不能满足约束 R3。如图 3.3 所示,从处理器虚拟化和处理器特权级两个角度审视指令集,可将其分为四类:特权非敏感指令、非特权非敏感指令、特权敏感指令和非特权敏感指令。由
21、于前两种均为非敏感指令,所以可以在物理处理器上直接执行,无需虚拟机监视器做特殊处理。但是,正如处理器约束所规定的,虚拟机监视器必须解释执行所有敏感指令的语义而不能在物理处理器上直接执行。对于 x86 处理器而言,所有特权敏感指令的执行均会产生中断或自陷(Trap),因此虚拟机监视器可以通过设置相应的中断/自陷响应函数获得通知进而进行指令模拟。而使得 x86 处理器不支持虚拟化的就是第四类指令非特权敏感指令,与其它支持虚拟化的处理器不同,x86 处理器的指令集中存在非特权敏感指令,而这类执行的执行并不产生任何中断或自陷,从而虚拟机监视器无法获取相应的通知信息。John Scott Robin 等
22、已经分析了 x86 处理器的所有指令,指出其中包含了 17条非特权敏感指令,即 SGDT、SIDT、SLDT、SMSW、PUSHF(PUSHFD)、POPF(POPFD)、LAR、LSL、VERR、VERW、POP、PUSH、CALL, JMP、INT n、RET 和 STR。综上所述,在 x86 处理器上实现 SVEE VMM(Type II VMM)的关键就是如何模拟执行敏感指令,并且感知非特权敏感指令的执行。目前有三种方法可以处理非特权敏感指令:第一种技术是Denali 和 Xen 的半虚拟化技术,但是这种技术需要修改操作系统源代码,不能满足 SVEE 隔离运行模型的约束 2A;第二种技
23、术是 Intel 和 AMD 提出的硬件虚拟化技术,该技术通过修改处理器的实现使得处理器在虚拟化状态下执行非特权敏感指令时能够产生事件通知虚拟机监视器;但是考虑支持硬件虚拟化技术的处理器尚未普及,因此 SVEE VMM 采取了第三种技术,即“动态指令转换技术”,使得SVEE VMM 通过运行时指令转换将原本不产生自陷的非特权敏感指令替换为具有通知 VMM 功能的指令。3.2.2 基于卷快照的虚拟简单磁盘对于本地虚拟化技术而言,关键问题是如何与宿主操作系统共享已安装在系统卷上的操作系统映像。因为 SVEE 虚拟机需要访问系统卷以启动 Local-Booted OS,而此时宿主操作系统也在修改系统
24、卷,前者对数据的修改并没有使用宿主操作系统提供的访问接口,后者的修改信息也无法及时被 SVEE 虚拟机内的文件系统感知,这就造成了文件系统数据与磁盘数据的冲突,操作系统关键文件的不一致将会导致系统的崩溃。为了解决这个问题,本文提出了基于卷快照的虚拟简单磁盘(Virtual Simple Disk)技术。卷快照是在其创建时刻它所对应的原始卷的一致性副本,它提供了与文件系统标准卷相同的访问接口。而虚拟简单磁盘则是卷快照(必须包括系统卷的快照)与虚拟分区表的集合,它是将卷快照以存储设备的形式导出到 SVEE 虚拟机的实现方式。此外,在将卷快照导出到 SVEE 虚拟机前,用户可以安全删除不允许在 Lo
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 虚拟机 隔离 运行 模型
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【可****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【可****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。