基于硬件虚拟化技术的跨平台安全保护研究

摘要

许多操作系统被设计用来管理和控制系统资源,他们往往都具有庞大和复杂的特征,所以他们需要高等级的安全保护。但是先前的安全保护应用程序由于处于不可信的执行环境,所以不能提供足够的保护。并且不同的商业操作系统以及不同的开源操作系统,都拥有自己的设计架构和实现方法,所以传统的安全保护方法需要适应不同的操作系统。针对现有安全保护上的不足,本次课题采用硬件虚拟化技术来达到轻量级的有效的跨平台的系统保护。虚拟化技术可以使得虚拟机和监控层运行环境之间高度隔离,所以即使虚拟机处于不可信的执行环境也不会影响到监控程序的运行。并且虚拟机监控程序处于相对虚拟机操作系统更高的特权级,使得它能够监控虚拟机运行以及获得更多硬件资源的权利。无论恶意代码在操作系统哪个特权级下运行,监控程序都能够有探测以及阻止它们运行的权力,而处于操作系统运行的程序都无法检测到该安全监控程序的存在。本论文提出了一个基于硬件虚拟化并提供可信执行环境的虚拟机监控程序来监控在操作系统下各种不同的恶意行为,称为VASP。该平台主要体现了三大创新优点。首先,该保护平台是一个轻量级的低系统开销的虚拟机监控平台。利用了代码优化,最大限度地降低了虚拟机监控程序的大小,从而减小了可信计算基础的体积,使得监控层更加安全有效。并且在保护过程中尽量减少对操作系统执行过程的影响,使得监控开销降到最低。其次,本课题实现的保护机制提供了跨操作系统平台的支持,并且在多数保护过程中无需修改操作系统源代码。在实现过程中,VASP仅仅需要根据操作系统中调用锁机制以及内存分配机制的相关API函数进行匹配执行,其余的代码都和操作系统平台无关。在监控拦截过程中得益于x86的硬件虚拟化技术,使得拦截行为都由CPU硬件完成,无需软件参与。最后,VASP保护平台可以提供对多种系统保护的支持,包括I/O访问保护、系统反调试保护以及内存访问保护等。并且还可以在这个基础上通过增加系统功能的形式,扩展添加更多的系统保护机制。同时,VASP也实现了自我保护机制,即内存自透明技术。该机制可以使得虚拟机监控程序无法被虚拟机操作系统通过虚拟内存访问来发现自身的存在。本次论文课题的设计目的在于建立一个完全驻留于操作系统运行环境以外的极小开销的安全监控程序。通过实验可以证明基于硬件虚拟化的跨平台安全保护机制能够有效地防止某些恶意行为的侵害,并可以对不同操作系统平台,如Windows XP和Fedora Linux,提供安全保护,而且只减少了微小的系统开销。

目录

摘要

ABSTRACT

第一章 绪论

1.1 引言

1.2 研究目标

1.3 研究内容

1.4 章节安排

第二章 关键技术及研究现状

2.1 系统虚拟化技术介绍

2.1.1 系统虚拟化概述

2.1.2 系统虚拟化分类

2.1.3 Intel 硬件虚拟化技术

2.2 系统安全保护研究现状

2.2.1 传统系统保护机制

2.2.2 基于虚拟化的系统保护现状

2.3 虚拟机监控程序的安全性

2.3.1 缩小可信计算基础

2.3.2 可信虚拟化环境

2.4 本章小结

第三章 基于硬件虚拟化跨平台监控器的设计与实现

3.1 设计目标

3.2 设计难点与挑战

3.3 设计原理

3.4 VASP 跨平台监控器的具体实现

3.4.1 系统整体架构

3.4.2 硬件虚拟化的实现框架

3.4.3 Trap 机制的具体实现

3.4.4 跨平台监控技术的实现

3.5 本章小结

第四章 VASP 系统保护应用及自保护实现

4.1 I/O 访问的安全保护机制

4.2 系统反调试保护

4.3 VASP 内存自透明机制的实现

4.4 系统实现的问题和解决方法

4.5 本章小结

第五章 实验结果和分析

5.1 系统实验环境设置

5.1.1 硬件环境

5.1.2 软件环境

5.2 系统反调试能力测试

5.3 系统性能测试

5.3.1 应用性能功能测试

5.3.2 微基准性能测试

5.4 本章小结

第六章 总结与展望

6.1 文章总结

6.2 研究展望

6.3 未来工作

参考文献

致谢

参与课题及攻读学位期间发表的学术论文目录