[发明专利]一种系统启动后加载的强制访问控制方法及系统

权利要求书

1.一种系统启动后加载的强制访问控制方法，其特征在于，包括：

在可加载模块中复制capabilitiy相关内核初始化接口；

调用所述capabilitiy相关内核初始化接口，向LSM框架注册所述可加载模块；

系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；

系统启动后加载用于实现强制访问控制逻辑的可加载模块；

通过应用层工具对所述主客体标记链表进行维护；

所述系统启动后加载用于实现强制访问控制逻辑的可加载模块包括：

基于LSM框架在所述内核中的各个系统调用插入用于访问控制的钩子函数；

所述可加载模块加载时将所述钩子函数指向所述可加载模块的钩子；

所述钩子函数从所述主客体标记链表中读取所述主客体标记；

按照自定义的访问控制模型对所述主客体标记进行对比；

根据对比规则允许或禁止访问。

2.根据权利要求1所述的方法，其特征在于，所述系统启动后在内核中初始化一个主客体标记链表包括：

系统启动后在所述主客体标记链表中初始化需要访问控制的所述主客体标记为equal，其中，所述主客体标记中的主体包括用户，所述主客体标记中的客体包括文件、文件系统和进程；

将所述主客体标记以一个无符号整形进行表示；

将所述主客体标记设为0-15级，其中，0级为最低级，15级为最高级。

3.根据权利要求1所述的方法，其特征在于，所述通过应用层工具对所述主客体标记链表进行维护包括：

使用伪文件系统提供与所述内核的接口，通过所述应用层工具从用户空间获得所述主客体标记的文本表示；

对所述主客体标记的文本表示进行解析，获得解析结果；

基于所述解析结果更新所述内核中的所述主客体标记链表。

4.一种系统启动后加载的强制访问控制系统，其特征在于，包括：

复制模块：用于在可加载模块中复制capabilitiy相关内核初始化接口；

注册模块：用于调用所述capabilitiy相关内核初始化接口，向LSM框架注册所述可加载模块；

初始化模块：用于系统启动后在内核中初始化一个主客体标记链表，所述主客体标记链表用于存储主客体标记；

加载模块：用于系统启动后加载用于实现强制访问控制逻辑的可加载模块；

维护模块：通过应用层工具对所述主客体标记链表进行维护；

所述加载模块具体用于：

基于LSM框架在所述内核中的各个系统调用插入用于访问控制的钩子函数；

所述可加载模块加载时将所述钩子函数指向所述可加载模块的钩子；

所述钩子函数从所述主客体标记链表中读取所述主客体标记；

按照自定义的访问控制模型对所述主客体标记进行对比；

根据对比规则允许或禁止访问。

5.根据权利要求4所述的系统，其特征在于，所述初始化模块具体用于：

系统启动后在所述主客体标记链表中初始化需要访问控制的所述主客体标记为equal，其中，所述主客体标记中的主体包括用户，所述主客体标记中的客体包括文件、文件系统和进程；

将所述主客体标记以一个无符号整形进行表示；

将所述主客体标记设为0-15级，其中，0级为最低级，15级为最高级。

6.根据权利要求4所述的系统，其特征在于，所述维护模块具体用于：

使用伪文件系统提供与所述内核的接口，通过所述应用层工具从用户空间获得所述主客体标记的文本表示；

对所述主客体标记的文本表示进行解析，获得解析结果；

基于所述解析结果更新所述内核中的所述主客体标记链表。