1.前言
文中根据科学研究安全性操作系统的访问控制模型，融合中国、外的有关检测标准和已经的领先技术性，将登陆密码服务项目与皮内瘤存取控制体制有机化学地结合起来，产生一个融入各种安全性2级好用操作系统。该安全性网络服务器将在Linux操作系统的基本上（现阶段Linux操作系统关键发售版本的安全系数大概处在《TCSEC》规范[1，2] 的C2 级），参考GB/T 18336（等同于选用CC规范）安全性确保等级EAL4，开发设计合乎GB 17859中要求的结构型维护级（等同于TCSEC中要求的B2级）作用需求的安全性操作系统。
1. 安全设置访问控制模型
此类模型是以访问控制的视角叙述安全管理系统，关键对于操作系统中行为主体对客体的浏览以及安全管理。[2]
1.1 BLP模型
Bell&Lapadula(BLP)模型[3~5]---是由----Bell和Lapadula于1973年明确提出并于1976年修订、融合和健全的安全性模型，它是最经典的信息内容安全性多级别安全性模型，通常是解决多级别安全性信息管理系统的设计理论。
BLP模型的安全设置包含强制性访问控制和独立访问控制两一部分。强制性访问控制中的安全性特点,规定对给出安全等级的行为主体，仅被容许对同一安全等级和较低安全级别上的行为主体开展“读”，对给出安全等级上的行为主体，仅被容许向同样安全等级或较高安全级别上的行为主体开展“写”，随意访问控制容许客户自主界定是不是让本人或机构数据存储结构。
BLP模型为常用的计算机软件界定了安全系数特性,就是以一组标准表明什么叫一个可靠的系统软件。其特点是这类根据标准的模型很容易完成。可是它不可以更一般地以词义的方式表明安全系数的含意。因而，这类模型不可以表述主、行为主体架构之外的安全问题，还不可以不错的解决隐敝安全通道的问题。
1.2 DTE模型
DTE （Domain and Type Enforcement）模型[5]是由O’Brien and Rogers于1991年明确提出的一种访问控制技术性。它根据授予文档差异的型（type）、授予过程不一样的域（domain）来开展访问控制，从一个域浏览别的的域及其从一个域浏览不一样的型都需要根据DTE对策的操纵。
近些年DTE模型被较多的做为完成信息内容一致性维护的模型。该模型界定了好几个域（Domain）和型（Type），并将体系中的行为主体分派到不一样的域中，不同的行为主体分派到不一样的型中，根据界定不一样的域对不同的型的访问限制，及其主要在不一样的域中开展转化的标准来实现维护信息内容一致性的目地。
DTE使域和每一个已经运作的过程密切相关，型和每一个目标（ e.g.文档、包）密切相关。假如一个域不可以以某类浏览方式浏览某一型，则这一域的过程不可以以这种浏览方式去浏览那一个型的目标。当一个过程尝试浏览一个文档时，DTE 系统软件的核心在做规范的系统软件批准查验以前，先做DTE批准查验。假如现阶段域有着被浏览文档隶属的型所规定的浏览权，那麼这一浏览得到准许，执行一切正常的系统软件查验。
1.3 RBAC模型
RBAC模型[5]是根据人物角色的访问控制模型。该模型适用于管理方法权利，在根据权能的访问控制中完成岗位职责防护及很小权利基本原理。
RBAC包括下列基本前提：客户集(Users)，行为主体过程集(Subjects)，人物角色集(Roles)，实际操作集(Operations)，操作目标集(Objects)，实际操作集和操作目标集产生一个权利集(Privileges)；客户与行为主体过程的关联(subject_user),客户与人物角色的关联(user_role), 实际操作与人物角色的关联(role_operations)， 实际操作与操作目标的关联(operation_object)。
通常subject_user是一个多对一的关系，它把好几个行为主体过程投射到一个客户，这种过程全是取代该消费者的行为主体过程；在本模型中它也是一个非常典型的多对一的关联。user_role可以是多对多的关系，但在本模型中它被简单化为一对一的关联。role_operations是一个一对多的关系，它把一个人物角色投射到好几个实际操作，是人物角色被受权应用的实际操作的结合；operation _object是一个一对多的关联，它把一个实际操作投射到好几个实际操作目标，是实际操作被受权功效的实际操作目标集。
在本模型中，取代客户的行为主体过程很有可能只激话客户人物角色的被认证的实际操作的一部分，并且操控也很有可能仅功效在被受权功效的实际操作目标集的一个子集合上。在本体系中，将完成根据人物角色的认证和操纵，适用人物角色互斥，不兼容人物角色的承继，不兼容同一个客户的好几个人物角色。
2. 安全管理系统的设计方案
2.1 安全性模型的设计方案
参考GB 17859中结构型维护级的安全性作用特点规定，本体系中的安全防护网络服务器将遵循改善的BLP模型、DTE模型及其RBAC模型来完成操作系统的安全设置。在其中，BLP模型是多级别安全性模型，维护数据的安全保密性；DTE模型是多域模型，维护数据的一致性；RBAC模型是根据人物角色的访问控制模型，是受权模型。根据三种模型的相互影响和牵制，确保系统中的数据及其操作系统本身的安全系数。
受权对策RBAC是所有体系的基本，它根据为客户设定特殊人物角色，危害IA操纵、权利操纵、多域访问控制和强制性访问控制等基本要素，做到自动控制系统中客户/行为主体对客体/目标的浏览的目地。在本体系中，每一个客户都有且只有一个人物角色。为某一客户给出一个人物角色，等同于给出该消费者的***权利集、安全性标识范畴、DTE域范围和最少财务审计子网掩码。该消费者的以上特性只能在给出人物角色的范畴内特定。RBAC是根据最少权利、强制性访问控制（包含MAC安全保密性维护和DTE一致性维护）和网络安全审计等作用组成完成的。
而多域对策DTE和多级别安全设置BLP则是在受权对策受权的基本上，启用多域访问控制和强制性访问控制作用，完成对行为主体/目标信息内容的一致性和安全保密性维护。
本体系在BLP模型的基本上开展了一些修改：
1. 对BLP模型“上写出读”的信息流广告标准开展了限定，将当中的“上写”改成：低安全级别的核心可以建立高安全级别的行为主体或向高安全级别的行为主体中增加信息内容，可是无法改动或删掉高安全级别行为主体中的原来信息内容。例如，低安全级别的核心可以在高安全级别文件目录下（在根据了DAC和DTE查验的情形下）建立新的文档（包含根目录、命名管道等），可是不可以删掉原来的文档（包含根目录、命名管道等），也不可以改变高安全级别文档的內容；
2. 引进可靠行为主体的定义，即：所说可靠行为主体，便是有着好几个安全性级或一个安全级区域的行为主体；
3. 引进可靠行为主体的定义，即：所说可靠行为主体，便是有着好几个安全性级或一个安全级区域的行为主体。
本体系中DTE完成选用为行为主体/客体特定域/型标志（通称为DTE标志）的方式，DTE对策将根据为行为主体赋“域”（Domain），为客体赋“型”（Type），并界定“域”和“型”中间的访问限制完成DTE一致性维护，并选用DTEL（DTE Language）语言表达开展叙述，根据指令设定到系统核心。
关键里将为每一个行为主体维护保养一个“域”标识，为每一个文件维护一个“型”标识。当实际操作出现时，系统软件将依据行为主体“域”标识、文档“型”标识及其访问控制表分辨是不是容许实际操作产生。
正常情况下，结构一个安全管理系统务必与此同时兼具客户软件系统、O/S服务系统、Linux 核心、硬件配置这四个分系统，使他们都得到高效的维护；但本体系关键关注客户软件系统和Linux 核心系统软件，由于他们与Linux 系统优化联络最立即。构建安全性Linux 系统软件的终极目标便是适用各种各样安全性运用，假如系统软件在结构之初就沒有差别地看待不一样的运用，换句话说不采用防护的方法看待不一样的运用，那麼如此的系统软件不是好用的，由于不一样的运用对系统优化很有可能产生的影响是不一样的。对客户软件系统的操纵，大家主要是选用人物角色模型与DTE技术性的融合；而对Linux 核心的操纵，则根据权能访问控制、提高的BLP模型及DTE对策来完成。
2.2 安全管理系统的产品结构设计
客户要求的体系实际操作进到关键后，最先通过安全设置实行点，启用相对应的安全设置实行控制模块，安全设置实行控制模块载入有关的系统优化信息内容和主/行为主体安全性特性，并启用安全设置判断控制模块开展安全性判断，决策是不是容许客户要求的实际操作执行；当客户要求的体系实际操作获得容许并实行完毕后，再度根据安全设置实行点，开展有关安全信息/特性的设定和网络安全审计。
安全性网络服务器中的程序模块与原来的体系实际操作是比较独立性的，彼此根据hook函数公式开展联络。根据更改hook函数公式的偏向，可以开启不一样的安全防护网络服务器。不一样的安全防护网络服务器可以选用差异的安全设置，进而实现适用多安全设置的目地。
2.3 安全管理系统的功能分析
安全管理系统在原来Linux操作系统基本上，新增加了的强制性访问控制、最少权利管理方法、可靠途径、隐安全通道剖析和数据加密卡适用等作用构成，系统软件的首要作用如下所示：
1. 标志与辨别
包含人物角色管理方法、用户服务和客户身分辨别等三个一部分。
2. 独立访问控制
本体系在独立访问控制中添加ACL体制。
3. 强制性访问控制
给予根据数据信息安全性的資源存取控制方式，给予了比DAC更严苛的浏览管束。
4. 网络安全审计
本系统软件能建立和维护保养受维护行为主体的浏览财务审计追踪纪录，并能阻拦非受权的客户对它浏览或毁坏。
5. 行为主体器重
在本体系中，出自于系统软件高效率和安全性的考虑到，只完成对关键重要算法设计剩下信息内容的全自动消除和档案主要内容的人力消除。
6. 最少权利管理方法
权利管理方法完成的办法是：对特殊人物角色的客户和可执行程序授予相对应的权利集，账号登录时获得原始权利集，过程在实行可执行程序时，依据文档的权利集再次得到新的权利；给予授予可实行行为主体的合理、承继、批准三个权利集的工作能力。
7. 可靠途径
可靠途径规定为客户给予与系统软件互动的可靠安全通道。强制性真实身份辨别和互联网数据加密全是可靠途径的构成部分。除此之外，本体系将为客户带来安全性留意键，系统软件监控到客户应用该键后，将自行撤出现阶段对话，返回登录界面。
8. 隐敝安全通道剖析
本系统软件掩蔽安全通道剖析将根据源码，选用以下方式开展：
剖析全部实际操作，列举实际操作以及涉及到的资源共享（行为主体特性）
ü 列举实际操作与资源共享的关系图。
ü 找到全部有可能的储存隐敝安全通道。
ü 剖析、标志每一个储存隐敝安全通道，并得出网络带宽。
9. 数据加密卡适用
本体系将适用一款通过我国商用密码管理委员会公司办公室验证的数据加密卡，为客户给予数据加密API和对资料开展加/破译的作用，与此同时也为本操作系统的强真实身份辨别和互联网数据加密一部分给予适用。
3. 结果
本系统软件根据对Linux关键构造和操作系统域表层安全管理体系的结构分析的研究，遵循中国、外的有关检测标准，将三种安全设置模型和已经的领先技术性巧妙地结合在一起，提升了强制性密钥管理、最少权利、可靠途径等安全防护作用，取得成功的在Linux操作系统上了已完成，基本上做到了GB17859中要求的结构型维护级（《TCSEC》的B2级）的规定。
操作系统安全性提高技术性做为网络信息安全的核心一部分，获得了中国、外的广泛高度重视。在安全领域，系统软件的安全系数一直相对性的。因而，对安全性模型的研究和建模及其信息安全系统管理体系和设计方案的研究也有待进一步的深层次。本方案设计早已在Linux操作系统上获得实际的完成，还迫切需要在具体运用中对安全性操作系统进一步地磨练和健全。