[音乐]
[音乐]
同学们好 上次课我们把XSM框架它的这个基本的设计
的合理性，还有设计的这个主要实现的使用模型等等做了一些介绍 那么今天我们说一下这个XSM到底是如何实现的
XSM呢它是从LSM，就是我们前面我们提到的Linux Security Modules 衍生而来。
那么它的这个主要的实现呢实现了 就是ACM的一些安全功能
可能同学们不了解ACM啊，其实XSM框架在实现之前呢Xen就有
一些研究人员，应该是IBM啊，如果没记错的话，他们已经 在这个Xen这个系统里面实现了相关的访问控制的一些功能
就是我们这里所说的ACM 另外呢，它重新，允许做一些新的自定义的一些安全功能
实现了安全模块，就是实现这个
每一个功能进行模块化，然后里面实现了各种安全的钩子，安全钩子
能够去指定特定的安全模型，比如说它可以让这个体系结构去支持
后续我要增加一个，或者改变一个新的安全功能或者安全模型 它是可以的。
那么XSM特有的一些实现呢，就是说因为它是虚拟化的软件嘛
所以它跟这个LSM还是完全，还是不太一样的
里面有增加一些新的，就是跟虚拟化有关的一些特定的一些实体 实体类型和实体一些操作。
比如说这里看到的第一个叫初始化 这个初始化呢其实就是指的在这个Domain
就是我们的虚拟机创建之前，那么需要做一些这个，对虚拟化的这个
虚拟机的这个运行环境做一个初始化的一个 操作，所以这个是它特有的。
第二个呢，就是会存在创建虚拟机，就是域的创建 和销毁相关的一些安全结构，就是创建一个
就是 Domain_create、 Domain_destroy
这样一些操作 在这些操作函数里面要去考虑怎么样提供一些安全的一些字段
第四个呢就是不可例外的事件通道 这里面关心的是两个虚拟机之间相互通信的时候
那么两个这个虚拟机之间通信很重要的一个机制呢就是这个
evtchn 那么evtchn这种机制在我们这个
XSM框架里面会涉及到的，比如说事件通道的这个 初始化，事件通道之间做域绑定的时候
这些操作，这些操作都要受到一些安全控制，所以在这些操作里面都要考虑
增加一些相关的安全字段和安全控制 第四呢，就是它不支持栈，其实
前面我们也说过，LSM它很大的一个不足，就是它的模块是按栈的方式来进行管理的
所以在这边XSM呢，它认为栈式的这种安全模块的行为是很难预测的
而且可能会导致这个最后的目标失败
所以安全模块是自己来实现一些栈 就是每一个模块都可以自己实现自己的一个栈
那么XSM的模块管理这一块是，也是它的一个主要 功能。
那么也就是说它需要考虑启动的时候怎么样去注册
一个模块，怎么样去连接，对吧？然后模块呢也可以去注册一个安全的超级调用
因为每一个模块加进去了，它有可能会涉及到让上层来调用它
对吧？让上层的操作系统来调用它，所以要增加新的安全超级调用 模块可以注册一个，就是 policy 的
magic number，就是每一个模块可以自己有一个独立的一个魔术 其实用来表示这个模块的唯一性
那么这样的话，将来在启动或者是使用这个模块的时候 可以用这个魔术来识别它加载的是哪一个安全策略
这是关于这个XSM它特有的一些
实现的一些结构部分的东西，都是跟这个域的创建，域的这个 实体，就虚拟机它有关的
那么已经实现的XSM安全模块，就是在XSM里面已经实现的这个模块呢有什么呢？
第一个是Dummy，Dummy就类似于LSM里面的那个Dummy，它相当于是空的
它提供了一个框架，告诉你怎么样去独立出一个模块，对吧？
其实它的功能是，只是相当于把之前的功能
必要的一些东西放在了这个Dummy模块里面，但是它其实
跟原有的模块加在一起，它是相当于等同于原来的这个系统 它并没有特殊的一些安全功能。
ACM 和这个sHype，这个就是我前面提到的IBM实现的早期在没有
在NSA并没有把XSM放入 这个，就是XSM里面实现的就是ACM这个模块，ACM模块
它里面，等会我们会专门介绍到ACM实现的是什么样的一个安全功能啊 此外就是NSA实现的Flask，Flask
其实相当于把 SE Linux里面的那些安全模块
移植到了这个XSM里面 我们先来看一个XSM的钩子到底有哪些
先说一下这个钩子主要是做什么，钩子做什么。
钩子其实跟前面LSM钩是类似的 当然这边的钩子，就是在Xen里面的这些钩子，它主要是用来做什么的呢？
第一个就是它要插入在代码的适当的位置，就是我要找到
就是说NSA做这件事情，把XSM，把Xen打上XSM钩子
其实它很重要的一个工作量，就是要在Xen里面找到 合适的位置去加入这些钩子，对吧？这是它很重要的一件事情
第二个呢是安全结构的分配和设置 也就是说在XSM这个里面，除了要加钩子函数调用，还要考虑
在这个Xen里面，哪些部分，哪些结构体 它里面应该有安全字段，安全字段 那么这是它的第二。
第三呢是平台安全性的一个初始化，初始化 也就是说在整个这个XSM钩子如果都存在的情况下
它的初始值，就是每一个这个安全状态的初始值应该如何来赋值
我们先看第一个，钩子的放置方法，钩子的放置方法，钩子呢其实在 Xen
的这个系统里面，首选它要放在什么位置，对吧？
其实我们都知道，做安全嘛，并不是说我所有的位置都做控制 这个系统才叫安全。
其实重要的是把这个 控制的位置放在了合适的，或者说关键的位置上，对吧？
所以呢，我们要找到这些关键的位置，那么怎么样找到这样的位置呢？
当然要考虑在Xen里面实现安全性，我们关注的是哪些实体
就是我们关注的安全相关的对象有哪些 对吧？比如说在Xen里面我们要考虑跟安全有关的这些对象
是什么呢？对吧，比如说我们的域，域的创建，域的销毁 这些其实就是我们很关心的这个对象
所以要综合考虑各方面的因素，在代码里面要放在什么位置，它
是真正可以起到一个监控的作用，可以给安全性做一增强，对吧，做一增强
当然了，在这个钩子放置的位置的时候，同时还要考虑这个
跟性能做一个均衡，你不能因为在这个系统里面加了 这些钩子，会吊的钩子越多，你就觉得安全性越好
其实也未必，所以的话我们要考虑尽可能地，我们在一个合适的、 关键的位置
做了安全监控，其实就安全了，进入某某学校，它我们需要做一些这个
检查，那么你不是说在学校的每一个这个入口都去做安全监控
这样就能保证安全，对吧？其实我比如说只是在这个重要的比如说第一个
入口，我们做好安全的控制，那么事实上就可以对安全性起到一个比较好的一个作用 这是我们做钩子的放置位置
当然在放置的时候，我们还要考虑对怎么样去减少对Xen代码的影响
尽量使用已经存在的一些错误返回路径 不要去增加一些新的 错误代码。
第四呢就是依靠这个函数调用来保持这个对象的引用
这是我们在这个考虑钩子函数放置位置的时候
要多从各个方面去考虑，那么目前这个钩子的位置呢，这边列出来
出来了在站里面的这个源码的，源代码文件，一个是dom0_ ops.c
事实上很显然，这是关于前面我们提到的，使用模型里面第一个就是关于dom0
它的权限怎么样做划分，对吧？ 所以关于dom0的这个操作这一块的这个 控制是非常重要的。
所以在这里一定要加钩子。
第二个是domain.c，这个可能跟domain的创建 或者domain这个管理有关的
还有grant_table.c、 event_channel.c这是根跟
两个domain之间，就是虚拟机之间通讯相关的两个机制 setup.c，还有mm.c，setup应该是跟这个整个系统的
设置，还有这个mm是跟整个系统的这个内存
管理这一块有关的，那么内存经常是信泄露很重要的一环 所以的话，这里面是它主要放置位置。
那么从性能上来讲 就是说我放置了一些钩子之后，是否这些检查点就是
越多越好，或者说是不是越多开销是不是也就越大，对吧？
那么每个，事实上在这个Xen里面它设置的这些钩子啊 之后呢，其实给整个系统带来的开销应该是不是很大的
大家还记得LSM里面其实我们也设置了 就是调钩子函数这个地方应该有200多处对吧？
那么这个钩子的调用的位置是非常多的，但是并不代表整个系统的性能就会
急剧下降，因为它会每一次使用的时候，都会走不同的这样的调用的钩子
而且返回的开销，影响不是 很直接的，除非一种很特殊的情况，就所有的 功能都被调用到。
所以关于性能方面的分析呢
我们从理论上来说，它不会带来过大的开销，但是事实上到底是如何其实还需要
大家在应用的过程当中自己去验证这样一个问题 好，这是关于它这个钩子的问题
第二，我们看一下这个ACM的这个模块，就是刚才我们提到了
它的第二个，就是实现，就是用ADM实现的这个ACM的模块
那么ACM模块它事实上就是把这个
就是XSM和这个ACM之间到底什么关系啊？我们先来解释一下
首先这个ACM呢原来它是，在没有 XSM钩子之前它是独立在内核里面增加了一些安全功能
所以的话，要了这个XSM框架之后，它IBM，把IBM原来实现的这些功能
把它放到了这个XSM的钩子里面去 所以的话呢，它是，这是它的一个主要工作。
另外一个就是，我们看一下 ACM到底实现了什么样的策略，ACM主要实现了两个安全策略，一个是中国强
一个是简单的TE策略，STE
一会我们在后面会专门讲到ACM模块实现的这两个 策略。
这是hooks函数的类型，这个类型也跟
其实我们之前，LSM的非常类似，有一个PRE-Hooks POST-Hooks和FAIL-Hooks。
那么这个钩子函数的操作流程呢 通常是在这个系统操作请求之后
先要做一个，执行操作之前要做check 所以叫PRE-Hooks，对吧？那PRE-Hooks经过决策之后
那么它可能不管 应该还有一个POST-Hooks对吧？如果有一个
修改它相关属性的话，就有一个POST-Hooks，如果失败的 话呢，就应该有一个FAIL-Hooks这样一个调用过程
这是它的这个流程 这一部分我们主要讲到的就是关于这个
钩子函数，就是关于XSM的一些钩子函数的一些设置的问题 那么这次课我们先讲到这，谢谢
Prof. 沈晴霓 (Shen Qingni), Ph.D.
