技术摘要：TOMOYO Linux —— 一种基于应用程序执行状态的强制访问控制方法

1. 问题陈述

传统的访问控制方法，包括自主访问控制 (DAC) 和标准的强制访问控制 (MAC) 实现（无论是基于标签的还是基于路径名的），其访问决策主要基于主体（应用程序/进程）与客体（文件/资源）的组合。这些方法未能考虑到应用程序的执行状态或特定访问请求背后的意图。

本文指出了现有系统的两个关键局限性：

1. 缺乏上下文感知能力： 传统方法不考虑应用程序是如何启动的，或者它即将进行什么样的处理。例如，一个 Web 浏览器（HTTP 客户端）应根据它是作为用户应用程序运行，还是作为 Web 服务器调用的 CGI 脚本运行，具有不同的访问权限。类似地，应用程序的行为可以根据命令行参数或环境变量而改变（例如，如果配置不当，sshd 显示的横幅文件可能包含敏感数据）。
2. 粗粒度沙箱化： 由于忽略了执行状态，基于传统 MAC 的沙箱往往过于粗糙。它们无法在不阻塞整个应用程序的情况下限制特定操作（如将配置文件重命名为内容文件），从而导致损害局部化程度不足。

核心问题在于，传统的访问控制无法区分以不同上下文（例如，通过 SSH 登录的 shell 与通过控制台登录的 shell，亦或是通过 Web 服务器生成的 shell）运行的同一个可执行文件，也无法评估授予特定访问请求的潜在影响。

2. 方法论

作者提出了一种将应用程序执行历史和处理意图纳入决策过程的新型访问控制方法。该方法通过 TOMOYO Linux（一种 Linux 安全模块，LSM）实现。

2.1 程序执行历史

系统为每个进程追踪“程序执行历史”。该历史是记录了从系统启动（<kernel>）到当前进程创建为止，所有执行过的应用程序路径名的列表。

• 机制： 当一个进程 fork 并执行一个新应用程序（通过 execve）时，子进程会继承父进程的历史，并追加自身的程序名称。
• 结果： 即使两个进程正在运行相同的二进制文件（例如 /bin/bash），如果它们是通过不同的链条启动的（例如 init $\to$ agetty $\to$ login $\to$ bash 与 init $\to$ sshd $\to$ bash），它们也会拥有不同的执行历史。

2.2 基于域的分类

系统根据执行历史定义域 (Domains)。

• 域是一个代表特定执行状态的唯一标识符，它从 <kernel> 开始并遵循执行链。
• 访问控制策略是按域定义的，而非按二进制文件。这使得系统管理员可以根据应用程序如何被启动，为其授予不同的权限。
• 域结构形成了一棵树，允许实现基于角色的访问控制 (RBAC) 功能，其中嵌套的 shell 或权限提升（如 su）会创建新的、具有特定且有限权限的独特域。

2.3 基于条件的访问决策

策略语言允许访问决策基于内核管理的各种参数进行约束，包括：

• 命令行参数： 根据特定标志限制执行（例如 exec.argv[0]="passwd"）。
• 环境变量： 基于代理设置或搜索路径进行过滤。
• 文件属性： 检查文件权限、所有权或特定文件内容。
• 用户 ID： 根据有效用户 ID 或实际用户 ID 限制访问。

通过使用这些因素作为条件，系统可以推断应用程序的“意图”。例如，它可以在应用程序运行于具有特定参数（表明是一项合法的管理任务而非通用读取）的情况下，才允许执行文件读取操作。

2.4 通过引用监视器实现

TOMOYO Linux 在 Linux 内核中利用 LSM 框架实现了一个引用监视器 (Reference Monitor)。

• 拦截： 通过钩子 (Hooks) 系统调用来拦截访问请求。
• 决策： 内核根据进程当前域定义的策略检查请求。
• 执行： 如果请求符合策略（包括所有强制性和可选条件），则允许；否则拒绝。
• 白名单机制： 系统基于白名单运行；任何未被明确允许的操作都会被拒绝。

3. 核心贡献

1. 执行状态感知： 本文引入了一种利用程序执行历史链来唯一标识应用程序执行状态的方法，实现了传统 MAC 无法实现的细粒度访问控制。
2. 基于意图的策略： 该方法允许基于应用程序即将进行的处理（通过参数、环境和历史推断）来定义策略，而不仅仅是基于主体和客体的身份。
3. TOMOYO Linux 实现： 作者在 Linux 内核中提供了该方法的完整实现，包括：
   • 用于定义和管理域的策略编辑器 (CUI)。
   • 通过观察系统行为自动生成策略的“学习模式 (Learning Mode)”，从而简化部署。
   • 支持在策略定义中使用通配符和复杂的条件表达式。
4. RBAC 集成： 域结构天然支持基于角色的访问控制，允许管理员根据进程执行的层级结构定义角色（例如，由 su 生成的 shell 与原始登录 shell 具有不同的权限）。

4. 结果与评估

论文通过演示实验和性能基准测试对 TOMOYO Linux 进行了评估。

4.1 可用性与管理

• 策略制定： “学习模式”允许管理员观察系统一段时间（例如，针对 Web 服务器观察两周）以收集执行历史和访问模式。与需要管理员手动映射复杂标签转换的标签型 MAC（如 SELinux）相比，这显著减少了定义策略所需的精力。
• 演示： 在 2007 年的一次 Web 服务器实验中，参与者能够快速理解原理并编辑策略。使用路径名和执行历史使得系统的行为对管理员而言是透明的。
• 与 SELinux 的比较： 不同于 SELinux 需要理解复杂的标签转换和可能与特定环境不匹配的标准策略，TOMOYO 允许按域独立定义策略，使管理更加直观。

4.2 安全有效性

该方法被证明能有效应对以下情况：

• 未经授权的应用程序执行： 即使存在漏洞的应用被攻破，通过限制特定域的权限，也能防止 shell 或未经授权工具的执行。
• 路径遍历： 通过基于内核数据结构计算绝对路径，使攻击失效。
• 符号链接攻击： 除非针对特定目录和目标获得明确许可，否则限制符号链接的创建。

4.3 性能影响

使用 Ubuntu 10.04 系统 (Core 2 Duo, 2GB RAM) 通过 LMBench 测量了性能。

• 未被钩子拦截的系统调用： 未被 TOMOYO 拦截的系统调用表现出微乎其微的影响（在 ±5% 以内，归因于测量误差）。
• 被钩子拦截的系统调用：
  • 文件操作： 对于涉及文件创建和元数据的操作（如 stat, open/close, 0K File Create）观察到了显著的开销，延迟范围在 ~60% 到 ~128% 之间。这是由于检查路径名和权限带来的开销。
  • 进程创建： fork 和 execve 操作显示出约 5-15% 的延迟，归因于执行历史继承的处理。
  • 网络： TCP 操作显示出极小的开销 (~1%)，而 UDP 显示出 ~28% 的开销。
• 策略规模： 论文指出，随着域和访问权限数量的增加，搜索时间也会随之增加。然而，经验数据表明，在典型部署中，域的数量和每个域的规则数通常保持在 2,000 以下，使性能下降保持在普通使用的可接受范围内。

5. 意义与主张

本文声称，TOMOYO Linux 通过将关注点从静态的主客体对转向动态执行状态，代表了强制访问控制领域的重大进步。

• 互补性： 作者将此方法定位为标签型 MAC 的补充而非替代。标签型 MAC 擅长通过强大的隔离防止信息泄露，而 TOMOYO 则擅长维持信息系统的正确状态并防止应用程序执行非预期的操作。
• 实用性： 通过利用现有的内核信息（执行历史、参数、环境），而不是要求修改应用程序或进行复杂的标签分配，该方法提供了一条实现细粒度安全的实用路径。
• 易用性： 通过观察生成策略（学习模式）的能力以及执行历史的直观性，解决了 MAC 系统常见的入门门槛过高的问题。

论文总结道，通过拒绝传统方法无法识别的未经授权及不必要的访问请求，TOMOYO Linux 在增强信息安全性的同时，依然保持了对系统管理员的可管理性。未来的工作建议将此方法与应用程序声明相结合，以进一步提高执行状态的准确性。