基于硬件虚拟化的内核同层多域隔离模型

作     者：钟炳南 邓良 曾庆凯 ZHONG Bing-Nan;DENG Liang;ZENG Qing-Kai

作者机构：计算机软件新技术国家重点实验室(南京大学)江苏南京210023 南京大学计算机科学与技术系江苏南京210023 华为技术有限公司上海201206 

出 版 物：《软件学报》 (Journal of Software)

年 卷 期：2022年第33卷第2期

页      面：473-497页

核心收录：

学科分类：08[工学] 081201[工学-计算机系统结构] 0812[工学-计算机科学与技术（可授工学、理学学位）] 

基　　金：国家自然科学基金(61772266 61431008) 

主　　题：硬件虚拟化 内存隔离 多域隔离 

摘      要：为了解决内核不可信带来的问题,很多工作提出了同层可信基的架构,即,在内核同一硬件特权水平构建可部署安全机制的唯一保护域.但是,实际过程中往往面临多样化的安全需求,将多种对应的安全机制集中于唯一的保护域必然导致只要其中任何一个安全机制被攻陷,同一个保护域内其他所有安全机制都可能被攻击者恶意篡改或者破坏.为了解决上述问题,提出了内核同层多域隔离模型,即在内核同一硬件特权水平构建多个保护域实现了不同安全机制的内部隔离,缓解了传统方法将所有安全机制绑定在唯一保护域带来的安全风险.实现了内核同层多域隔离模型的原型系统Decentralized-KPD,其利用硬件虚拟化技术和地址重映射技术,将不同安全机制部署在与内核同一特权水平的多个保护域中,并不会引起较大的性能开销.总体而言,实验结果展示了内核同层多域隔离模型的安全性和实用性.