用于增加计算机安全的方法和系统技术方案

本申请涉及用于增加计算机安全的方法和系统。一种计算机实现的方法包括将与第一许可水平相关联的第一描述符表和与不同于第一许可水平的第二许可水平相关联的第二描述符表初始化。第一和第二描述符表与硬件处理器相关联并被操作系统内核初始化。响应于源自于软件进程的描述符表地址请求，提供与第一描述符表相关联的存储器地址，而响应于描述符表更新请求，第二描述符表被更新。

【技术实现步骤摘要】
用于增加计算机安全的方法和系统分案说明本申请属于申请日为2012年10月16日的中国专利技术专利申请201280061783.3的分案申请。
技术介绍
本说明书涉及计算机安全。计算机系统可能受到敌对软件应用或进程(例如恶意软件、病毒等)的危害。敌对软件应用可能促使操作系统内核向由敌对软件应用指定的存储器位置写入数据。例如，敌对软件应用能够利用与操作系统相关联的缺陷和/或弱点并促使操作系统内核修改与内核相关联的指令(例如，插入允许用户或其他软件避开安全措施或准许用户或软件的不适当访问的后门)。作为另一示例，敌对软件应用能够促使操作系统内核修改存储于中央处理单元(CPU)或操作系统所使用的各种数据结构或表(例如，中断描述符表、全局描述符表等)中的数据。另外，敌对软件应用能够利用与操作系统相关联的缺陷和/或弱点使用与CPU相关联的命令来确定与CPU或操作系统相关联的资源(例如中断描述符表或全局描述符表)的位置。例如，敌对软件应用能够使用SIDT指令来促使CPU提供中断描述符表的地址。
技术实现思路
本说明书描述了涉及用于改善计算机安全的防御技术的技术。该系统能够将描述符表(例如中断描述符表或全局描述符表)初始化并将描述符表映射到不同的存储器位置。能够使描述符表的一个映射与读写许可相关联，并且能够使描述符表的第二映射与只读许可相关联。系统能够将只读描述符表(例如第二映射)的地址提供给CPU。当CPU接收到用以返回描述符表的值的命令时，CPU能够提供只读描述符表的地址。当操作系统内核接收有效指令以更新描述符表(例如，来自可信进程或来自操作系统的指令，与来自敌对软件应用的指令相反)时，操作系统内核能够访问描述符表并更新描述符表的值。一般地，能够在包括以下动作的方法中体现在本说明书中描述的本主题的一个创新方面：将第一描述符表和描述符表的第二映射初始化，其中，描述符表的第一映射与第一许可水平相关联，并且其中描述符表的第二映射与不同于第一许可水平的第二许可水平相关联，并且其中，第一描述符表和第二描述符表与硬件处理器相关联并被操作系统内核初始化；响应于描述符表地址请求，提供与第一描述符表相关联的存储器地址，其中，描述符表地址请求由软件进程提供；以及响应于更新请求，更新第二描述符表。能够在包括以下动作的方法中体现包括在本说明书中描述的本主题的另一创新方面：将描述符表初始化，其中，该描述符表被操作系统内核初始化并与硬件处理器相关联；将与描述符表相关联的许可水平变成第一许可水平；以及响应于更新请求，将与描述符表相关联的许可水平变成第二许可水平，其中，第二许可水平大于第一许可水平；在描述符表与第二许可水平相关联时更新描述符表，其中，该更新基于更新请求；以及在更新描述符表之后，将与描述符表相关联的许可水平变成第一许可水平，其中，操作系统内核改变与描述符表相关联的许可水平。能够将在本说明书中描述的主题的特定实施例实现为实现以下优点中的一个或多个。例如，能够通过防止敌对软件应用或恶意软件访问或修改CPU和/或OS内核所使用的数据结构(例如，中断描述符表和全局描述符表)来增加网络和计算机安全。另外，能够更容易地调试操作系统，因为能够减少或防止描述符表的非有意的覆写。在下面的附图和描述中阐述了在本说明书中描述的主题的一个或多个实施例的细节。根据描述、附图和权利要求，主题的其他特征、方面以及优点将变得显而易见。附图说明图1图示了用以改善计算机安全的示例性系统。图2是用于改善计算机安全的示例性过程的流程图。图3是用于改善计算机安全的示例性过程的流程图。各种图中的相同附图标记和命名指示相同的元件。具体实施方式图1图示了用于改善计算机安全的示例性系统100。系统100包括CPU102、描述符表寄存器104、描述符表106、描述符表的第一映射107、别名描述符表108、存储器图(memorymap)110、操作系统内核112和软件进程114。CPU102可以是各种类型的计算机处理器。例如，CPU102可以是x86处理器、x86兼容处理器或x86处理器的64位后代(例如，IntelCore2或AMDOpteron)。可以使用其他CPU。CPU102可以包括存储关联描述符表106的存储器地址的描述符表寄存器104(“DT寄存器”)。例如，CPU102可以包括存储中断描述符表的存储器地址的中断描述符表寄存器。虽然图1图示了单个DT寄存器104，但CPU102能够包括对应于各种描述符表106的多个DT寄存器104。例如，除中断描述符表寄存器之外，CPU102能够包括存储与全局描述符表相关联的存储器地址的全局描述符表寄存器。DT寄存器104能够存储物理存储器地址或虚拟存储器地址。能够由操作系统内核112将存储在DT寄存器104中的值编程。例如，在系统100的初始化(例如，启动时间)期间，操作系统内核112能够存储与别名描述符表108相关联的存储器地址(例如，虚拟存储器地址)。在某些实施方式中，能够在除初始化之外的时间将存储在DT寄存器104中的值编程。存储器图110可以是与CPU102相关联的描述存储器被如何组织的存储器管理模块(例如，虚拟存储器图)。例如，存储器图110能够包括描述存储器大小、为操作系统使用预留的存储器区域和/或能够被软件进程114使用或访问的存储器区域的信息。另外，能够使用存储器图110来指定存储器地址与只读许可或读写许可相关联。例如，操作系统内核112能够修改存储器图110以改变与描述符表106或别名描述符表108相关联的许可。另外，存储器图110能够被CPU102或与CPU102相关联的存储器管理器用来解释到物理存储器地址的逻辑/虚拟存储器地址。描述符表106能够包括例如与各种软件例程或数据结构相关联的存储器地址、存储器段描述符、用于改变与CPU相关联的特权水平的机制(例如，“调用门”)及其他数据。例如，描述符表106可以是能够用来实现中断矢量表的中断描述符表。在某些实施方式中，中断描述符表包括与中断处理机(handler)相关联的存储器地址，该中断处理机可以是随着软件进程或例程被触发而处理中断(例如，硬件中断、软件中断和/或处理器异常(共同地称为“中断”))的软件进程或例程。例如，中断描述符表能够将与中断处理机(“TO_Int_handler”)相关联的存储器地址存储在与定时器中断相对应的表内的位置上。当定时器中断被触发时，操作系统能够访问中断描述符表并确定应响应于定时器中断而执行TO_Int_handler。使用存储器图110，能够使描述符表106与各种许可水平相关联。例如，描述符表106可以具有防止描述符表106和存储在描述符表106中的值被修改的只读许可。另外，描述符表106可以具有允许描述符表106和存储在描述符表106中的值被修改的读写许可。与描述符表106相关联的许可水平能够被操作系统内核112修改。例如，操作系统内核112能够使用存储器图110来将描述符表106的许可从读写变成只读。描述符表106可以位于各种物理存储器地址处。例如，描述符表106可以是由操作系统内核112或CPU102在随机存储器地址处创建的。另外，可以在固定的存储器地址处创建描述符表106。另外，可以由存储器图110(例如，映射描述符表107)将描述本文档来自技高网...

【技术保护点】
一种用于增加计算机安全的计算机实现的方法，所述方法包括：将描述符表初始化，其中所述描述符表被操作系统内核初始化并与硬件处理器相关联；将与所述描述符表相关联的许可水平改变成第一许可水平；以及响应于更新请求，(A)将与所述描述符表相关联的许可水平改变成第二许可水平，其中所述第二许可水平大于所述第一许可水平；(B)在所述描述符表与所述第二许可水平相关联时更新所述描述符表，其中所述更新基于所述更新请求；以及在更新所述描述符表之后，(C)将与所述描述符表相关联的许可水平改变成所述第一许可水平，其中所述改变(A)、所述更新(B)、和所述改变(C)限于所述描述符表。

【技术特征摘要】
2011.10.19 US 13/277,0631.一种用于增加计算机安全的计算机实现的方法，所述方法包括：将描述符表初始化，其中所述描述符表被操作系统内核初始化并与硬件处理器相关联；将与所述描述符表相关联的许可水平改变成第一许可水平；以及响应于更新请求，(A)将与所述描述符表相关联的许可水平改变成第二许可水平，其中所述第二许可水平大于所述第一许可水平；(B)在所述描述符表与所述第二许可水平相关联时更新所述描述符表，其中所述更新基于所述更新请求；以及在更新所述描述符表之后，(C)将与所述描述符表相关联的许可水平改变成所述第一许可水平，其中所述改变(A)、所述更新(B)、和所述改变(C)限于所述描述符表。2.根据权利要求1所述的计算机实现的方法，进一步包括：响应于用于访问所述描述符表的请求，访问所述描述符表，其中所述描述符表与所述第一许可水平相关联。3.根据权利要求1所述的计算机实现的方法，其中所述第一许可水平包括只读许可水平，并且其中所述第二许可水平包括读写许可水平。4.根据权利要求1所述的计算机实现的方法，其中所述第一描述符表和所述第二描述符表包括中断描述符表。5.根据权利要求1所述的计算机实现的方法，其中所述第一描述符表和所述第二描述符表包括全局描述符表。6.一种用于增加计算机安全的计算系统，所述计算系统包括：一个或多个计算机；以及存储指令的一个或多个存储单元，所述指令在由所述一个或多个计算机执行时使得所述计算系统执行操作，所述操作包括：将描述符表初始化，其中所述描述符表被操作系统内核初始化并与硬件处理器相关联；将与所述描述符表相关联的许可水平改变成第一许可水平；以及响应于更新请求，(A)将与所述描述符表相关联的许可水平改变成第二许可水平，其中所述第二许可水平大于所述第一许可水平；(B)在所述描述符表与所述第二许可水平相关联时更新所述描述符表，其中所述更新基于所述更新请求；以及在更新所述描述符表之后，(C)将与所述描述符表相关联的许可水平改变成所述第一许可水平，其中所述改变(A)、所述更新(B)、和所述改变(C)限于所述描述符表。7.根据权利要求6所述的系统，所述操作进一步包括：响应于用于访问所述描述符表的请求，访问所述描述符表，其中所述描述符表与所述第一许可水平相关联。8.根据权利要求6所述的系统，其中所述第一许可水平包括只读许可水平，并且其中所述第二许可水平包括读写许可水平。9.根据权利要求6所述的系统，其中所述第一描述符表和所述第二描述符表包括中断描述符表。10.根据权利要求6所述的系统，其中所述第一描述符表和所述第二描述符表包括全局描述符表。11.一种用于增加计算机安全的方法，所述方法包括：将描述符表的访问许可水平设置成第一许可水平；从功能...

【专利技术属性】
技术研发人员：埃里克·R·诺瑟普，
申请(专利权)人：谷歌公司，
类型：发明
国别省市：美国,US