基于强制访问控制的共享用户环境隔离方法、系统及介质技术方案

本发明专利技术公开了一种基于强制访问控制的共享用户环境隔离方法、系统及介质，本发明专利技术方法包括当监测到用户登录成功后获取该用户对应的安全类别，使用该安全类别设置进程安全属性，通过系统登录器继续创建该用户对应的桌面环境，系统登录器派生的进程全部继承该安全类别，系统派生的子进程默认继承父进程的安全类别，进程产生的客体也继承该进程的安全类别；当监测到进程请求相关权限时，通过系统强制访问控制机制依据操作的主、客体安全类别进行权限检查，只有主、客体安全类别存在包含关系时才允许该操作，否则拒绝该权限请求。本发明专利技术能够基于强制访问控制机制来保障共享用户环境下不同用户间的隔离性，提升个人数据的安全性。

Isolation method, system and media of shared user environment based on mandatory access control

【技术实现步骤摘要】
基于强制访问控制的共享用户环境隔离方法、系统及介质
本专利技术涉及操作系统、强制访问控制和虚拟桌面领域，具体涉及一种基于强制访问控制的共享用户环境隔离方法、系统及介质。
技术介绍
在柜台、办公等特定场景下需要多人共用一台计算机，每人使用自己的账号进行登录，各账户间通过自主访问控制机制进行隔离。在虚拟桌面场景下，为了提升单台机器的供给能力会采用共享用户环境的实现方式，即多人使用自己的账号密码通过桌面协议访问相同的机器。共享用户环境共用操作系统内核和系统基础库，较虚拟化相比几乎没有性能损失，在隔离性要求不高且追求性价比的场景下被大量使用。当前共享用户环境下不同用户间的隔离主要依靠操作系统的自主访问控制机制来实现。自主访问控制（DiscretionaryAccessControl，DAC）由客体的属主对自己的客体进行管理，由属主自己决定是否将自己的客体访问权或部分访问权授予其他主体，这种控制方式是自主的。也就是说，在自主访问控制下，用户可以按自己的意愿，有选择地与其他用户共享他的文件。在Linux系统下每个用户都对应一个用户和组，权限包括读（r）、写（w）和执行（x），主体可以设置自己文件对应的访问权限，访问权限分为三段，分别是拥有者权限、组权限和其他用户权限，例如rwxr-xr-x就标识宿主有rwx权限，同组用户有r、x权限，其他用户有r-x权限。共享用户环境就是依赖该自主访问控制机制进行隔离，每个用户使用不同的用户UID，不同用户只能访问和操作自己的文件。但是，这种自主访问控制机制比较简单且仅能限制普通用户间的访问，系统管理员不受该约束限制，当系统存在漏洞时普通用户提权变成管理员后便可以获取和修改其他用户的数据，存在共享用户环境隔离性较弱的缺陷。
技术实现思路
本专利技术要解决的技术问题：针对现有技术的上述问题，提供一种基于强制访问控制的共享用户环境隔离方法、系统及介质，本专利技术能够基于强制访问控制机制来保障共享用户环境下不同用户间的隔离性，提升个人数据的安全性。为了解决上述技术问题，本专利技术采用的技术方案为：本专利技术还提供一种基于强制访问控制的共享用户环境隔离方法，实施步骤包括：监测用户登录，当监测到用户登录成功后获取该用户对应的安全类别，使用该安全类别设置进程安全属性，然后通过系统登录器继续创建该用户对应的桌面环境，系统登录器派生的进程全部继承该安全类别，系统派生的子进程默认继承父进程的安全类别，进程产生的包括文件在内的客体也继承该进程的安全类别；监测进程请求相关权限的操作，当监测到进程请求相关权限时，通过系统强制访问控制机制依据操作的主、客体安全类别进行权限检查，只有主、客体安全类别存在包含关系时才允许该操作，当主、客体安全类别不存在包含关系时则拒绝该权限请求。可选地，所述监测用户登录之前还包括通过安全管理员设置用户的安全类别的步骤。可选地，所述设置用户的安全类别默认每个用户的安全类别都不同以使得每个用户间禁止相互访问。本专利技术还提供一种基于强制访问控制的共享用户环境隔离系统，包括：用户登录监测程序模块，用于监测用户登录，当监测到用户登录成功后获取该用户对应的安全类别，使用该安全类别设置进程安全属性，然后通过系统登录器继续创建该用户对应的桌面环境，系统登录器派生的进程全部继承该安全类别，系统派生的子进程默认继承父进程的安全类别，进程产生的包括文件在内的客体也继承该进程的安全类别；权限访问控制程序模块，用于监测进程请求相关权限的操作，当监测到进程请求相关权限时，通过系统强制访问控制机制依据操作的主、客体安全类别进行权限检查，只有主、客体安全类别存在包含关系时才允许该操作，当主、客体安全类别不存在包含关系时则拒绝该权限请求。可选地，还包括用于通过安全管理员设置用户的安全类别的程序模块。可选地，所述通过设置用户的安全类别的程序模块默认每个用户的安全类别都不同以使得每个用户间禁止相互访问。此外，本专利技术还提供一种基于强制访问控制的共享用户环境隔离系统，包括计算机设备，该计算机设备被编程或配置以执行所述基于强制访问控制的共享用户环境隔离方法的步骤。此外，本专利技术还提供一种基于强制访问控制的共享用户环境隔离系统，包括计算机设备，该计算机设备的存储器上存储有被编程或配置以执行所述基于强制访问控制的共享用户环境隔离方法的计算机程序。此外，本专利技术还提供一种计算机可读存储介质，该计算机可读存储介质上存储有被编程或配置以执行所述基于强制访问控制的共享用户环境隔离方法的计算机程序。和现有技术相比，本专利技术具有下述优点：1、使用本专利技术可以有效提升共享用户环境下各用户之间的隔离性，默认自主访问控制下各用户仅通过UID差异进行区分，当普通用户提权后（如将UID修改为管理员ID,例如linux下修改uid为0）则可以越权访问其他用户的数据，存在数据泄露或被篡改的风险。该专利技术基于内核的强制访问控制机制实现，即使用户突破系统自主访问控制限制将用户UID进行修改也无法访问其他用户的数据，有效保障了数据的安全性。2、当前共享用户环境都是基于传统的自主访问控制机制进行安全隔离，该隔离机制安全性较差数据存在风险，往往为了提升不同用户间的安全隔离会使用虚拟机等其他机制，隔离性增强但成本增加。本专利技术在原有共享用户环境基础上通过引入强制访问控制机制来有效提升系统的隔离性，不仅安全而且成本低廉。附图说明图1为本专利技术实施例方法的基本流程示意图。图2为本专利技术实施例的系统结构示意图。图3为本专利技术实施例的安全类别示意图。图4为本专利技术实施例的用户登录流程示意图。图5为本专利技术实施例的权限检查流程示意图。具体实施方式如图1所示，本实施例基于强制访问控制的共享用户环境隔离方法的实施步骤包括：监测用户登录，当监测到用户登录成功后获取该用户对应的安全类别，使用该安全类别设置进程安全属性，然后通过系统登录器继续创建该用户对应的桌面环境，系统登录器派生的进程全部继承该安全类别，系统派生的子进程默认继承父进程的安全类别，进程产生的包括文件在内的客体也继承该进程的安全类别；监测进程请求相关权限的操作，当监测到进程请求相关权限时，通过系统强制访问控制机制依据操作的主、客体安全类别进行权限检查，只有主、客体安全类别存在包含关系时才允许该操作，当主、客体安全类别不存在包含关系时则拒绝该权限请求。本实施例中，所述监测用户登录之前还包括通过安全管理员设置用户的安全类别的步骤。本实施例中，所述设置用户的安全类别默认每个用户的安全类别都不同以使得每个用户间禁止相互访问。如图2所示采用本实施例基于强制访问控制的共享用户环境隔离方法的操作系统中，系统依赖的强制访问控制机制由内核层实现。强制访问控制机制提供基于安全类别的权限检查机制。用户层上运行多个用户环境，各用户环境共用系统内核和运行库，各用户环境拥有各自的安全类别，各用户安全类别不同，相互间禁止访问。本实施例中系统本文档来自技高网...

【技术保护点】
1.一种基于强制访问控制的共享用户环境隔离方法，其特征在于实施步骤包括：/n监测用户登录，当监测到用户登录成功后获取该用户对应的安全类别，使用该安全类别设置进程安全属性，然后通过系统登录器继续创建该用户对应的桌面环境，系统登录器派生的进程全部继承该安全类别，系统派生的子进程默认继承父进程的安全类别，进程产生的包括文件在内的客体也继承该进程的安全类别；/n监测进程请求相关权限的操作，当监测到进程请求相关权限时，通过系统强制访问控制机制依据操作的主、客体安全类别进行权限检查，只有主、客体安全类别存在包含关系时才允许该操作，当主、客体安全类别不存在包含关系时则拒绝该权限请求。/n

【技术特征摘要】
1.一种基于强制访问控制的共享用户环境隔离方法，其特征在于实施步骤包括：
监测用户登录，当监测到用户登录成功后获取该用户对应的安全类别，使用该安全类别设置进程安全属性，然后通过系统登录器继续创建该用户对应的桌面环境，系统登录器派生的进程全部继承该安全类别，系统派生的子进程默认继承父进程的安全类别，进程产生的包括文件在内的客体也继承该进程的安全类别；
监测进程请求相关权限的操作，当监测到进程请求相关权限时，通过系统强制访问控制机制依据操作的主、客体安全类别进行权限检查，只有主、客体安全类别存在包含关系时才允许该操作，当主、客体安全类别不存在包含关系时则拒绝该权限请求。


2.根据权利要求1所述的基于强制访问控制的共享用户环境隔离方法，其特征在于，所述监测用户登录之前还包括通过安全管理员设置用户的安全类别的步骤。


3.根据权利要求2所述的基于强制访问控制的共享用户环境隔离方法，其特征在于，所述设置用户的安全类别默认每个用户的安全类别都不同以使得每个用户间禁止相互访问。


4.一种基于强制访问控制的共享用户环境隔离系统，其特征在于包括：
用户登录监测程序模块，用于监测用户登录，当监测到用户登录成功后获取该用户对应的安全类别，使用该安全类别设置进程安全属性，然后通过系统登录器继续创建该用户对应的桌面环境，系统登录器派生的进程全部继承该安全类别，系统派生的子进程默认继承父进程的安全类别...

【专利技术属性】
技术研发人员：孙利杰，杨鹏举，欧阳殷朝，胡智峰，夏华，李广辉，陈松政，刘文清，杨涛，
申请(专利权)人：湖南麒麟信安科技有限公司，
类型：发明
国别省市：湖南;43