23、安全、安保与多核技术的融合发展

安全、安保与多核技术的融合发展

1. 虚拟化与MILS分离内核

在虚拟化环境中，MILS（Multiple Independent Levels of Security）分离内核能够支持管理程序（hypervisor）的实现，管理程序可在该内核之上运行客户操作系统。这种架构赋予了MILS分离内核更强的控制权，能够实施数据隔离并控制数据流，从而防止隐蔽通道的出现。

通常采用两种虚拟化方法：
- 全虚拟化 ：由于有硬件虚拟化支持，客户操作系统可以不加修改地运行。处理器的硬件虚拟化支持使MILS分离内核能在虚拟机环境（或分区）中以较低的处理器特权级别运行客户操作系统，还能阻止客户操作系统访问其虚拟机之外的物理内存。这种数据隔离完全由分离内核实现和控制，不依赖于分区的协作来实现虚拟化。
- 半虚拟化 ：在没有硬件虚拟化支持的情况下，对客户操作系统进行修改以提高系统性能。此时，分离内核使用处理器的内存管理单元（MMU）来实施数据隔离。

为确保虚拟化的安全性，管理程序的实现必须正确，否则可能存在安全隐患或遭受外部攻击，如针对企业环境中使用的Xen管理程序的“Blue Pill攻击”。因此，一些MILS内核采用形式化方法开发，这对于需要通过通用标准（Common Criteria）进行高评估保证级别（EAL）安全评估的系统是必要的，许多情况下要求达到EAL 6+。

基于管理程序的MILS架构还可与DO - 297/ED - 124基于角色的开发方法结合使用。这能按角色（平台供应商、应用开发者和系统集成商）分离配置数据和构建活动，并为系统的增量修改提供可能。