基於虛擬化與體系結構支持的移動平台系統安全研究

《基於虛擬化與體系結構支持的移動平台系統安全研究》是依託上海交通大學，由夏虞斌擔任項目負責人的青年科學基金項目。

基本介紹

• 中文名：基於虛擬化與體系結構支持的移動平台系統安全研究
• 項目類別：青年科學基金項目
• 項目負責人：夏虞斌
• 依託單位：上海交通大學

項目摘要

隨著移動設備的廣泛套用，其安全問題日益嚴重，其中挑戰主要來自於移動平台的以下特點：首先，用戶隱私數據集中，使移動設備極易成為攻擊目標；其次，豐富的功能使軟體系統日趨複雜，潛在漏洞也隨之增加；再次，設備容易丟失或被竊，使攻擊者可使用包括物理攻擊在內的多種攻擊手段。已有研究大多集中在套用層與作業系統層，主要檢測已知的惡意軟體以及防禦已知的安全漏洞，且依賴於龐大的可信計算基。本項目擬從硬體層與虛擬化層自底向上地探索一種通用的、保護力度更強的安全機制。一方面，利用在伺服器領域取得重大突破的虛擬化安全技術，研究對移動平台關鍵數據和代碼的不同層次的安全監控、安全隔離、可控互動等技術；另一方面，結合移動端的安全硬體，在減小可信計算基的同時，為上層軟體提供安全支撐，並進一步擴展體系結構以抵禦物理攻擊。研究以保證對現有移動套用的兼容性為前提，充分考慮移動平台計算的限制，在提高安全性的同時保證系統實用性。

結題摘要

以智慧型手機為代表的移動設備正越來越多地被套用在人們的日常工作與生活中。然而，惡意軟體層出不窮，對人們的生活、財產等產生了巨大的影響。在移動平台的新環境中， 傳統的事後防禦機制已經被證明對此無能為力，移動平台亟需安全的事先防禦能力。這主要包括三個原因：(1) 不同安全等級的套用混雜共存；(2) 現有移動平台的計算可信基過大；(3) 移動設備更易遭受物理攻擊。針對移動計算平台的特點，在兼容現有移動套用的前提下，充分利用虛擬化技術與移動平台的可信硬體特點，支持不同層次的安全隔離與可控互動，提供對用戶關鍵數據與 計算過程的隱私性和完整性保護，並在此基礎上提出對體系結構的改進，為提高移動平台的安全性提供更有力的支撐。 本項目包含三個研究內容：基於移動平台虛擬化技術的多層次安全隔離與可控互動技術，基於移動平台可信硬體的安全增強關鍵技術，以及面向移動平台安全的體系結構擴展技術。首先基於ARM TrustZone 硬體機制實現了 T6 系統，作為後續工作的重要基礎。在關鍵操作的審計方面，通過T6提供了兩個可審計的關鍵操作原語：“不可偽造點擊”和“可驗證顯示”，並進而實現可驗證的廣告點擊，從而防禦惡意的廣告欺詐攻擊。在虛擬化的隔離方面，基於可信代理的關鍵數據保護系統TrustProxy，以解決移動平台數據的物理安全問題為目的，通過對虛擬化隔離來保護關鍵數據。在可信安全與互動方面，基於安全路徑的可信用戶界面TrustUI，可在安全模式下提供安全的輸入與顯示功能，實現與現有系統的安全隔離。在系統結構對系統安全的支撐上，我們提出了對現有系統結構的改進方案，以支持更搞笑的系統安全實現。為進一步增強系統軟體的安全性，利用硬體虛擬化技術對系統軟體進行安全增強，本課題還研究了系統軟體與安全硬體的整合方式，並實現了對Hypervisor的解構以提高其安全。 總計發表論文10篇，其中CCF A類會議4篇，CCF B類會議3篇，IEEE Transaction 1篇；申請專利6項。實現了國內第一個基於TrustZone的開源作業系統T6，獲得了2015年“挑戰杯”全國特等獎。該作業系統能夠與安卓等普通移動平台作業系統同時運行，且維護了一個可信執行環境（TEE）。T6目前已經正式對外發布，並被中科院軟體所、信工所、新加坡國立大學等多家研究機構使用。