Аппаратные средства защиты информационных систем

Создание узла произвольного объема для хранения данных

После появления новый узел должен быть

• пуст
• доступен только данному обрабатывающему устройству и только через данную ссылку

Удаление узла.

• попытка использования ссылок на удаленные узлы должна приводить к системным прерываниям

Смена контекста или смена процедуры исполняемой обрабатывающим устройством.

Новый контекст состоит из трех частей:

• глобальные переменные, переданные по ссылке из старого контекста
• часть, переданная копированием значения (параметры)
• локальные данные, созданные в новом модуле

Общие методы и требования к переключению контекста:

• Идентификация нового контекста (например, особая ссылка на него, позволяющая лишь переключаться между контекстами)
• Непосредственно переключение контекста(исполнение старого кода после переключения контекста запрещено, исходя из принципов защищенности)
• Операции формирования ссылки или другой структуры для идентификации и переключения контекста

Реализации могут быть разными(в том числе и без особых ссылок), но должны быть выдержаны основные принципы:

• точки входа в контекст формируются внутри самого этого контекст
• эта информация делается доступной другим контекстам
• код и контекст переключаются одновременно

1. Защищенность системы базируется на следующих принципах:
   • доступ к узлу имеет только модуль, создавший его, если только он добровольно не передаст ссылку кому-либо еще
   • множество данных, доступных модулю, в любой момент времени строго контролируется контекстом
2. Результирующая защита предельно строгая, но она не ограничивает возможности программиста. Различные не пересекающиеся модули могут работать в одной программе, вызывая друг друга и обмениваясь данными. Для этого достаточно, чтобы каждый из них содержал особую ссылку для переключения контекста на другой.
3. Построенная система значительно упрощает поиск и исправление ошибок благодаря строгому контролю типов. Например, попытка изменить ссылку сразу приведет к аппаратному прерыванию в месте ошибки. После чего её легко можно отследить и исправить.
4. Обеспечивается модульность программирования. Неправильная работа программы никак не повлияет на другие. «Испорченный» модуль может лишь выдать неверные результаты.
5. Для использования системы от программиста не требуется дополнительных усилий. Кроме того, при написании программы под такую модель уже нет необходимости дополнительно оговаривать права доступа, способы их передачи и т. д.

В ссылке содержится описание области(дескриптор) на которую она ссылается и права доступа. Дескриптор обязательно содержит базовый адрес и размер данных.

Возможны следующие форматы дескриптора:

• дескриптор объекта
• дескриптор массива

Дескриптор объекта служит для поддержания объектно-ориентированного программирования и содержит дополнительно описание приватной и публичной областей. Обращение в публичную область стандартно(сложение базового адреса и индекса вместе с последующим контролем размера. Если в командах обращения в память стоит признак приватных данных, то для разрешения обращения проверяется специальный регистр в процессоре, который хранит тип объекта, когда работают программы обработки данного типа. Таким образом, внутри программы становятся доступными приватные данные объектов этого типа.

При доступе к ячейке памяти проверяется корректность ссылки.

Важные операции для работы со ссылками:

• индексация(выработка ссылки на элемент массива)
• операция CAST для дескрипторов объекта(преобразование к базовому классу)
• компактировка(уничтожает ссылки на удаленную память и плотно компактирует занятую память)

Контекст модуля состоит из данных хранящихся в оперативной памяти и в файлах, и подается в виде ссылки на регистры процессора.

Переключение контекста — это, по сути, вызов процедуры или возврат из неё. При запуске процедуры полный контекст исходного модуля сохраняется, а нового — создается. При выходе из процедуры её контекст уничтожается.

При реализации процедурного механизма в Эльбрусе, для повышения эффективности выделения памяти для локальных данных используется механизм стека.

Стековские данные подразделяются на три группы по своим функциональным характеристикам и уровню доступности для пользователя:

• параметры, локальные данные и промежуточные значения процедуры, размещенные в оперативных регистрах(стек процедур);
• параметры и локальные процедуры, размещенные в памяти(стек пользователя);
• «связующая информация», описывающая предыдущую (запустившую) процедуру в стеке процедур(стек связующей информации);

Стек процедур предназначен для данных, вынесенных на оперативные регистры. Каждая процедура работает только в своем окне, которое может пересекаться с предыдущим окном областью параметров (она же является областью возвращаемых значений). Обращение за данными (для пользователя) возможно только в текущее окно, всегда расположенное на оперативных регистрах.

Стек пользователя предназначен для данных, которые пользователь считает нужным разместить в памяти.

Стек связующей информации предназначен для размещения информации о предыдущей (вызвавшей) процедуре и используемой при возврате. При защищенном программировании пользователь не должен иметь возможность изменять эту информацию, поэтому для неё выделен специальный стек, доступный только операционной системе и аппаратуре. Стек связующей информации устроен так же, как стек процедур.

Поскольку в стеке виртуальная память переиспользуется, встает проблема защиты данных. Она имеет два аспекта:

• переиспользование памяти (выделение ранееосвобожденного пространства). В этой памяти могут, к примеру, оказаться ссылки, недоступные модулю при правильной работе
• «зависшие» указатели(ссылки старого владельца на переиспользуемую память)

Первая проблема решается автоматической чисткой переиспользуемой памяти. Принцип решения второй проблемы следующий. Указатели на текущий фрейм процедуры можно сохранять только в текущем фрейме, либо передавать в качестве параметра в вызываемую процедуру (передавать вверх по стеку). Соответственно, указатель не может быть ни записан в глобальные данные, ни передан в качестве возвращаемого значения, ни записан в глубину стека.