-
公开(公告)号：CN114035886B
公开(公告)日：2023-10-03
申请号：CN202111144132.8
申请日：2021-09-28
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种针对内核数据的容器安全加固系统及方法。本方法为：1)根据容器采用的内核安全机制，确定出关键内核数据并将其存储至安全区；其中所述安全区为系统内存中划分出的一块内存区域，该块内存区域设置为普通执行环境只读不可写、可信执行环境可读可写；2)当内核在普通执行环境更新该安全区的数据时，因其不具有写权限而产生页表异常，异常处理函数中解析产生异常的指令，得到该内核更新操作所更新的数据地址以及需写入的数据内容并传入可信执行环境；3)在可信执行环境内的数据更新模块基于设定的安全策略和传入的数据，允许或拒绝对安全区数据的更新操作。本发明能够抵御因内核漏洞造成的提权及逃逸攻击。
-
公开(公告)号：CN114035886A
公开(公告)日：2022-02-11
申请号：CN202111144132.8
申请日：2021-09-28
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种针对内核数据的容器安全加固系统及方法。本方法为：1)根据容器采用的内核安全机制，确定出关键内核数据并将其存储至安全区；其中所述安全区为系统内存中划分出的一块内存区域，该块内存区域设置为普通执行环境只读不可写、可信执行环境可读可写；2)当内核在普通执行环境更新该安全区的数据时，因其不具有写权限而产生页表异常，异常处理函数中解析产生异常的指令，得到该内核更新操作所更新的数据地址以及需写入的数据内容并传入可信执行环境；3)在可信执行环境内的数据更新模块基于设定的安全策略和传入的数据，允许或拒绝对安全区数据的更新操作。本发明能够抵御因内核漏洞造成的提权及逃逸攻击。
-
公开(公告)号：CN115828252A
公开(公告)日：2023-03-21
申请号：CN202211235146.5
申请日：2022-10-10
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种可更新信任根的移动终端安全启动方法，其步骤包括：1)将安全启动系统的代码存储到移动终端内可读写存储介质被首先启动的启动分区，将启动引导程序存储到可读写存储介质其他启动分区；在介质的数据区设置用于存储操作系统镜像的系统分区和用于存储控制信息的安全启动辅助分区；2)通过配置移动终端的启动选项，使移动终端从介质中读取安全启动系统的相关代码并执行；安全启动系统根据控制信息确定是否更新移动终端的信任根；如果需要更新，则完成信任根更新后进行步骤3)；如果不需要更新，则直接进行步骤3)；3)将安全启动系统所在分区设置为只读后对将要启动的操作系统镜像进行完整性验证，并启动引导程序完成系统启动。
-
-
Search Results
3
records
(took 0.02 seconds)
