0026]如附图1所示，该基于签名机制控制ELF文件运行的方法主要构成部件包括系统控制、文件签名、区域划分、ELF文件执行控制程序、特殊区域、默认区域、自学习区域及管理员自定义的控制区域和存放配置文件的数据库。
[0027]其中:系统控制是整个方法的实施部件，所有策略的生成、配置、下发都由该部件完成；文件签名为对ELF文件签名和保存到数据库中的部件；区域划分是用来生成区域及区域签名的部件；ELF文件控制程序用来截获ELF文件执行并校验其签名；默认区域为具有全部操作权限的区域，不对程序做任何限制；特殊区域仅允许系统控制程序、文件签名程序、区域划分程序程序执行，对数据库由读写权限，对其它文件仅具有读的权限；自学习区域记录程序的操作，并汇总到数据库；区域控制为管理员自己创建的区域，这个区域中仅允许执行规定的操作(如读、写、创建、删除等)和访问规定的文件，其它操作或者文件将执行拒绝动作。
[0028]如附图2所示，所述方法实施前，首先进行系统初始化步骤，系统在初始化时，首先要搜索整个系统下的ELF文件，然后对每个ELF文件签发证书，将这些证书放到数据库中，将保存到数据库中的文件划分到不同的区域中。默认情况下搜索到的文件都划分到默认区域。最后系统转让为自学习模式运行。
[0029]如附图3所示，在系统运行过程中，对每个程序的控制根据模式、校验、区域进行控制。当程序运行时，首先判断工作模式:禁用模式下，判断是否属于特殊区域，若不属于特殊区域直接运行，若属于特殊区域则进入特殊区域执行，受特殊区域限制；自学习模式下，校验ELF签名，不存在签名，进入自学习区域执行，若存在签名且失败，阻止运行，若成功，判断所属区域进入该区域执行，受该区域限制；强制模式下，校验ELF签名，不存在签名阻止运行，若存在签名且校验失败阻止运行，若成功判断所属区域进入该区域执行。
[0030]如附图4所示，区域控制是控制程序的执行行为，如限制程序执行的操作及操作对象。该方法建立的系统下，每个操作对象必须属于一个或多个区域，若一个文件不在任何一个区域内，这个文件是不被允许访问的。可限制的操作有:创建、修改、删除文件、创建进程等；可限制的操作对象为磁盘上存在的所有文件。
[0031]上述【具体实施方式】仅是本发明的具体个案，本发明的专利保护范围包括但不限于上述【具体实施方式】，任何符合本发明的一种基于签名机制控制ELF文件运行的方法的权利要求书的且任何所述技术领域的普通技术人员对其所做的适当变化或替换，皆应落入本发明的专利保护范围。
【主权项】
1.一种基于签名机制控制ELF文件运行的方法，其特征在于，其具体实现过程为: 对整个系统运行空间进行区域划分，即通过签名机制实现对系统运行空间的区域划分，通过签名机制控制每个区域的安全级别，不同的签名具有不同的安全级别； 应用程序运行在特定的区域中，即应用程序在启动、运行、关闭的整个运行过程中，首先根据签名判断程序是否能够运行，其次根据程序所属区域限制其执行权限和操作行为。2.根据权利要求1所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，所述方法实施前，首先进行系统初始化步骤，首先要搜索整个系统下的ELF文件，然后对每个ELF文件签发证书，将这些证书放到数据库中，将保存到数据库中的文件划分到不同的区域中。3.根据权利要求1所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，所述签名机制包括两部分内容:一部分是完成区域签名，该签名首先是将系统下的ELF文件签名，对ELF文件划分区域后，完成对区域的签名；另一部分是控制ELF文件在不同区域的执行。4.根据权利要求3所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，所述签名机制下存在三种工作模式:强制、自学习和禁用模式，其中强制模式下，只有符合签名规则的ELF文件才允许在制定的区域中运行；自学习模式下，程序自由运行，记录其在运行过程中的动作，自动划分区域和分配动作；禁用模式下，该签名机制将被关闭。5.根据权利要求4所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，在上述三种不同的模式下，程序的控制模式不同，其中强制模式下一个程序必须属于一个区域，并在该区域中执行规定的操作及操作对象，否则该程序将不允许执行；自学习模式下，程序的执行首先必须符合强制模式，若一个程序不属于任何一个区域中，在学习模式下将运行在单独一个学习的区域中，学习完毕后由系统分配器所属区域，当有系统自动分配的程序时，给出告警提示，由管理员确认其安全性。6.根据权利要求5所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，对ELF文件的签名和校验是通过读取ELF文件头和特定算法选取的ELF文件数据、签名者信息、签名时间、签名算法生成散列值实现的，并将该散列值存储到预先留出的特定区域；校验时通过相同的签名算法读取文件信息生成散列值，并将散列值与库中值进行校验；该存储区域只运行签名程序读取和写入到特定文件的操作，只允许校验程序读取特定文件操作。7.根据权利要求6所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，所述签名内容保存到系统的特定区域中，该特定区域是指数据加密存储在硬盘数据库中，该区域数据只允许签名和校验程序读取和写入。8.根据权利要求7所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，所述步骤二中，系统运行过程中，对每个程序的控制根据模式、校验、区域进行控制:当程序运行时，首先判断工作模式:禁用模式下，判断是否属于特殊区域，若不属于特殊区域直接运行，若属于特殊区域则进入特殊区域执行，受特殊区域限制；自学习模式下，校验ELF签名，不存在签名，进入自学习区域执行，若存在签名且失败，阻止运行，若成功，判断所属区域进入该区域执行，受该区域限制；强制模式下，校验ELF签名，不存在签名阻止运行，若存在签名且校验失败阻止运行，若成功判断所属区域进入该区域执行。9.根据权利要求1-8任一所述的一种基于签名机制控制ELF文件运行的方法，其特征在于，所述系统的整体框架包括系统控制、文件签名、区域划分、ELF文件执行控制程序、特殊区域、默认区域、自学习区域及管理员自定义的控制区域和存放配置文件的数据库，其中: 系统控制用于完成所有策略的生成、配置、下发部件；文件签名为对ELF文件签名和保存到数据库中的部件；区域划分是用来生成区域及区域签名的部件；ELF文件控制程序用来截获ELF文件执行并校验其签名；默认区域为具有全部操作权限的区域，不对程序做任何限制；特殊区域仅允许系统控制程序、文件签名程序、区域划分程序程序执行，对数据库由读写权限，对其它文件仅具有读的权限；自学习区域记录程序的操作，并汇总到数据库；区域控制为管理员自己创建的区域，这个区域中仅允许执行规定的操作和访问规定的文件，这里的规定操作包括读、写、创建、删除，其它操作或者文件将执行拒绝动作。
【专利摘要】本发明公开了一种基于签名机制控制ELF文件运行的方法，其具体实现过程为：对整个系统运行空间进行区域划分，即通过签名机制实现对系统运行空间的区域划分，通过签名机制控制每个区域的安全级别，不同的签名具有不同的安全级别；应用程序运行在特定的区域中，即应用程序在启动、运行、关闭的整个运行过程中，首先根据签名判断程序是否能够运行，其次根据程序所属区域限制其执行权限和操作行为。该一种基于签名机制控制ELF文件运行的方法与现有技术相比，适用于系统环境相对稳定的工作环境，通过签名和区域控制技术确保ELF文件的可靠性和运行过程的可控性；该过程易于实现，操作简单，实用性强，易于推广。
【IPC分类】G06F21/51, G06F21/74
【公开号】CN105426749
【申请号】CN201510735067
【发明人】戴纯兴
【申请人】浪潮电子信息产业股份有限公司
【公开日】2016年3月23日
【申请日】2015年11月3日