的硬盘驱动器941，从可移动、非易失性磁盘952中读取或向其写入的磁盘驱动器951，以及从诸如⑶ROM或其他光学介质等可移动、非易失性光盘956中读取或向其写入的光盘驱动器955。可以在该示例操作环境中使用的其它可移动/不可移动、易失性/非易失性计算机存储介质包括但不限于，磁带盒、闪存卡、数字多功能盘、数字录像带、固态RAM、固态ROM等等。硬盘驱动器941通常通过诸如接口 940之类的不可移动存储器接口连接到系统总线921，并且磁盘驱动器951和光盘驱动器955通常通过诸如接口 950之类的可移动存储器接口连接到系统总线921。
[0068]以上描述并在图9中示出的驱动器及其相关联的计算机存储介质为计算机910提供了对计算机可读指令、数据结构、程序模块和其他数据的存储。例如，在图9中，硬盘驱动器941被示为存储操作系统944、应用程序945、其他程序模块946(例如超级监督者代码)和程序数据947。注意，这些组件可与操作系统934、应用程序935、其它程序模块936和程序数据937相同，也可与它们不同。操作系统944、应用程序945、其他程序模块946和程序数据947在这里被标注了不同的附图标记是为了说明至少它们是不同的副本。用户可通过诸如平板或者电子数字化仪964、话筒963、键盘962和定点设备961(通常指的是鼠标、跟踪球或触摸垫)等输入设备向计算机910输入命令和信息。图9中未示出的其他输入设备可以包括操纵杆、游戏手柄、圆盘式卫星天线、扫描仪等。这些以及其它输入设备通常通过耦合到系统总线的用户输入接口960连接到处理单元920，但也可通过诸如并行端口、游戏端口或通用串行总线(USB)之类的其它接口和总线结构来连接。监视器991或其他类型的显示设备也经由诸如视频接口 990之类的接口连接至系统总线921。监视器991也可以与触摸屏面板等集成。注意到监视器和/或触摸屏面板可以在物理上耦合至其中包括计算设备910的外壳，诸如在平板型个人计算机中。此外，诸如计算设备910等计算机还可以包括其他外围输出设备，诸如扬声器995和打印机996，它们可以通过输出外围接口 994等连接。
[0069]计算机910可使用到一个或多个远程计算机(诸如，远程计算机980)的逻辑连接而在联网环境中操作。远程计算机980可以是个人计算机、服务器、路由器、网络PC、对等设备或其他常见网络节点，并且通常包括许多或所有以上相对计算机910所描述的元件，但在图9中仅示出了存储器存储设备981。图9中所示的逻辑连接包括一个或多个局域网(LAN)971和一个或多个广域网(WAN)973，但也可以包括其他网络。此类联网环境在办公室、企业范围的计算机网络、内联网和因特网中是常见的。
[0070]当在LAN联网环境中使用时，计算机910通过网络接口或适配器970连接到LAN971。当在WAN联网环境中使用时，计算机910通常包括调制解调器972或用于通过诸如因特网等WAN 973建立通信的其它手段。可为内置或可为外置的调制解调器972可以经由用户输入接口 960或其他合适的机构连接至系统总线921。诸如包括接口和天线的无线联网组件974可以通过诸如接入点或对等计算机等合适的设备耦合到WAN或LAN。在联网环境中，相关于计算机910所示的程序模块或其部分可被存储在远程存储器存储设备中。作为示例而非限制，图9示出了远程应用程序985驻留在存储器设备981上。可以理解，所示的网络连接是示例，也可以使用在计算机之间建立通信链路的其他手段。
[0071]辅助子系统999(例如，用于内容的辅助显示)可经由用户接口 960连接，从而即使计算机系统的主要部分处于低功率状态中，也允许诸如程序内容、系统状态和事件通知等数据被提供给用户。辅助子系统999可连接至调制解调器972和/或网络接口 970，从而在主处理单元920处于低功率状态中时，也允许在这些系统之间进行通信。
[0072]结语
[0073]尽管本发明易于作出各种修改和替换构造，但其某些说明性实施例在附图中示出并在上面被详细地描述。然而应当了解，这不旨在将本发明限于所公开的具体形式，而是相反地，旨在覆盖落入本发明的精神和范围之内的所有修改、替换构造和等效方案。
【主权项】
1.一种方法，包括: 将可寻址存储器空间分为块，其中所述块中的零个或更多个块与另一块整体或部分地寻址相同物理存储，并且其中所述块中的至少一些块与标识所述块的一个或多个执行能力或一个或多个访问能力或两者的策略设置相关联，并包括指示所述块中的代码是否能在系统特权等级执行或所述块中的数据是否能作为系统模式数据被访问的至少一个策略设置，以及 实施对于一请求是否允许代码执行或数据访问，其中所述请求指示所述请求是执行代码还是访问数据以及所述请求的特权等级的指示，包括通过标识与所述请求相关联的块，访问基于所述请求的策略设置以确定所述块的执行或数据访问能力，以及基于所述特权等级、所述请求是执行代码还是访问数据以及与所述请求相关联的所述块的能力来允许或拒绝请求。2.如权利要求1所述的方法，其特征在于，进一步包括向每个块分配标识符，其中块的标识符是该块的可寻址存储器空间内的地址的一部分。3.如权利要求1所述的方法，其特征在于，进一步包括(a)写入所述策略设置，包括写入指示所述块中的代码是否能在用户特权等级执行或者所述块中的数据是否能作为用户模式数据被访问或两者的至少一个策略设置，或(b)写入所述策略设置，包括写入指示所述块中的代码是否能在超级监督者模式中执行或者所述块中的数据是否能作为超级监督者模式数据被访问或两者的至少一个策略设置，或(a)和(b)两者。4.如权利要求1所述的方法，其特征在于，进一步包括将至少一个块细分为页结构，并且其中所述策略设置包括标识所述页结构的执行能力或一个或多个访问能力或所述页结构的执行能力和一个或多个访问能力两者的数据。5.如权利要求1所述的方法，其特征在于，进一步包括锁定所述策略设置的至少一部分。6.一种系统，包括:实施逻辑，所述实施逻辑被配置成阻止代码在与所述代码打算在其中执行的模式不同的另一模式或一不同特权等级执行，且所述实施逻辑被配置成:对照为地址空间的块维持的执行能力数据来评估来自源的与在一地址处的代码执行相关的请求，以确定所述地址是否对应于在其中所述源被允许执行代码的块。7.如权利要求6所述的系统，其特征在于，所述实施逻辑被结合在硬件中或结合在超级监督者或系统模式代码中或其组合，且其中所述请求的源包括用户模式代码、系统模式代码、或超级监督者模式代码。8.如权利要求6所述的系统，其特征在于，块的能力数据包括信息，所述信息指示a)块代码是否仅在用户特权等级、仅在系统特权等级、或仅在超级监督者特权等级能执行，或b)块数据是否仅在用户特权等级、仅在系统特权等级、或仅在超级监督者特权等级能被访问。9.具有计算机可执行指令的一个或多个计算机可读存储介质，所述计算机可执行指令在被执行时执行步骤，所述步骤包括在实施逻辑实施代码执行和数据访问策略，包括处理与代码执行或数据访问相关的请求，以对照策略设置评估所述请求的源和与所述请求相关联的地址，以确定所述请求在与所述请求相关联的所述地址处对于所述源是被允许还是拒绝。10.如权利要求9所述的一个或多个计算机可读存储介质，其特征在于， a)所述请求的源包括系统模式代码，所述地址对应于在与所述代码执行和数据访问策略相对应的策略数据中被指定为仅用户模式或仅超级监督者模式的可寻址空间的块，且实施所述代码执行和数据访问策略包括拒绝所述请求，或 b)所述请求的源包括超级监督者模式代码，所述地址对应于在与所述代码执行和数据访问策略相对应的策略数据中被指定为仅用户模式或仅系统模式的可寻址空间的块，且实施所述代码执行和数据访问策略包括拒绝所述请求。
【专利摘要】本主题涉及使用硬件、超级监督者和特权模式代码中的一者或多者来阻止系统模式代码在系统特权等级访问用户模式数据和/或运行用户模式代码，或反过来。还描述了阻止非超级监督者代码在超级监督者模式中运行或访问仅超级监督者数据，或反过来。由硬件、超级监督者或系统模式代码维持的寄存器含有针对可寻址空间的不同块的数据访问和执行策略，请求方实体(超级监督者模式代码、系统模式代码、用户模式代码)关于所述可寻址空间具有对给定块的访问权或能执行给定块中的代码。当关于一地址执行代码或访问数据的请求被接收时，该请求被处理以确定该地址对应于哪个块。评估针对该块的策略以确定是允许还是拒绝该请求。
【IPC分类】G06F21/14, G06F21/55
【公开号】CN105431858
【申请号】CN201480033836
【发明人】J·E·兰格, J·V·塞尔, L·T·陈, E·O·迈德里奇
【申请人】微软技术许可有限责任公司
【公开日】2016年3月23日
【申请日】2014年6月11日
【公告号】EP3008656A1, US20140372719, WO2014201162A1