Title: Security containers and access rights in HelenOS Author: Štěpán Henek Department: Department of Software Engineering Supervisor: Mgr. Martin Děcký Supervisor's e-mail address: decky@ksi.mff.cuni.cz Abstract: The goal of this thesis is to design and implement security containers (contexts) for tasks and access rights mechanisms for microkernel operating systems. The access rights mechanisms implement common paradigms such as user identification, groups of users, system entities (tasks, files) ownership, user capabilities and access control lists. Moreover, the design allows to implement hierarchical security domains, where each domain is able to delegate a subset of its permissions to its subdomains. The design also enables the implementa- tion of containers, which mutually isolate those tasks, which are situated in security domains with an empty intersection. The thesis comprises of an analysis and evaluation of possible approaches, a prototype imple- mentation in HelenOS with respect to its specific properties (emphasis on a small context switch overhead, delegation of security mechanisms to privileged user space tasks, etc.) and also com- parison with implementations of security containers and access rights mechanisms in generally available operating systems. Keywords: security contexts, access...

Populaere Betriebssysteme (Windows XP, UNIX) sind in heutiger Zeit meist monolithisch aufgebaut. Durch immer neue nachgewiesene Sicherheitslücken in Kern und Anwendungen wird eindrucksvoll belegt, dass monolithische Architekturen den heutigen Sicherheitsanforderungen nicht mehr gewachsen sind. Dennoch kann man auf die reichhaltige Basis an Anwendungen heutiger Betriebssysteme nicht verzichten. Als Ausweg werden herkoemmliche Betriebssysteme isoliert in einer vertrauenswuerdigen Umgebung ausgeführt. Eine in letzter Zeit immer populaerere Methode zur Kapselung besteht in der Virtualisierung mit verschiedenen Auspraegungen. Mit L4Linux wurde 1997 erstmals nachgewiesen, dass die Ausfuehrung eines Standard-Betriebssystems auf einem Mikrokern (manchmal auch Para-Virtualisierung genannt) nicht zwangslaeufig zu inakzeptablen Mehrkosten an Laufzeit fuehren muss. Bei Einsatz von gebraeuchlicher Standardhardware muessen allerdings eine Reihe von Problemen geloest werden, unter anderem der uneingeschraenkte Zugriff von Geraeten auf den physischen Adressraum mittels DMA. Im Rahmen der Arbeit wird ein allgemeines Modell von IO-Adressraeumen als Erweiterung der virtuellen Adressraeume der CPU eingefuehrt und gezeigt, wie mittels Teil-Virtualisierung von Geraeten IO-Adressraeume in Software emuliert werden koennen. Weiterhin werden anhand von L4Linux Moeglichkeiten eroertert und implementiert, wie Betriebssystem-Kerne vollstaendig gezaehmt und insbesondere ohne IO-Privilegien ausgefuehrt werden koennen. Im Kapitel "Leistungsbewertung" erfolgt eine umfangreiche Evaluation der Implementierung anhand von L4Linux 2.2.

Populaere Betriebssysteme (Windows XP, UNIX) sind in heutiger Zeit meist monolithisch aufgebaut. Durch immer neue nachgewiesene Sicherheitslücken in Kern und Anwendungen wird eindrucksvoll belegt, dass monolithische Architekturen den heutigen Sicherheitsanforderungen nicht mehr gewachsen sind. Dennoch kann man auf die reichhaltige Basis an Anwendungen heutiger Betriebssysteme nicht verzichten. Als Ausweg werden herkoemmliche Betriebssysteme isoliert in einer vertrauenswuerdigen Umgebung ausgeführt. Eine in letzter Zeit immer populaerere Methode zur Kapselung besteht in der Virtualisierung mit verschiedenen Auspraegungen. Mit L4Linux wurde 1997 erstmals nachgewiesen, dass die Ausfuehrung eines Standard-Betriebssystems auf einem Mikrokern (manchmal auch Para-Virtualisierung genannt) nicht zwangslaeufig zu inakzeptablen Mehrkosten an Laufzeit fuehren muss. Bei Einsatz von gebraeuchlicher Standardhardware muessen allerdings eine Reihe von Problemen geloest werden, unter anderem der uneingeschraenkte Zugriff von Geraeten auf den physischen Adressraum mittels DMA. Im Rahmen der Arbeit wird ein allgemeines Modell von IO-Adressraeumen als Erweiterung der virtuellen Adressraeume der CPU eingefuehrt und gezeigt, wie mittels Teil-Virtualisierung von Geraeten IO-Adressraeume in Software emuliert werden koennen. Weiterhin werden anhand von L4Linux Moeglichkeiten eroertert und implementiert, wie Betriebssystem-Kerne vollstaendig gezaehmt und insbesondere ohne IO-Privilegien ausgefuehrt werden koennen. Im Kapitel "Leistungsbewertung" erfolgt eine umfangreiche Evaluation der Implementierung anhand von L4Linux 2.2.