一种基于用户的操作系统外设接入权限控制方法
【专利摘要】本发明公开了一种基于用户的操作系统外设接入权限控制方法，实施步骤如下：1）建立设备特征数据库，将用户分类为不同的用户角色，建立设备使用策略、强制访问控制开关，分别建立用户访问控制列表、用户组访问控制列表、用户角色访问控制列表；更新所有强制访问控制开关的状态；2）建立并维持系统会话列表；3）实时监控操作系统中的设备变化，4）根据外设设备类型确定最终访问权限信息，基于强制访问控制开关和最终访问权限信息来控制操作系统中用户对外设的使用。本发明具有外设识别能力强、安全可靠、稳定性好、通用性好、扩展性强、防止恶意软件破坏能力强、控制粒度细、整体灵活度高的优点。
【专利说明】一种基于用户的操作系统外设接入权限控制方法
【技术领域】
[0001]本发明涉及计算机安全【技术领域】，具体涉及一种基于用户的操作系统外设接入权限控制方法。
【背景技术】
[0002]随着便携存储设备和可移动设备的普及，数据泄漏对商业公司和企业威胁性越来越高。像USB存储设备、扫描仪、光驱刻录器可以在IT管理员未察觉的情况下顺利接入公司网络，从而导致企业机密数据被公开。便携设备的使用同时也为病毒和恶意软件入侵系统提供了方便，并最终危害着整个公司的网络。公司和企业需要在保持工作效率的同时，确保只有信任的设备才能接入系统，经过许可的用户才能使用设备，从而保证企业数据的安全。
[0003]现有技术在信息系统中单个节点的操作系统中，控制外部设备使用包含如下方法:1)修改内核，控制底层设备驱动，添加读写函数中的过滤操作。这些方法虽然可以从根本上控制设备的使用，但是部署时需要替换当前系统内核，对于需要特殊内核的机器来说，这样代价太大。该方法需要对控制的各种设备的驱动程序进行修改，工作量大，部署麻烦。2)强制加载或卸载设备驱动程序模块。当设备被禁用的时候卸载驱动模块，设备被启用的时候加载驱动模块。这种方法要求驱动程序被编译成模块加载进系统，而且对设备的使用只有可用和禁用两种控制方式，粒度比较粗，而且无法根据用户来进行区分控制。综上所述，现有设备封控方法中存在的控制粒度粗、控制方式单一的问题。
【发明内容】
[0004]本发明要解决的技术问题是:针对现有技术存在的上述技术问题，提供一种外设识别能力强、安全可靠、稳定性好、通用性好、扩展性强、防止恶意软件破坏能力强、控制粒度细、整体灵活度高的基于用户的操作系统外设接入权限控制方法。
[0005]为了解决上述技术问题，本发明采用的技术方案为:
一种基于用户的操作系统外设接入权限控制方法，其实施步骤如下:
O建立包含用于对外设进行分类的设备特征数据库；将操作系统中的用户分类为不同的用户角色，建立用于配置是否允许各个用户角色使用指定设备类型的设备使用策略、用于控制是否允许各个用户角色使用指定设备类型的强制访问控制开关，分别建立包含是否启用用户控制以及用户对指定设备类型的访问权限信息的用户访问控制列表、包含是否启用用户组控制以及用户组对指定设备类型的访问权限信息的用户组访问控制列表、包含是否启用用户角色控制以及用户角色对指定设备类型的访问权限信息的用户角色访问控制列表；在操作系统启动时根据设备使用策略更新操作系统中所有强制访问控制开关的状态；
2)在操作系统中建立并维持包含所有会话用户信息的系统会话列表；
3)实时监控操作系统中的设备变化，当检测到当前外设接入时跳转执行下一步；
4)扫描当前外设的信息并根据所述设备特征数据库确定设备类型，获取当前外设对应的当前会话用户，以当前会话用户、当前外设的设备类型作为索引依次查询所述用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息，根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的使用权限，然后基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设。
[0006]优选地，所述步骤I)中在操作系统启动时根据所述设备使用策略更新操作系统中所有强制访问控制开关的状态的详细步骤如下:
1.1)在操作系统启动时，获取操作系统中的所有用户角色；
1.2)针对每一个用户角色，获取该用户角色在设备使用策略中所有类型的外设；
1.3)针对每一种类型的外设，判断该用户角色在设备使用策略中是否允许使用指定设备类型，如果允许使用，则打开该用户角色针对该指定设备类型的强制访问控制开关，否贝1J，则关闭该用户角色针对该指定设备类型的强制访问控制开关。
[0007]优选地，所述步骤4)的详细步骤如下:
4.1)扫描当前外设的信息并根据所述设备特征数据库确定设备类型；
4.2)判断设备类型是否为字符设备，如果设备类型是字符设备，则跳转执行步骤4.3);否则如果设备类型是存储设备，则跳转执行步骤4.7);
4.3)读取系统会话列表，如果读取成功则从系统会话列表中选择一个会话用户作为当前会话用户，跳转执行下一步；否则结束并退出；
4.4)以当前会话用户、当前外设的设备类型作为索引依次查询所述用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息；
4.5)判断所述最终访问权限信息是否允许当前会话用户使用当前外设，如果不允许则进行下一个当前会话用户的处理直至所有当前会话用户处理完毕；如果允许则跳转执行步骤 4.6)；
4.6)根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的访问权限，基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设；判断当前会话用户是否为系统会话列表中的最后一个会话用户，如果不是则从系统会话列表中选择一个会话用户作为当前会话用户，跳转执行步骤4.4)，否则结束并退出；
4.7)获取操作系统中当前会话对应的当前会话用户；
4.8)以当前会话用户、当前外设的设备类型作为索引依次查询所述用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息；
4.9)判断所述最终访问权限信息是否允许当前会话用户使用当前外设，如果不允许则结束并退出；如果允许则跳转执行步骤4.10);
4.10)根据最终访问权限信息设置当前会话用户对当前外设对应的设备文件的挂载权限及挂载用户选项并将当前外设挂载，然后基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设，结束并退出。
[0008]优选地，所述步骤4.4)和4.8)的详细步骤如下:
4.4.1)获取当前会话用户；
4.4.2)获取当前会话用户所属的用户组；
4.4.3)获取当前会话用户的用户角色；
4.4.4)检查所述用户访问控制列表，判断所述用户访问控制列表是否启用用户控制，如果启用用户控制，则向所述用户访问控制列表查询当前会话用户的用户权限，在收到查询返回的用户权限后跳转执行下一步；否则如果未启用用户控制，则返回用户权限为空，跳转执行下一步；
4.4.5)检查所述用户组访问控制列表，判断所述用户组访问控制列表是否启用用户组控制，如果启用用户组控制，则向所述用户组访问控制列表查询当前会话用户的用户组权限，在收到查询返回的用户组权限后跳转执行下一步；否则如果未启用用户控制，则返回用户组权限为空，跳转执行下一步；
4.4.6)检查所述用户角色访问控制列表，判断所述用户角色访问控制列表是否启用用户角色控制，如果启用用户角色控制，则向所述用户角色访问控制列表查询当前会话用户的用户角色权限，在收到查询返回的用户角色权限后跳转执行下一步；否则如果未启用用户控制，则返回用户角色权限为空，跳转执行下一步；
4.4.7)将用户权限、用户组权限、户角色权限三者取交集，将取交集得到用户权限、用户组权限、户角色权限三者中的最小权限作为当前会话用户对当前外设的最终访问权限信息。
[0009]本发明基于用户的操作系统外设接入权限控制方法具有下述优点:
1、本发明通过建立设备特征数据库以对外设进行分类，在当前外设接入时扫描当前外设的信息并根据设备特征数据库确定设备类型，以当前会话用户、当前外设的设备类型作为索引依次查询用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息，根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的使用权限，通过对外部接入外设进行分类处理，能够有效识别外部接入设备，具有外设识别能力强、安全可靠、稳定性好、通用性好、扩展性强的优点。
[0010]2、本发明将操作系统中的用户分类为不同的用户角色，建立用于配置是否允许各个用户角色使用指定设备类型的设备使用策略、用于控制是否允许各个用户角色使用指定设备类型的强制访问控制开关，而且针对用户角色还建立包含是否启用用户角色控制以及用户角色对指定设备类型的访问权限信息的用户角色访问控制列表，从而实现了针对包括超级用户在内的所有用户以不同用户角色为粒度的设备使用控制，从根本上解决了超级用户权限无法控制的问题，具有防止恶意软件破坏能力强、安全可靠的优点。
[0011]3、本发明在设备类型识别的基础上，根据分别查询用户访问控制列表、用户组访问控制列表、用户角色访问控制列表返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息，根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的使用权限，通过最终访问权限信息能够提供禁用、只读、读写、禁止执行等多种权限控制，具有控制粒度细的优点。
[0012]4、本发明分别建立用户访问控制列表、用户组访问控制列表、用户角色访问控制列表，根据分别查询用户访问控制列表、用户组访问控制列表、用户角色访问控制列表返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息，从而实现了用户、用户组、用户身份三种权限控制模式，各种控制模式可以根据需要打开或关闭，也可自由组合，整体灵活度高、安全可靠。
【专利附图】
【附图说明】
[0013]图1为本发明实施例的方法流程示意图。
[0014]图2为本发明实施例中更新强制访问控制开关状态的实施流程示意图。
[0015]图3为本发明实施例步骤4)的实施流程示意图。
[0016]图4为本发明实施例步骤4.4)的详细实施流程示意图。
【具体实施方式】
[0017]如图1所示，本实施例基于用户的操作系统外设接入权限控制方法的实施步骤如下:
O建立包含用于对外设进行分类的设备特征数据库；将操作系统中的用户分类为不同的用户角色，建立用于配置是否允许各个用户角色使用指定设备类型的设备使用策略、用于控制是否允许各个用户角色使用指定设备类型的强制访问控制开关，分别建立包含是否启用用户控制以及用户对指定设备类型的访问权限信息的用户访问控制列表、包含是否启用用户组控制以及用户组对指定设备类型的访问权限信息的用户组访问控制列表、包含是否启用用户角色控制以及用户角色对指定设备类型的访问权限信息的用户角色访问控制列表；在操作系统启动时根据设备使用策略更新操作系统中所有强制访问控制开关的状态；
2)在操作系统中建立并维持包含所有会话用户信息的系统会话列表；
3)实时监控操作系统中的设备变化，当检测到当前外设接入时跳转执行下一步；
4)扫描当前外设的信息并根据设备特征数据库确定设备类型，获取当前外设对应的当前会话用户，以当前会话用户、当前外设的设备类型作为索引依次查询用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息，根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的使用权限，然后基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设。
[0018]在操作系统中往往用户众多，为了便于管理，强制访问控制系统通过给用户分配身份来完成权限的分配与限制，不同用户身份往往拥有不同的权限。root用户作为Linux系统中的超级用户，权限过大。本实施例将操作系统中的用户(包括root用户)分类为不同的用户角色，建立用于配置是否允许各个用户角色使用指定设备类型的设备使用策略、用于控制是否允许各个用户角色使用指定设备类型的强制访问控制开关，通过上述开关实现对root用户设备使用的有效控制，当开关开启的时候，控制规则生效，访问将被许可，开关关闭的时候，控制规则不生效，访问将被禁止，对访问的控制更加安全可靠，实现了针对不同用户角色的设备使用控制，而且针对外设对应的设备文件，根据最终访问权限信息分别设置外设对应的设备文件的使用权限，然后基于强制访问控制开关当前外设对应的设备文件的访问权限来控制操作系统中用户对外设的使用，从根本上解决了超级用户权限无法控制的问题，具有防恶意破坏能力强、安全可靠的优点。
[0019]每个外设厂商都会在自己的设备产品中写入制造商、厂家、型号和序列号等信息，内核中设备驱动的加载就是基于设备制造商和设备型号来进行匹配加载的，通过对各种设备制造商和型号数据的收集，形成设备特征数据库，那么在外部设备接入计算机之后，通过获取设备的相关属性信息，并将其与设备数据库信息进行匹配，便可以确定设备类型。
[0020]如图2所示，步骤I)中在操作系统启动时根据设备使用策略更新操作系统中所有强制访问控制开关的状态的详细步骤如下:
1.1)在操作系统启动时，获取操作系统中的所有用户角色；
1.2)针对每一个用户角色，获取该用户角色在设备使用策略中所有类型的外设；
1.3)针对每一种类型的外设，判断该用户角色在设备使用策略中是否允许使用指定设备类型，如果允许使用，则打开该用户角色针对该指定设备类型的强制访问控制开关，否贝1J，则关闭该用户角色针对该指定设备类型的强制访问控制开关。
[0021 ] Linux系统是多用户系统，多个用户可以同时在线，同时意味着，当设备插入的时候，每个用户都可以看到该设备。为了确定设备的真正使用者，就必须维持系统中的会话信息，Linux下的会话管理器，在会话发生变化的时候，会发出消息，步骤2)中系统通过监听会话变化消息，便可以实现对系统会话的监控。在系统启动的时候建立系统会话列表，有新的会话建立的时候，就向会话管理器查询会话的详细信息，并保存在系统会话列表中，当用户退出登录，会话注销的时候，就从系统会话列表中删除对应的用户信息。
[0022]如图3所示，步骤4)的详细步骤如下:
4.1)扫描当前外设的信息并根据设备特征数据库确定设备类型；
4.2)判断设备类型是否为字符设备，如果设备类型是字符设备，则跳转执行步骤4.3);否则如果设备类型是存储设备，则跳转执行步骤4.7);
4.3)读取系统会话列表，如果读取成功则从系统会话列表中选择一个会话用户作为当前会话用户，跳转执行下一步；否则结束并退出；
4.4)以当前会话用户、当前外设的设备类型作为索引依次查询用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息；
4.5)判断最终访问权限信息是否允许当前会话用户使用当前外设，如果不允许则进行下一个当前会话用户的处理直至所有当前会话用户处理完毕；如果允许则跳转执行步骤4.6)；
4.6)根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的访问权限，基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设；判断当前会话用户是否为系统会话列表中的最后一个会话用户，如果不是则从系统会话列表中选择一个会话用户作为当前会话用户，跳转执行步骤4.4)，否则结束并退出；
4.7)获取操作系统中当前会话对应的当前会话用户；
4.8)以当前会话用户、当前外设的设备类型作为索引依次查询用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息；
4.9)判断最终访问权限信息是否允许当前会话用户使用当前外设，如果不允许则结束并退出；如果允许则跳转执行步骤4.10);
4.10)根据最终访问权限信息设置当前会话用户对当前外设对应的设备文件的挂载权限及挂载用户选项并将当前外设挂载，然后基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设，结束并退出。
[0023]参见上述步骤4.1)?4.10)，本实施例在成功获取了设备类型的基础上，将设备进行划分为字符设备和存储设备两个类别，对于字符设备，根据步骤2)为系统维持的系统会话列表中的每个用户获取使用权限。如果系统整体策略禁止使用该设备，那就删除该设备对应的设备文件，这样无论是字符设备还是存储设备，应用程序和系统用户都无法使用该设备。如果权限允许，就为该用户给该设备的设备文件添加自主访问权限，保证了系统中多用户的设备共享。对于存储设备，为当前系统会话的用户获取使用权限，如果该用户无权限使用该设备，就拒绝为当前用户挂载该存储设备，否则根据该用户的使用权限，设置设备的挂载权限，并在挂载选项中指定挂载的用户和用户组，在进行权限控制的同时，保证用户数据的隔离，随后进行自动挂载。本实施方案针对Linux系统的多用户环境，实现了区分用户的设备控制机制，控制粒度进一步细化，具有灵活度高、控制粒度细的优点。在Linux下设备管理器会为设备创建设备文件，作为设备使用的入口。设备文件被删除后，整个设备都将无法使用。通过为字符设备文件设置自主访问权限来控制普通用户对字符设备的读写，存储设备的控制，可以由挂载管理器在进行自动挂载前，根据策略设置相应的挂载权限选项。
[0024]本实施例中，每个接入的外设需要经过4.1)确定设备类型的判断步骤。外设的识别直接关系着设备驱动的加载和外围应用程序对设备的使用，内核中设备驱动的加载就是基于设备制造商和设备型号来进行匹配加载的，核外的应用程序也多是对特定名称的设备文件来进行操作的。另外，大多数的设备都有自己的接口标准和内核驱动名称。本实施例中步骤4.1)就是将上述信息作为设备类型区分的依据。在外设接入操作系统的时候，通过向系统查询设备的内核名称、接口类型、制造商和型号等信息，然后将这些信息与设备特征数据库中的各种设备类型的特征信息进行逐个匹配，从而确定外设的设备类型，对于匹配失败的设备标识为未知设备，基于特征匹配的设备类型判定能够有效识别系统设备，具有识别能力强、识别结果可靠的特点。本实施例中在步骤4.1)中的设备类型包括字符设备和存储设备两类，获取了设备的设备类型之后，如果是未知设备，就跳过查询策略的步骤，直接返回权限为可用。
[0025]如图4所示，步骤4.4)的详细步骤如下:
4.4.1)获取当前会话用户；
4.4.2)获取当前会话用户所属的用户组；
4.4.3)获取当前会话用户的用户角色；
4.4.4)检查用户访问控制列表，判断用户访问控制列表是否启用用户控制，如果启用用户控制，则向用户访问控制列表查询当前会话用户的用户权限，在收到查询返回的用户权限后跳转执行下一步；否则如果未启用用户控制，则返回用户权限为空，跳转执行下一步；
4.4.5)检查用户组访问控制列表，判断用户组访问控制列表是否启用用户组控制，如果启用用户组控制，则向用户组访问控制列表查询当前会话用户的用户组权限，在收到查询返回的用户组权限后跳转执行下一步；否则如果未启用用户控制，则返回用户组权限为空，跳转执行下一步；
4.4.6)检查用户角色访问控制列表，判断用户角色访问控制列表是否启用用户角色控制，如果启用用户角色控制，则向用户角色访问控制列表查询当前会话用户的用户角色权限，在收到查询返回的用户角色权限后跳转执行下一步；否则如果未启用用户控制，则返回用户角色权限为空，跳转执行下一步；
4.4.7)将用户权限、用户组权限、户角色权限三者取交集，将取交集得到用户权限、用户组权限、户角色权限三者中的最小权限作为当前会话用户对当前外设的最终访问权限信息。
[0026]本实施例的步骤4.4.1)?4.4.7)根据设备的使用者(多数情况下为当前会话的登录用户)，获取设备的使用用户所对应的用户组和用户的身份信息，然后向策略数据库分别查询设备对应系统、用户、用户组和用户身份的规定权限，并取上述四种权限的交集作为最终的使用权限。以USB存储设备为例，当前用户为userl，用户组为groupl，用户身份为普通用户，假如策略规定user I使用USB存储设备的权限为只读、group I用户组使用USB存储设备的权限为读写，普通用户身份使用USB存储设备的权限为任意，系统允许读写USB存储设备。如果以上四种控制模式都处于开启模式，那么userl在使用USB存储设备的时候的最终权限就是上述四种权限的最小值即只读。如果用户控制模式关闭，那么userl在使用USB存储设备的最终权限就是读写。系统共实现了用户、用户组、用户身份三种控制模式，通过以上模式认证的设备操作才能得到许可，上述三种控制模式中的任意一层都可以根据需要打开或关闭，在关闭的情况下，其定义的设备使用权限将被忽略。整个系统整体灵活度高、控制粒度可控，安全可靠。本实施例通过上述步骤，能够在识别当前系统设备的基础上，根据当前用户、用户所属组、用户身份三种方式来实现对外部设备的使用权限控制，能够有效保证系统的安全性、灵活性和可靠性。步骤4.8)和前述的步骤4.4)完全相同，故在此不再赘述。
[0027]以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本【技术领域】的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。
【权利要求】
1.一种基于用户的操作系统外设接入权限控制方法，其特征在于实施步骤如下: 1)建立包含用于对外设进行分类的设备特征数据库；将操作系统中的用户分类为不同的用户角色，建立用于配置是否允许各个用户角色使用指定设备类型的设备使用策略、用于控制是否允许各个用户角色使用指定设备类型的强制访问控制开关，分别建立包含是否启用用户控制以及用户对指定设备类型的访问权限信息的用户访问控制列表、包含是否启用用户组控制以及用户组对指定设备类型的访问权限信息的用户组访问控制列表、包含是否启用用户角色控制以及用户角色对指定设备类型的访问权限信息的用户角色访问控制列表；在操作系统启动时根据设备使用策略更新操作系统中所有强制访问控制开关的状态； 2)在操作系统中建立并维持包含所有会话用户信息的系统会话列表； 3)实时监控操作系统中的设备变化，当检测到当前外设接入时跳转执行下一步； 4)扫描当前外设的信息并根据所述设备特征数据库确定设备类型，获取当前外设对应的当前会话用户，以当前会话用户、当前外设的设备类型作为索引依次查询所述用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息，根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的使用权限，然后基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设。
2.根据权利要求1所述的基于用户的操作系统外设接入权限控制方法，其特征在于，所述步骤I)中在操作系统启动时根据所述设备使用策略更新操作系统中所有强制访问控制开关的状态的详细步骤如下: 1.1)在操作系统启动时，获取操作系统中的所有用户角色； 1.2)针对每一个用户角色，获取该用户角色在设备使用策略中所有类型的外设； 1.3)针对每一种类型的外设，判断该用户角色在设备使用策略中是否允许使用指定设备类型，如果允许使用，则打开该用户角色针对该指定设备类型的强制访问控制开关，否贝1J，则关闭该用户角色针对该指定设备类型的强制访问控制开关。
3.根据权利要求1或2所述的基于用户的操作系统外设接入权限控制方法，其特征在于，所述步骤4)的详细步骤如下: 4.1)扫描当前外设的信息并根据所述设备特征数据库确定设备类型； 4.2)判断设备类型是否为字符设备，如果设备类型是字符设备，则跳转执行步骤4.3);否则如果设备类型是存储设备，则跳转执行步骤4.7); 4.3)读取系统会话列表，如果读取成功则从系统会话列表中选择一个会话用户作为当前会话用户，跳转执行下一步；否则结束并退出； 4.4)以当前会话用户、当前外设的设备类型作为索引依次查询所述用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息； 4.5)判断所述最终访问权限信息是否允许当前会话用户使用当前外设，如果不允许则进行下一个当前会话用户的处理直至所有当前会话用户处理完毕；如果允许则跳转执行步骤 4.6)； 4.6)根据最终访问权限信息分别设置当前会话用户对当前外设对应的设备文件的访问权限，基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设；判断当前会话用户是否为系统会话列表中的最后一个会话用户，如果不是则从系统会话列表中选择一个会话用户作为当前会话用户，跳转执行步骤4.4)，否则结束并退出； 4.7)获取操作系统中当前会话对应的当前会话用户； 4.8)以当前会话用户、当前外设的设备类型作为索引依次查询所述用户访问控制列表、用户组访问控制列表和用户角色访问控制列表，根据查询返回的访问权限信息进行交集处理得到当前会话用户对当前外设的最终访问权限信息； 4.9)判断所述最终访问权限信息是否允许当前会话用户使用当前外设，如果不允许则结束并退出；如果允许则跳转执行步骤4.10); 4.10)根据最终访问权限信息设置当前会话用户对当前外设对应的设备文件的挂载权限及挂载用户选项并将当前外设挂载，然后基于强制访问控制开关、当前外设对应的设备文件的访问权限来控制操作系统中用户对当前外设的使用，如果强制访问控制开关允许当前会话用户使用当前外设且当前外设对应的设备文件的访问权限允许当前会话用户使用当前外设，则允许当前会话用户使用当前外设，否则拒绝当前会话用户使用当前外设，结束并退出。
4.根据权利要求3所述的基于用户的操作系统外设接入权限控制方法，其特征在于，所述步骤4.4)和4.8)的详细步骤如下: 4.4.1)获取当前会话用户； 4.4.2)获取当前会话用户所属的用户组； 4.4.3)获取当前会话用户的用户角色； 4.4.4)检查所述用户访问控制列表，判断所述用户访问控制列表是否启用用户控制，如果启用用户控制，则向所述用户访问控制列表查询当前会话用户的用户权限，在收到查询返回的用户权限后跳转执行下一步；否则如果未启用用户控制，则返回用户权限为空，跳转执行下一步； 4.4.5)检查所述用户组访问控制列表，判断所述用户组访问控制列表是否启用用户组控制，如果启用用户组控制，则向所述用户组访问控制列表查询当前会话用户的用户组权限，在收到查询返回的用户组权限后跳转执行下一步；否则如果未启用用户控制，则返回用户组权限为空，跳转执行下一步； 4.4.6)检查所述用户角色访问控制列表，判断所述用户角色访问控制列表是否启用用户角色控制，如果启用用户角色控制，则向所述用户角色访问控制列表查询当前会话用户的用户角色权限，在收到查询返回的用户角色权限后跳转执行下一步；否则如果未启用用户控制，则返回用户角色权限为空，跳转执行下一步； 4.4.7)将用户权限、用户组权限、户角色权限三者取交集，将取交集得到用户权限、用户组权限、户角色权限三者中的最小权限作为当前会话用户对当前外设的最终访问权限信息。
【文档编号】G06F21/45GK104462937SQ201410780531
【公开日】2015年3月25日 申请日期:2014年12月17日 优先权日:2014年12月17日
【发明者】陈松政, 吴庆波, 宋川飞, 张卫华, 魏立峰, 董攀, 黄辰林, 罗军, 丁滟, 唐晓东 申请人:中国人民解放军国防科学技术大学