安全性概述：计算机操作系统和安全性评价

就计算机安全而言，安全性涉及的内容非常广泛，既包括物理方面的，指计算机环境、设备设施的防火、防盗、防静电、防雷击、防信息泄露以及容灾和物理隔离；又包括逻辑方面的，特别是计算机软件系统的安全和保护，以防信息的窃取和破坏。影响计算机软件系统安全性的因素也很多，操作系统、网络系统与数据库管理系统的安全问题是核心。首先，作为一个共享资源系统，操作系统支持多用户同时共享一套计算机系统的资源，因此就需要有资源保护，涉及各种安全性问题；其次，随着计算机网络的迅速发展，除了信息的存储和处理外，存在大量数据传送操作，客户机要访问服务器，信息的机密性、完整性面临的安全威胁极大，就需要有网络安全和数据信息的保护，防止病毒、入侵者恶意破坏；另外，大部分应用系统依赖数据库来存储信息，它是各部门十分重要的一种资源，数据库中的数据会被广泛应用，特别是在网络环境中的数据库，这就提出了数据库管理系统的安全问题。在这些影响因素当中，数据库管理系统通常是建立在操作系统之上，如果没有操作系统安全机制的支持，就不可能保障其存取控制的安全可信性。而网络系统的基础是密码学，密钥的保护与操作系统密不可分。因此，操作系统的安全性在计算机信息系统的整体安全性中具有至关重要的作用，没有操作系统提供的安全性，计算机安全是没有基础的。

早在20世纪60年代，计算机资源共享系统中的安全控制问题就引起了美国国防部的高度重视。1967年，美国国防部组建了计算机安全特别机构，拉开了操作系统安全性研究的序幕。在之后的十年里，随着各方面研究工作的开展，操作系统安全性的基本理论和安全系统设计的主要思想逐步建立起来。

为比较不同系统的安全性，人们需要一些有效的评价体系来衡量它们所能提供的安全支持能力，从而为实际应用在系统选择方面提供依据。1983年，美国国防部颁布了世界上第一个计算机安全评价标准，即可信计算机系统评价标准，简称TCSEC，称之为橘皮书。1985年，美国国防部颁布了TCSEC的修订版。TCSEC颁布之后，与之相配套的一系列规范不断问世，比如，关于数据库的规范、关于网络的规范、关于隐蔽信道的规范以及关于形式化的规范等。每一种规范文本的封面都呈现不同的颜色，因此人们把TCSEC标准及其相配套的这一系列规范统称为彩虹系列。TCSEC是在安全核思想的指导下设计出来的，其中的核心概念可信计算基正是安全核的体现。TCSEC定义了D、C1、C2、B1、B2、B3、A1七个由低到高的系统安全性评价等级。在政府机构和国防部的主导下，业界出现了一批以TCSEC标准作为衡量尺度的系统实现。

纵观操作系统安全性研究的演进过程，从最初操作系统安全相关基础理论的形成到之后安全标准的推行，从系统对单一安全策略的支持，到后来多种策略并存以及对策略多样性的灵活支持，无论是早期主要面向军事需求的机密性支持，还是后来面向商业需求及众多领域的完整性支持，操作系统安全性的研究经历了四十多年的锤炼，积累了很多宝贵的研究成果。在信息化社会中，攻与防的对抗将永不停息，因此操作系统安全性的研究需要不断应对新的挑战，为信息安全生态系统的建立和维护提供强有力的基础支撑。

需要说明的是，一般地，操作系统安全与安全操作系统的含义不尽相同，操作系统的安全性是必需的，而安全操作系统的安全性是特色。安全操作系统是针对安全性需求开发，具有相应的安全等级。可以评价操作系统的安全性，可以说它具有一定的安全性，但不能说它们都是安全操作系统。(www.xing528.com)

下面将要介绍这些内容。安全策略：主要功能是描述一组用于授权使用其计算机及信息资源的规则。安全模型：主要功能是精确描述系统的安全策略。它是对系统的安全需求，以及如何设计和实现安全控制的一个清晰的、全面的理解和描述。安全机制：主要功能是实现安全策略描述的安全问题，它关注的是如何实现系统的安全性，主要包括认证机制（authentication）、访问控制（accesscontrol）、加密机制（encryption）、安全审计（audit）等。

安全策略与安全模型是容易混淆的两个概念。安全策略是指有关管理、保护和发布敏感信息的法律、规定和实施细则。一个操作系统是安全的，是指它满足某一给定的安全策略。同样，进行安全操作系统的设计和开发时，也要围绕一个给定的安全策略进行。安全模型是对安全策略所表达的安全需求的简单、抽象和无歧义的描述，它为安全策略和安全策略实现机制的关联提供了一种框架。安全模型描述了对某个安全策略需要用哪种机制来满足；而模型的实现则描述了如何把特定的机制应用于系统中，从而实现某一特定安全策略所需的安全保护。

安全策略和安全机制不同。安全机制决定怎样做，安全策略决定做什么。将安全策略和安全机制分开研究的重要性在于提高灵活性，安全策略可能会随着时间和位置变化，策略发生变化时整个系统变化小。最坏的情况下，策略中的每个变化都可能要求底层的机制做相应的变化。安全机制既可以是具体的、特定的，也可以是通用的。具有一般性的机制更可取，因为一个策略的变化可能只需要改动一些系统的参数或表格。