Rechnerarchitektur und Betriebssysteme (CS201): Network OS, Virtualisierung, Access Control Matrix

Transkript

1 Rechnerarchitektur und Betriebssysteme (CS2): Network OS, Virtualisierung, Access Control Matrix 11. Dezember 2009 Prof. Dr. Christian Tschudin Departement Informatik, Universität Basel Wiederholung / Diskussion 1. Was sind (Speicher-)Segmente einer CPU, wo/wie tauchen sie beim Memory Layout eines UNIX-Systems auf? 2. Was ist ein Memory Mapped File? 3. Was ist Dynamic Linking, was ist Dynamic Loading? 4. Was ist ein Microkernel? c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 2/32

2 Memory Layout (Linux) Kernel Virtual Memory Stack Memory-mapped region Memory-mapped region Memory-mapped region Run-time data Uninitialised data Initialised data Program text Memory invisible to user mode code the brk pointer Forbidden region Linux: linearer Adressraum Regionen: code (text) initial. var (data) uninit. var (bss) Heap Libraries Stack Kernel c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 3/32 Verteiltes OS vs. Netzwerk-OS Annahme: Netzwerk (d.h. hier nicht SMP) Verteiltes OS: (Mach, Chorus) die OS-Funktionalität selbst ist verteilt Illusion eines einzigen Computers (single login) Netzwerk-OS: jeder Rechner hat eigene Kopie des OS Login auf jeder Maschine nötig gemeinsames Dateisystem, Passwort-File etc anderer Name: Cluster c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 4/32

3 Virtualisierung Virtualisierung = Rahmen, in dem Rechenressourcen kombiniert oder geteilt werden, um ein einheitliches Bild von einer oder mehrerer Umgebungen zu geben. Bsp: Time sharing Virtual memory (Partielle) Simulation, oder Emulation, einer CPU Allgemein: M reale Ressourcen auf N virtuelle Ressourcen abbilden. c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 5/32 Anwendungen von Virtualisierung Verwaltung von Serverpools, Applikationspools Sandboxing (Isolation, kontrollierte Ausführungsumgebung) Entwicklung (virtuelle HW) Ersatz fehlender HW Debugging Softwaremigration (Mobilität) SW-Test, SW-Evaluation, SW-Qualitätskontrolle c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 6/32

4 Virtualisierungsansätze, -Ebenen (Vorschau) 1. ISA Ebene jeder CPU-Befehl wird interpretiert, oder übersetzt 2. Hardware Abstraction Layer (HAL) Ebene nur Teile der HW werden emuliert 3. OS Ebene virtuelle Supervisory Calls, parallele OS-Kerne 4. Library je nach Applikation wird ein anderes Subsystem angeboten 5. Applikation (Programmiersprache): Java c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 7/32 1) Virtualisierung auf ISA-Ebene Beispiele: Bochs (Intel x86 Emulator) gamze x86 CPU, aber auch VGA, Disk, Keyboard,... läuft unter x86, PowerPC, Alpha, MIPS etc Crusoe-Chip (Transmeta) code morphing zur Laufzeit QEMU volle CPU Implementierungen (x86, ARM, PowerPC, Sparc) untersützt selbst-modifizierender Code simuliert auch Memory Management Unit c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 8/32

5 Virtualisierung Grundkonzepte VMM (Virtual Machine Monitor) ist zentrale Kontrollinstanz, wird auch Hypervisor genannt. Host/Guest: Ev ist auch ein Host-OS vorhanden (Frage lautet: wessen Treiber werden verwendet?) c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 9/32 Beispiel VMware Beispiel für I/O-Virtualisierung: VMM hat keinen Zugriff auf I/O-HW! c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 10/32

6 I/O-Virtualisierung von VMware I/O wird in der Host-Welt durchgeführt Alle low-level-instruktionen, die von der Gastmaschine ausgeführt werden wollen, werden zu I/O-Systemaufrufen verwandelt (spezielle Treiber) Spezielle VM-Applikation führt den I/O aus Eigenschaften: Gast-OS wird nicht verändert Kontrolle über existierende I/O-Hardware, Vortäuschen nicht vorhandener I/O-Hardware c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 11/32 Paravirtualisierung Ansatz: I/O-Virtualisierung langsam, zweifache Treiber. Deshalb Gast-OS verändern (!), nur teilweise Virtualisierung. Applikationen benutzen i.a. weiterhin einen Supervisory Call, der vom Gast-OS verarbeitet wird Zusätzlich: Hypercall dies erlaubt, direkt das Host-OS anzusprechen Bedingt (a) Umschreiben der Applikationen, oder (b) Spezialinstruktionen im ISA Intel-VT (Vanderpool), AMD-V (Pacifica) c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 12/32

7 XEN etc Linux wird zum VMM gemacht XEN ein erfolgreiches Paravirtualisierungs-Projekt, von Citrix aufgekauft, weiterhin GPL-Version KVM kernel based virtual machine native virtualization (benötigt HW-support) keine ISA-Emulation - ev externe Progrmme Lguest Linux unter Linux und (sehr) viele mehr... c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 13/32 3) Virtualisierung auf OS-Ebene Klassiker: chroot() UNIX-Systemaufruf chroot(char *path) Ersetzt im aufrufenden Programm das Root-Verzeichnis, d.h. Prozess sieht ab sofort nur noch einen Teilbaum (plus das aktuelle Verzeichnis) Kann für ein chroot-jail verwendet werden c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 14/32

8 chroot c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 15/32 4) Virtualisierung auf Library-Ebene Aufrufe an Libraries werden abgefangen (z.b. Ersatz-DLL), anderst implementiert. Beispiele: WINE wickelt Windows-Aufrufe in einem Linuxprogramm ab muss alle (Windows NT) core DLL implementieren, plus WINE server andere DLLs können 1:1 eingesetzt werden WABI Windows Application Binary Interface ähnliche wie WINE, von Sun c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 16/32

9 5) Virtualisierung auf Applikations-Ebene Alte Tradition: fiktive Maschine, spezielle ISA p-code (frühe 70er-Jahre), eingesetzt beim Pascal-Compiler Z-machine (Zork-machine) für portable Adventure-Computerspiele, 1979 Java Parrot (Perl 6).NET CLI c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 17/32 Rootkits Angenommen, ein Virus kann eine Maschine befallen und könnte sich als Hypervisor installieren. Das (Haupt)-OS wird zu einer virtuellen (Gast-) Maschine, ohne es zu merken. Siehe Demo-Reports: SubVirt, Blue Pill c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 18/32

10 Neues Thema: Zugriffskontrolle (Access Control) Betriebssystem muss Ressourcen schützen bzw Zugang kontrollieren Rechenzeit, Disk-Space Dateninhalte (z.b. Kundenkartei, Kontodaten, Krankengeschichte) Programme (e.g., Virus) Netzwerkzugang, Bandbreite Semaphore, etc. etc. c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 19/32 Schutzdomänen (Protection Domains) Objekt O braucht Schutz Subjekt S verlangt Zugriff Operation A Aktion, die ein Subjekt auf einem Objekt ausführen kann Zugriffsrecht R die Erlaubnis, eine Aktion A an Objekt O durchzuführen Domäne = Sammlung von Zugriffsrechten <O, A> c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 20/32

11 Schutzdomänen (Forts.) Subjekte arbeiten in einer Domäne Beispiel: Ein Prozess P mit den Zugriffsrechten < file F, read> und < file F, execute> kann die Datei F lesen und ausführen aber nicht modifizieren. OS-Problemstellung: jedem Prozess (Subjekt) die richtige Domäne zuordnen Statische Zuordnung nicht möglich: zur Laufzeit erzeugte neue Objekte zur Laufzeit erzeugte neue Subjekte zur Laufzeit gewährte oder enzogene Zugriffsrechte c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 21/32 Access Control Matrix (ACM) Mechanismus: bestimmt wie etwas gemacht wird Policy: bestimmt was/wann gemacht wird Betriebssystem stellt Mechanismen zur Verfügung; der Betreiber muss die Policy bestimmen (die über die Zeit auch ändern kann) ACM = konzeptionelles Modell für Schutzmechanismen und -Policies Subjekt (Domäne) \ Objekt Datei F Printer L... User A read Prozess P print c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 22/32

12 Access Control Matrix (Forts) Dynamik der ACM: User erzeugen neue Objekte (Dateien etc) neue User-Accounts werden eingerichtet neue Prozesse werden erzeugt D.h., es ist nicht immer möglich oder sinnvoll, Schutz-Domänen im Voraus zuzuordnen. Zugriffsrechte auch phasenweise erteilen. Prozesse (und Users etc) sollten die Schutzdomäne wechseln und neue Domänen erzeugen können. c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 23/32 Access Control Matrix (Forts II) Ansatz: Domänen sind selbst auch Objekte. SWITCH Operation: das Recht, die Domäne zu wechseln. Domäne \ Objekt Datei F Printer L D 1 D 2... D 1 exec switch D 2 rd, wr print D 3 print switch c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 24/32

13 Access Control Matrix (Forts IV) Nächste Stufe: Aktionen, die die ACM selbst verändern Zugriffsrechte anderen Domänen gewähren/entziehen Benutzer -Recht: kontrolliert Rechte innerhalb einer Spalte Kontroll -Recht: Kontrolle über Domänen (Zeile) Domäne \ Objekt Datei F Printer L D 1 D 2... D 1 exec switch owner D 2 rd, wr print D 3 print switch controll c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 25/32 Entscheidbarkeit ACM Bezug zur Theorie der Informatik ACM-Dynamik durch Modifikationsregeln (owner, controll) und dem Erzeugen neuer Objekte und Domänen Programmierung der ACM Es entstehen unentscheidbare Probleme. Insbesondere: Kann von einem (sicheren) Anfangszustand ein unsicherer Zustand erreicht werden? c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 26/32

14 ACM Implementierung Nicht sinnvoll, die ACM als Tabelle abzulegen (Grösse, sparse) Access Control List (ACL): lese die ACM spaltenweise jedem Objekt ist eine domänenspezifische Liste von Zugriffsrechten zugeordnet Beispiel: Datei-Zugriffsrechte Capabilities : lese die ACM zeilenweise Domäne hat Liste von objektspezifischen Rechten Beispiel: Zugticket, Theaterkarte c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 27/32 ACM Implementierung: UNIX Domänenwechsel: suid (set user id) Systemprogramme werden normalerweise mit den Rechten (Domäne!) des Aufrufenden abgearbeitet: set-uid erlaubt die Ausführung als Datei-Besitzer Owner-Konzept für Dateien Besitzer kann Zugriffsrechte bestimmen (Spalte) Datei-ACL (siehe getfacl) c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 28/32

15 Passwort-Problem in UNIX Die Datei (/etc/passwd) beinhaltet alle Benutzerdaten: Name, Username, home directory etc Angaben zum Password (nicht in Klaretxt, aber als Hash-Code) /etc/passwd ist frei lesbar Dictionary-Attacke: die häufigsten Passwörter ausprobieren (es existieren Standard-Wörterbücher) Exhaustive Search-Attacke: systematisches Ausprobieren aller möglichen Passwörter (heute machbar für 6 bis 8 Zeichen) c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 29/32 Passwort-Problem in UNIX (Forts) Früher: Salt : Jedes Passwort wird mit einer Zufallszahl versehen vor der Hash-Operation. Zufallszahl auch im /etc/passwd Ziel: gleiche Passwörter haben andere Hash-Werte Heute: Shadow : /etc/shadow eine lesegeschützte Datei ersetzt /etc/passwd nur root kann lesen, oder mit suid-root-programmen c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 30/32

16 Passwort-Ersatz: Challenge-Response-Verfahren (Verschlüsselungs)-Funktion Rechner schickt zufällige Zahl (Challenge) Benutzer muss (verschlüsselten) Wert zurücksenden Unterstützung mit smart cards oder Badges One-time passwords (Streichliste) Liste von Zufallspasswörtern, nur einmal verwendebar Passwörter in richtiger Folge zu verwenden (Challenge lautet: gebe mir Passwort n, n + 1, etc) Rückwärtskette von Hash-Werten h(h(h(h(h(h(h(h(h(h(h(h(seed)))))))))))) c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 31/32 OS Timelines UNIX wars (Wo ist Linux? Plan9?) systems timeline c Christian Tschudin CS2 Rechnerarchitektur und Betriebssysteme, , 32/32