摘要: 互联网的飞速发展使移动代码及相关技术得到了极大的发展，广泛存在的诸如“动态内容（Active Contents）”、“脚本语言（Scripting）”、“宏（Macro）”、“应用程序（Applet）”、“自定义控制（Custom Control）”等，这类代码被统称为“移动代码”。由于移动... 展开 互联网的飞速发展使移动代码及相关技术得到了极大的发展，广泛存在的诸如“动态内容（Active Contents）”、“脚本语言（Scripting）”、“宏（Macro）”、“应用程序（Applet）”、“自定义控制（Custom Control）”等，这类代码被统称为“移动代码”。由于移动代码的移动性、动态性和多态性，在给用户带来方便性的同时，移动代码所引发的安全问题也突现。关于移动代码的安全一直是难以解决的问题，特别是在对安全要求较高的环境中，安全问题严重影响着移动代码的发展和应用。本文主要基于可信计算思想及技术研究如何防范恶意的移动代码对主机资源的破坏以及恶意的主机对于移动代码的攻击。 当前，可信计算及其应用已经成为研究热点。可信计算在可信认证、可信度量、可信存储等方面为安全应用支撑平台的建立提供基础支持。按照可信计算技术思路，代码是否可信是基于代码的行为而言的，相比传统的以代码静态特征为依据的检测和防范手段而言，从行为的度量和控制方面研究移动代码的安全能够弥补传统技术的不足，符合信息安全的发展趋势。目前可信计算平台对于应用支持方面的研究仍存在很多值得研究的问题，本文所探讨的基于可信计算技术的移动代码安全保护就是其中一个方面，在此方面所做的探讨和研究也将对可信计算技术的进一步推广产生积极效应。 本文综述了移动代码的特征以及由此引发的安全问题，分析当前研究中存在的问题和不足之处，指出现有的静态特征码扫描技术在恶意移动代码变体以及未知类型移动代码识别方面已经存在明显缺陷和短板，要解决未知移动代码的安全防护问题必须以可信计算平台技术为基础，以移动代码的行为特征为核心，构筑主动防御体系。在信息安全保障“一个中心三重防护体系”框架下，本文针对移动代码安全提出了一个三重防护模型，以代码行为特征为基本出发点，试图从移动代码来源控制、移动代码可信验证以及移动代码行为控制三个层面建立移动代码安全的综合防御体系，并对其中的关键技术进行重点研究。具体来说，本文在以下方面进行了较为深入的研究。 1）以源头控制为主导思想，对移动代码的来源平台进行度量和证明，提出一种基于终端行为特征的可信网络连接控制方法，将终端行为特征作为度量指标，与其它方法相比能够更加实时和准确地反映平台状态，并实时地将恶意主机阻断在网络环境之外，从源头有效控制恶意移动代码的入侵。 2）移动代码“生产平台”和“消费平台”之间的信任关系建立有助于对移动代码消费平台的保护，结合自动信任协商ATN技术，依靠逐步披露的平台身份证书和行为属性证书，在陌生的移动代码生产者和移动代码消费者之间建立信任关系，该方法不仅解决了跨域平台的信任建立难题，同时保护了平台属性等隐私信息。 3）当移动代码消费平台接收到外来的移动代码时，对其进行检测和验证是抵御恶意移动代码攻击的重要环节，为此本文首次提出了以移动代码宿主解释进程的综合行为特征为依据的移动代码检测和判定方法。通过引入攻击树模型描述代码在执行过程中生成和调用的所有中间代码以及目标代码的逻辑关系，计算得到移动代码恶意性权值，进而对代码是否可信作出判别。实验表明相对于已有的静态特征识别方法和行为特征序列识别方法，本文提出的方法具有极低的漏报率和误报率，并且对于未知恶意代码的识别具有积极意义。 4）针对移动代码存在的不同形态，对其行为实施有效控制，把系统中的所有主客体划分为已标识域和未标识域，在生产系统中对移动代码实施标记，通过访问控制机制明确限定代码能够访问的资源范围，实现主机平台对恶意移动代码的“自免疫”。对于无法准确标记以及开放网络环境下的移动代码，提出了一种面向可信标识对象的移动代码访问控制模型，该模型以“管道封装”思想为基础，通过对移动代码及其相关资源的封装，限定代码的作用范围，同时通过对代码的可信状态进行区分，限制不可信的以及不确定的移动代码对本地资源的威胁。 5）基于可信计算平台技术以及密封存储机制，对移动代码所携带资源实施密封（Seal）保护，使得只有授权的用户在授权的终端平台上才能够通过解封（UnSeal）得到移动代码和其携带的敏感资源信息的明文，以此保证移动代码中敏感资源的机密性，防止恶意主机平台对于移动代码的篡改和破坏，以及恶意用户对移动代码中敏感信息的窃取。 收起