Abschlussbericht

Abschlussbericht
Trusted Sensor Node
6.1.1 Mikrokern-basierter TSN mit Security Compartments
Viele der aktuellen Betriebssysteme für eingebettete Systeme, z.B. eCos, µClinux, TinyOS
oder Reflex, bestehen aus einen monolithischen Kern, der funktional in verschiedene Module
unterteilt wird. Die Trennung der Module besteht hierbei jedoch nur auf der Programmiersprachenebene,
zur Laufzeit existiert keine Trennung zwischen den Modulen.
Ein monolithisches System hat im Wesentlichen die folgenden Nachteile:
• Fehler einer Komponente bleiben nicht auf diese beschränkt
• alle Daten des Knotens sind von jeder Komponente les- und schreibbar
• ein dediziertes Wiederaufsetzen von einzelnen Modulen ist nicht möglich
Aufgrund oben genannter Nachteile befürworten wir den Ansatz eines mikrokern-basierten
Betriebssystems für eingebettete Systeme. Hierbei stellen wir zunächst das Konzept der
„Security Compartments“ vor, welche die Grundlage für ein sicheres System bilden, jedoch
nur von den wenigsten aktuellen eingebetteten Systemen unterstützt wird. Darauf
aufbauend wird mit L4 eine Mikrokern-Architektur aufgezeigt, mit der die Sicherheit des
TSN signifikant erhöht werden kann.
Security Compartments
Unter Security Compartments versteht man die Aufteilung der Systemressourcen auf voreinander
geschützte Teilkomponenten. Diese Security Compartments werden dabei durch
Protection Domains voreinander geschützt. Eine Protection Domain ist eine Menge von
Zugriffsrechten zum Schutz von Ressourcen [12]. Jedes Compartment wird hierbei genau
einer Domain zugeordnet. Allerdings können verschiedene Compartments einer Domain
angehören. Zwei Security Compartments können daher nur dann miteinander kommunizieren,
wenn ihre Protection Domains den Zugriff auf eine gemeinsame Ressource gestatten.
Durch das Fehlen von Security Compartments in eingebetteten Systemen wirken sich
lokale Fehler in den Komponenten auf das gesamte System aus. Wie in Abbildung 6.1
dargestellt, kann z.B. ein Fehler in einem Treiber durch das Fehlen von Schutzbarrieren
auch das Memory Management oder den Scheduler beeinflussen, so dass ein störungsfreier
Betrieb des Gesamtsystems nicht mehr sichergestellt werden kann. Wie Abbildung
6.2 verdeutlicht, können durch die Einführung von Security Compartments die verschiedenen
Module voreinander geschützt werden, so dass die Auswirkungen eines Fehlers
auf die betroffene Komponente begrenzt sind. Ein Compartment hat nur Zugriff auf einen
bestimmten, ihm zugeteilten, Bereich des Systems.
Die Unterteilung des Systems in verschiedene Security Compartments wird durch den
Systemkern organisiert. Der Kern muss hierbei durch die Hardware unterstützt werden.
So ist die Bereitstellung von verschiedenen Ausführungsmodi und von Zugriffsrechten auf
78