IIC 2332 -- Sistemas Operativos
Apuntes 23
1er Semestre 1996

Protección (OSC 13)

La protección es un mecanismo para controlar el acceso de los procesos o usuarios a los recursos del sistema. Cada sistema tiene políticas que dictan el uso de los recursos.
El mecanismo de protección es distinto de las políticas. Se prefiere un mecanismo general que puede apoyar muchas políticas.

Los procesos tienen que accesar varios objetos en el sistema: archivos, dispositivos, memoria, etc. Sólo se debe permitir que un proceso accese a los recursos para los cuales está autorizado.
También, el proceso sólo debiera poder accesar a los recursos que necesita para completar su tarea. Este principio es la necesidad de saber. Puede limitar los daños de un proceso con errores.
Dominio de protección: Un proceso corre dentro de un dominio, que especifica los recursos que se pueden accesar por el proceso. Cada dominio define un conjunto de objetos y las operaciones permitidas.
La capacidad para accesar un objeto es un derecho de acceso. Un dominio es un conjunto de derechos de acceso.
Unix: Los dominios corresponden a los usuarios. Se puede correr un proceso en otro dominio a través del bit de setuid.
Multics: Se organizan los dominios en una jerarquía de anillos.
- Cada anillo de 0 a 7 es un dominio.
- Un proceso ejecutando en anillo $D$ _j tiene todo los derechos de los anillos $D$ _i donde $i>j$ .
- Cada segmento tiene un anillo asociado. Las llamadas a segmentos de otros anillos se controlan por el sistema operativo. Si la llamada es a un anillo con más privilegios, debe ser una llamada a un punto de entrada publicado. Si con menos privilegios, se deben copiar los argumentos a un espacio accesible por el procedimiento llamado.
- ¿Apoya Multics el principio de necesidad de saber? No.

En un matriz de acceso, las filas representan los dominios y las columnas representan los recursos. Las entradas son las operaciones permitidas.
Se puede controlar los cambios de dominios por el uso de columnas para dominios (o sea, los dominios son también recursos). Un proceso puede cambiar su dominio solamente su dominio actual tiene el derecho de cambiar (accesar) a el nuevo.
La matriz de acceso es suficientemente general para apoyar varias póliticas. Por ejemplo:
- La capacidad para copiar o transferir un derecho de un objeto a otro dominio.
- La capacidad de un dominio (el dueño) para modificar los derechos de otros dominios para un recurso especifico.
- La capacidad de un dominios (el controlador) para modificar todo los derechos de otro dominio especifico.

Tabla global. Obvio y sencillo, pero la tabla es normalmente muy grande (no cabe en la memoria física) y derechos tal como "todos pueden leer" necesitan una entrada para cada dominio.
Listas de acceso. Cada objeto tiene una lista que es su columna de la matriz. Se descartan las entradas (dominios) vacías. Es fácil tener derechos de default. Ejemplo: AFS.
Lista de capacidades. Cada dominio tiene un lista de capacidades que es su fila de la matriz. Si un proceso quiere realizar un operación en un objeto, usa la capacidad como argumento en la llamada de sistema. Ejemplo sencillo: descriptores de archivos.
El proceso nunca puede modificar la lista de capacidades directamente. La lista se mantiene por el sistema operativo. Varias operaciones sobre capacidades son posibles (por ejemplo, transferir).
Mach usa capacidades.
Muchas sistemas usan listas de acceso y capacidades juntos. Se usa la lista de acceso para determinar si le debiera dar una capacidad a un proceso o no.

A veces puede ser necesario cancelar los derechos de acceso a un objeto. Problemas: inmediata o demorada, selectiva o general.
Con listas de acceso la implementación de la cancelación es sencilla.
Con capacidades tenemos un problema más profundo porque están distribuidas en el sistema. Posibilidades:
- Expiración automática de capacidades
- Apuntadores inversos de objetos a capacidades
- Indirección de capacidades a una tabla global

Last edited June 7, 1996, by knabe@ing.puc.cl