| 研究概要 |
外部より入手したソフトウェアを安全に実行するサンドボックスシステムSoftwarePotの研究開発を進めている.SoftwarePotはソフトウェアを,独自の仮想ファイルシステムをもつサンドボックスに閉じ込めて実行することができる.ソフトウェアは明示的な指示が与えられない限り,仮想ファイルシステム外のファイルにアクセスすることはできない.ソフトウェアパッケージ開発者が作成したパッケージは,仮想的なファイルシステムの構築に必要な情報を含むアーカイブファイルとして配布される.パッケージを入手したユーザーは,ファイルへのアクセスや通信といった計算機資源へのアクセスを制限することができる.
今年度は,SoftwarePotシステムの実用性を高めるため,システム設計の見直しを行い,機能のモジュール化を行った.それにより,システムの拡張性が向上し,新しい機能の実現が容易になった.更に,上記の新システムを利用して,SoftwarePotの応用に向け,SoftwarePotを仮想ホスティングのためのプラットフォームとして利用するために必要な機能の実現を行った.SoftwarePotを利用して仮想ホスティングを行うことによって,複数のサービスを完全に隔離しながら一台の計算機上で実行することが可能になる.SoftwarePotに仮想ホスティング機能を持たせるためには,それぞれのサービス毎に個別のIPアドレスを持たせ,その利用を強制する機能が必要になる.これらの機能は,SoftwarePotの拡張モジュールとして実現されており,システム本体を修正することなく実現された.
また,今年度は,プログラムの実行中に,動的にプログラムの持つ権限を変化させることを可能にするシステムの開発を行った.本システムは,プログラムの実行を監視し,セキュリティポリシー記述によって指定されたポイントを通過するたびに権限を切り替える.これにより,プログラムに与えられるべき権限を,従来の一般的なアクセス制御よりもさらに細かい制御を実現することが可能になり,バッファオーバーラン攻撃などによる被害を最小限に抑えることが可能になった.
|
