プライバシアウェアOS <i>Salvia</i> における共有メモリアクセス制御手法

近年，プライバシ情報が漏洩する事件が頻発している．データ漏洩の要因の多くは，誤操作のような人為的なミスや，正当なアクセス権限を持つユーザの故意による操作である．これらに起因するデータ漏洩を防止するために，我々は，コンテキストに適応したプライバシ保護を実現するオペレーティングシステムSalvia を開発している．Salvia は，データの伝搬範囲を制限することを目的としており，それを実現するために，データの保護方法を記述したデータ保護ポリシとコンテキストに基づき，データ漏洩を引き起こす可能性のある計算機資源へのアクセスを制御する．データ漏洩を発生させる可能性のある計算機資源には，ファイル，ソケット，プロセス間通信のための資源などがある．本論文では，特に，共有メモリを利用したプロセス間通信に起因するデータ漏洩を防止する手法を提案する．提案手法は，ページフォルト例外を利用して共有メモリへのアクセスの可否を制御する．また，Salvia の特徴であるコンテキストに適応したアクセス制御方式を適用することにより，データ漏洩が発生する可能性のある共有メモリアクセスを選択的に制限することができる．本論文では，Salviaのメモリアクセス制御機構の設計について述べるとともに，Intel x86アーキテクチャにおける実装手法と性能評価について述べる．

Today, incidents of leakage of sensitive data such as privacy information have occurred frequently. In many cases, the factors of data leakage are as follows: malicious operations by a user who has an authority, and user's misoperations. In order to solve this problem, we have developed a privacy-aware operating system named Salvia. According to data protection policies associated with sensitive data, Salvia limits accesses to computation resources such as files, sockets, pipes, and resources that are used for interprocess communications. Thus, in Salvia, it is possible to restrict accesses to the resources that could serve as output channels for data leakage. Especially, we describe a method to prevent data leakage via shared memory access in interprocess communications. To restrict accesses to shared memory, Salvia determines permissions for each access to shared memory in the page fault exception handler. Moreover, Salvia employs a context-aware access control mechanism that is suitable for privacy protection. Therefore, Salvia can restrict accesses to shared memory that may cause to data leakage, selectively. In this paper, the design and implementation (on Intel x86 architecture) of Salvia's access control mechanism for shared memory are described, and also we show the results of the performance evaluation using a micro-benchmark program.