JP2500103B2 - 疑似端末リンクの確立方法及びその装置 - Google Patents

疑似端末リンクの確立方法及びその装置

Info

Publication number
JP2500103B2
JP2500103B2 JP5319497A JP31949793A JP2500103B2 JP 2500103 B2 JP2500103 B2 JP 2500103B2 JP 5319497 A JP5319497 A JP 5319497A JP 31949793 A JP31949793 A JP 31949793A JP 2500103 B2 JP2500103 B2 JP 2500103B2
Authority
JP
Japan
Prior art keywords
pseudo
file
terminal
device driver
pty
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
JP5319497A
Other languages
English (en)
Other versions
JPH06243065A (ja
Inventor
ロバート・ジョン・ディステルバーグ
ジョン・ハワード・ケース
リチャード・アレン・ファビッシュ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of JPH06243065A publication Critical patent/JPH06243065A/ja
Application granted granted Critical
Publication of JP2500103B2 publication Critical patent/JP2500103B2/ja
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/468—Specific access rights for resources, e.g. using capability register

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Storage Device Security (AREA)

Description

【発明の詳細な説明】
【０００１】
【産業上の利用分野】本発明は、広くはコンピュータ・
システムのセキュリティを図る装置及びその方法に関
し、特に、疑似端末リンクを用いるコンピュータ・アプ
リケーション・プログラムに対するアクセスのセキュリ
ティを確立するための装置及びその方法に関連する。
【０００２】
【従来の技術】オペレーティング・システムである「Ｕ
ＮＩＸ」は、一般的にコンピュータのオペレーティング
・システムのファミリである。オペレーティング・シス
テムＵＮＩＸは、コンピュータ・システムのためのタス
ク分配、ファイル・システム、及び入出力（Ｉ／Ｏ）制
御を行う。しかしながら、あるコンピュータ・オペレー
ティング・システムは、ＵＮＩＸの命令構造に類似の命
令構造を利用しているが、ＵＮＩＸとして認知されな
い、即ちそれらのオペレーティング・システムは「ＵＮ
ＩＸ類似」のオペレーティング・システムとして知られ
ている。この点を考慮して、ＵＮＩＸを基礎とするコン
ピュータ・システム、即ちＵＮＩＸオペレーティング・
システムを用いるコンピュータ・システムについての以
下の議論には、ＵＮＩＸオペレーティング・システムと
同様にＵＮＩＸ類似のオペレーティング・システムを用
いるコンピュータ・システムも包含されるものとする。
【０００３】一般的にＵＮＩＸシステムは、階層的方法
で論理的に配置されたそのソフトウェアを有する。この
階層の中で、最下位のレベルには、デバイス・ドライバ
として知られるデバイス入出力（Ｉ／Ｏ）プログラムが
含まれ、それらはプリンタ、端末、メモリ等々のハード
ウェアと直接相互動作する。それより上のレベルには、
ファイルを記憶し且つ処理するためのファイル・システ
ムが含まれる。そして、アプリケーション・レベルとし
て知られる最上位のレベルには、オペレーティング・シ
ステムを介してハードウェアと相互動作するアプリケー
ション・プログラムが含まれる。ファイル・システム及
びデバイス・ドライバを含むオペレーティング・システ
ム全体は、普通「カーネル」と呼ばれる。ファイル・シ
ステム及びデバイス・ドライバの他にカーネルは、メモ
リ管理及び中央演算処理装置（ＣＰＵ）のスケジューリ
ング等の補助的なサービスをも提供する。
【０００４】アプリケーション・レベルは通常、「シス
テム・コール（System call）」として知られる命令を
用いてカーネルからのサービスを要求する実行可能なフ
ァイルまたはアプリケーション・プログラムを含む。シ
ステム・コールを用いてアプリケーション・プログラム
は、情報を検索し、他の実行可能なルーチンを開始し、
データを作成し、またデータを検索するために種々のフ
ァイルを開くことができる。
【０００５】ＵＮＩＸ環境において、ファイルのセキュ
リティは、一般的に以下に記載する技術，すなわちファ
イル保護フラグまたはファイル保護コードの組を変更す
る技術を用いてカーネルによって提供される。これらの
フラグは、特定のファイルにアクセスするものを制御す
る。しかしながらいくつかの形式のファイル、特に疑似
テレタイプ（疑似ｔｔｙ:pseudo-teletype）の文字特殊
ファイル（character-special file）は、少なくとも初
期時には、ＵＮＩＸベースのコンピュータで実行される
いずれのプロセス（実行されるアプリケーション・プロ
グラム）についてもアクセス可能でなければならない。
一般的に疑似ｔｔｙ文字特殊ファイルは、コンピュータ
間のネットワーク通信を容易にする。結果として、いず
れのプロセスにも他のコンピュータと通信可能にするた
めに、疑似ｔｔｙ文字特殊ファイルに関係するファイル
保護フラグの設定は、いずれのプロセスに対しても初期
時にはこれらのファイルにアクセス可能であるように設
定されている。カーネルは、いずれのプロセスにもこれ
らのファイルへアクセスすることを許可するので、一旦
このファイルが開かれると、これらのファイルへアクセ
スする各プロセスがセキュリティ・レベルを追加しなけ
ればならない。通常このセキュリティ機能は、アプリケ
ーション・プログラム内のサブルーチンによって有効化
され、開いている(open:オープンされた）それぞれの疑
似ｔｔｙ文字特殊ファイルの保護フラグを変更するよう
にカーネルに命令する。
【０００６】ネットワーク通信を容易にするために用い
られるアプリケーション・プログラムは、「通信アプリ
ケーション」として知られている。セキュリティ・レベ
ルをさらに追加するために、各通信アプリケーション・
プログラムは、正当なプロセス（通常「スーパーユーザ
（SUPERUSER）」と呼ばれる）として実行されなければ
ならない。このようにセキュリティ機能を設けるため、
正当なプロセスはカーネルに対して、疑似ｔｔｙ文字特
殊ファイルのファイル保護フラグ及びオーナシップを変
更するように引き続いて要求することができる。
【０００７】いくつかの例においては、これらの正当な
プロセスが適切なセキュリティを設けないために、悪意
あるユーザがそのネットワークへの端末接続を介して、
ＵＮＩＸベースのコンピュータに入力しようとするデー
タまたはそれから出力しようとするデータを受信するこ
とが可能である。特に、テルネット（telnet）、アール
・ログイン（rlogin）、またはＸ-ウィンドウズ（X-win
dows）等の通信アプリケーション・プログラムが、端末
とアプリケーションプログラムとの間の接続を容易にす
るための疑似端末として知られる特殊な形式の文字特殊
ファイルを使用する場合、ある重大なセキュリティ問題
が生じる。これらのセキュリティ問題の特異性を論じる
に先立ち、これらの問題が複雑であるので疑似端末利用
の基本について論じる必要がある。
【０００８】「疑似端末（pseudo-terminal）」は、デ
バイス・ドライバのルーチン・セットにより制御される
特殊な形式の疑似ｔｔｙ文字特殊ファイルである（以
降、デバイス・ドライバルーチンと必要な疑似ｔｔｙ文
字特殊ファイルとの組合わせを、「疑似端末（ｐｔｙ）
デバイス・ドライバ」という）。ｐｔｙデバイス・ドラ
イバは、通信アプリケーション・プログラム（以降、
「通信アプリケーション」という）があたかもＵＮＩＸ
ベースのコンピュータへ接続された実際の端末であるか
のように、他のアプリケーション・プログラムに対して
インターフェースすることを可能にするものである。特
異な通信アプリケーションの例として、「telnet」があ
る。特に、遠隔側でネットワークに接続されたコンピュ
ータ、即ち遠隔コンピュータが、同じネットワークに接
続されたＵＮＩＸベースのホスト・コンピュータに接続
しようとする場合、この遠隔コンピュータはtelnetを介
してホスト・コンピュータに接続する。その場合、遠隔
コンピュータは、汎用的な通信ソフトウェアを用いてホ
スト・コンピュータ内のtelnet通信アプリケーションに
接触し、それに対してアクセスを要求する。ホスト・コ
ンピュータの内部では２つのｐｔｙデバイス・ドライバ
が使用されており、遠隔コンピュータによりアクセスさ
れているtelnet通信アプリケーションとホスト・コンピ
ュータ内のいずれかのユーザ・アプリケーションとの間
を容易に疑似端末接続する。引き続いて、ホスト・コン
ピュータ及びその上で実行されているいずれかのユーザ
・アプリケーションが、遠隔コンピュータを、直接ホス
ト・コンピュータに接続されている端末として見る。遠
隔コンピュータ及び中継するネットワークは、そのユー
ザ・アプリケーションにとっては透過になる。
【０００９】さらに特殊な例として、遠隔コンピュータ
からＵＮＩＸベースのコンピュータへの遠隔ログインを
実行するプロセスがあり、遠隔コンピュータによりネッ
トワークを介してホスト・コンピュータ上に常駐する遠
隔ログイン通信アプリケーションへアクセスすることに
より開始される。典型的な遠隔ログイン・アプリケーシ
ョンとしては、ホスト及び遠隔コンピュータが双方とも
ＵＮＩＸベースのコンピュータであるとみなす「アール
・ログイン（rlogin）か、あるいは、標準ＩＮＴＥＲＮ
ＥＴアプリケーションであって、ほとんどのＴＣＰ／Ｉ
Ｐ（Transmission Control Protocol/Internet Protoco
l）のインプリメンテーションがホスト・コンピュータ
のオペレーティング・システムに関わらずサポートする
「telnet」である。
【００１０】遠隔コンピュータが遠隔ログイン通信アプ
リケーションにアクセスすると、このアプリケーション
は、システム・コールである「フォーク（fork）」を実
行する。「フォーク」システム・コールは、この場合、
遠隔ログイン・アプリケーションのコピーを実行してい
たプロセスのコピーを作る。結果的に、子プロセスと呼
ばれる遠隔ログイン・アプリケーションのコピーが、ネ
ットワークを介して遠隔コンピュータと相互動作するた
めに続けられる。一方、親プロセスと呼ばれる遠隔ログ
イン・アプリケーションは休止状態となって、遠隔コン
ピュータによるホスト・コンピュータへの次のアクセス
要求を待つ。
【００１１】子プロセス（以降、「サーバ・プロセス」
と云う）は、一対の疑似端末（ｐｔｙ）ファイルとして
知られる疑似ｔｔｙ文字特殊ファイルを開く。この一対
のｐｔｙファイルは、ｐｔｙ「マスタ」ファイル及びｐ
ｔｙ「スレーブ」ファイルからなる。ｐｔｙマスタ・フ
ァイルは、ｐｒｙスレーブ・ファイルと論理的に関係し
ている。即ち、いわゆる疑似端末リンクが、２つのファ
イルを互いに接続する。この方法では、マスタ・ファイ
ルに入る命令及び他のデータがスレーブ・ファイルに渡
され、またその逆も行われる。２つのｐｔｙファイルが
開いているとき、それぞれがデバイス・ドライバのルー
チン・セットによって制御され、それによって各ｐｔｙ
ファイルとそれぞれのデバイス・ドライバ・ルーチンと
の組合わせが、２つのｐｔｙファイル間のｐｔｙ論理リ
ンクを形成する。
【００１２】次に、サーバ・プロセスが「フォーク」シ
ステム・コールを実行して、サーバ・プロセスのコピー
（子）を作る。このとき、これらのプロセスのそれぞ
れ、即ちサーバ・プロセスとその子プロセスは、ｐｔｙ
マスタ・ファイル及びｐｔｙスレーブ・ファイルの双方
に対してオープン接続を有する。二重接続を終了するた
めに、サーバ・プロセスは、そのｐｔｙスレーブ・ファ
イルへの接続を閉じる（close）。同様に、サーバ・プ
ロセスの子プロセスは、そのｐｔｙマスタ・ファイルへ
の接続を閉じる。その結果、サーバ・プロセスとその子
プロセスとの間に論理的通信パスが存在することにな
る。子プロセスは、このパスを端末接続として見る。即
ち、子プロセスから端末への直接的な接続として見る。
その後、子プロセスは、ログイン・シェル・アプリケー
ションのために「実行（exec）」システム・コールを出
して、遠隔コンピュータのホスト・コンピュータへのロ
グインを容易にする。この方法で、ｐｔｙスレーブ・フ
ァイルは、ログイン・シェル・アプリケーションに接続
された状態になる。結果的に、遠隔コンピュータは、ホ
スト・コンピュータへ接続された端末と同様の方法で動
作することになる。遠隔コンピュータのキーボード上で
タイピングされたどのような情報も、ログイン・シェル
・アプリケーションへの入力となる。そして、このアプ
リケーションから返されたどのような情報も遠隔コンピ
ュータの表示装置へ転送される。この時点で、遠隔コン
ピュータのユーザは、ホスト・コンピュータへのログイ
ンを進めてその中の情報にアクセスすることが可能であ
る。
【００１３】遠隔コンピュータとホストコンピュータ間
の通信のセキュリティを容易にするためにtelnet等の通
信アプリケーションは、ｐｔｙファイルを開いた後に、
あるセキュリティ警告を行う。特に、サーバ・プロセス
の形で通信アプリケーションがｐｔｙマスタ・ファイル
及びｐｔｙスレーブ・ファイルを開いた後には、そのサ
ーバ・プロセスは、ｐｔｙスレーブ・ファイルのアクセ
ス許可コード及びオーナシップを変更して、他のユーザ
が引き続いてこのファイルにアクセスすることを禁止す
る。変更すべきアクセス許可コード及びオーナシップを
イネーブルにするために、このｐｔｙスレーブ・ファイ
ルのアクセス及びオーナシップを変更する各アプリケー
ションは、スーパーユーザ状態を有していなければなら
ない。
【００１４】サーバ・プロセスが最初にｐｔｙファイル
を開くとき、許可コードは通常「ｒｗ．ｒｗ．ｒｗ．」
であるが、この中の各コードは左から右へそれぞれ、現
在のオーナー、オーナーをメンバとするグループ、及び
その残りの者に対応する。許可コードの中の「ｒ」は、
ユーザがそのファイルを読み取ることができることを示
しており、「ｗ」は、ユーザがそのファイルに書き込む
ことができることを示している。「ｘ」は、そのファイ
ルが実行可能であることを示している。この特別な例に
おいては「ｘ」が用いられていないことを注記する。即
ち、このファイルは実行不能であり、従って「ｘ」は、
点（．）によって置き換えられている。通常、ｐｔｙフ
ァイルの最初のオーナーは、スーパーユーザ名「ルート
（root）」であり、その許可コードによって、いずれの
ユーザでも命令に従ってそのファイルにアクセスするこ
とができる。従ってｐｔｙファイルの場合、ｐｔｙマス
タ・ファイル及びｐｔｙスレーブ・ファイルの双方に対
して、初期にはいずれのプロセスからもアクセスするこ
とができる。
【００１５】一旦開かれたｐｔｙリンクのセキュリティ
を確立するために、サーバ・プロセスが変更される。即
ち、（ａ）ｐｔｙスレーブ・ファイルのアクセス許可コ
ードを「ｒｗ．．ｗ．．．．」に、（ｂ）ｐｔｙスレー
ブ・ファイルのオーナーをサーバ・プロセスの有効なユ
ーザ識別子（ＵＩＤ）に変更する。コード及びオーナー
の変更の後は、現在のユーザのみがこの開かれたｐｔｙ
スレーブ・ファイルを読み取り且つ書き込むことができ
る。さらに、インプリメンテーションが規定されている
グループのユーザは、そのファイルに書き込むことが許
可される。一方、外部の者はその開いているｐｔｙスレ
ーブ・ファイルに全くアクセスすることができない。こ
のアクセス制限は、ある程度のセキュリティを実現す
る。しかしながら、アプリケーション・プログラムが、
開かれたｐｔｙスレーブ・ファイルのセキュリティを担
っているので、いくつかのアプリケーションがそのよう
なセキュリティ手段を含んでいない場合も予測できる。
その場合、許可コード及びオーナーシップは変更され
ず、その結果、全てのユーザがいつでも開かれたｐｔｙ
ファイルにアクセスすることができる。
【００１６】ｐｔｙスレーブ・ファイルのアクセス許可
コード及びオーナーシップを変更することによって実現
される限定されたセキュリティを逃れるために、不正な
ユーザは、いわゆる「タイミング・ウィンドウ（timing
window）」を利用することができる。これは、ｐｔｙ
ファイルを開く時点と許可コード及びオーナシップを変
更する時点との間に存在する。即ち、タイミング・ウィ
ンドウは、ファイルを開く動作とその開くファイルの許
可コード及びオーナシップを変更する動作との間に生じ
る時間的間隔である。通常、ファイルを開く動作とその
開くファイルの許可コード及びオーナシップを変更する
動作とは、非アトミック動作である。概して、非アトミ
ック動作とは、多数のシステム・コールを用いて特定の
タスクを実行する動作である。タイミング・ウィンドウ
の存在は、従来から「アクセス時間対検査時間」の問題
であり、タイミング・ウィンドウが存在するために、不
正ユーザは不正なプロセスを呼出すことができ、許可コ
ード及びオーナーシップの変更の前にｐｔｙファイルを
開くことによって容易にファイルのセキュリティを侵す
ことができる。一旦ファイルが、あるプロセスにより開
かれると、その後の許可またはオーナーシップの変更
は、変更前にファイルを開いたプロセスによるアクセス
に対しては効力を及ぼさない。その結果、一旦不正なプ
ロセスがｐｔｙスレーブ・ファイルにアクセスしたなら
ば、正当なプロセスは、そのファイルの許可コード及び
オーナーシップを変更することによってファイルから不
正なプロセスを切り放すことができない。よって、不正
なユーザがｐｔｙスレーブ・ファイルに接続されたまま
になる。この方法により、不正なプロセスがｐｔｙマス
タ・ファイルとｐｔｙスレーブ・ファイルとの間のリン
クのセキュリティを侵す。従って不正なプロセスは、遠
隔コンピュータにより伝送されるユーザＩＤ及びパスワ
ード情報を含むいかなるデータをも受信可能である。不
正なユーザは、後にホストコンピュータのセキュリティ
に侵入する際に利用するためにこの情報を記憶すること
ができる。それ以外にも、不正なプロセスは、誤ったデ
ータを遠隔コンピュータに送ることができる。この方法
により不正なプロセスは、遠隔コンピュータのユーザに
対してそのユーザＩＤ、パスワードあるいは他の機密情
報を不正なプロセスに対して伝送するよう要求すること
ができる。こうして、このような悪意ある行為によりホ
スト・コンピュータのセキュリティが侵されることにな
る。
【００１７】このように、ｐｔｙマスタ・ファイルとｐ
ｔｙスレーブ・ファイルとの間の安全なリンクを形成す
るための方法及び装置が必要とされる。さらに、このよ
うな方法及び装置は、アプリケーション・プログラムを
セキュリティ機能の負担から解放し、且つスーパーユー
ザとして当該アプリケーションを実行することを不要に
するものでなければならない。この方法及び装置はカー
ネル内に常駐すべきである。
【００１８】
【発明が解決しようとする課題】本発明の目的は、アプ
リケーション・プログラムが疑似端末リンクを要求する
場合にいつでも、ｐｔｙマスタ・ファイルとｐｔｙスレ
ーブ・ファイルとの間の安全なリンクを形成することで
ある。本発明の別の目的は、疑似端末リンクを保護する
ためにセキュリティ機能を実行する負担からアプリケー
ション・プログラムを解放することである。本発明の別
の目的は、疑似端末リンクを保護するためにセキュリテ
ィ機能を実行するスーパーユーザとしてアプリケーショ
ン・プログラムが動作することを不要にすることであ
る。
【００１９】
【課題を解決するための手段】これらの目的は、カーネ
ル内で動作する本発明の技術によって達成される。この
技術は、正当な（authorized）プロセスによるｐｔｙス
レーブ・ファイルへのアクセスの前に不正な（unauthor
ized）ユーザまたは不正なプロセスがｐｔｙスレーブ・
ファイルにアクセスしないことを保証するものである。
この技術の概要は、ｐｔｙマスタ・ファイル及びｐｔｙ
スレーブ・ファイルの状態がある条件（規則）を満足す
る場合にのみ、これらのファイルへのアクセスが可能に
なると云うものである。さらにこの技術は、いずれかの
不正なプロセスがｐｔｙスレーブ・ファイルを開こうと
試みる前に、当該ファイルの許可コード及びオーナーシ
ップを変更するものである。
【００２０】特に、アプリケーション・プログラムから
疑似端末（ｐｔｙ）マスタ・ファイルを開くための要求
を受信した場合、その要求は、第１の規則セットを満足
した後にのみ許可される。この第１の規則セットとは、
ｐｔｙマスタ・ファイルが事前に開かれていないこと、
及びこの開かれるｐｔｙマスタ・ファイルに関係するｐ
ｔｙスレーブ・ファイルが現在閉じていることである。
ｐｔｙマスタ・ファイル及びｐｔｙスレーブ・ファイル
の現在の状態がこれらの規則を満足する場合、このｐｔ
ｙマスタ・ファイルを開くことを許可される。
【００２１】引き続いて、アプリケーション・プログラ
ブからｐｔｙスレーブ・ファイルを開くための要求を受
信すると、本発明は、第２の規則セットを満足する場合
にのみこの要求を許可する。この第２の規則セットと
は、関連するｐｔｙマスタ・ファイルが開かれる前にｐ
ｔｙスレーブ・ファイルが開かれていないこと、及びｐ
ｔｙスレーブ・ファイルを開くよう要求しているプロセ
スのユーザ識別子（ＵＩＤ）が以前にｐｔｙマスタ・フ
ァイルを開いたプロセスと同じ有効なＵＩＤを有するこ
とである。これらの規則を満足する場合、ｐｔｙスレー
ブ・ファイルを開くことを許可される。この方法によ
り、ｐｔｙマスタ・ファイル及びｐｔｙスレーブ・ファ
イルとの間の疑似端末リンクが、不正にｐｔｙスレーブ
・ファイルに接続された不正なプロセスから守られる。
【００２２】さらにセキュリティを強化するために、本
発明は、ｐｔｙスレーブ・ファイルへのアクセスを制限
するためにオーナー及びアクセス許可コードを変更す
る。このアクセス制限は、アプリケーション・プログラ
ムが最初にｐｔｙスレーブ・ファイルを開くときの自動
的な動作として実現される。こうして、ｐｔｙファイル
のオーナーは、通常「ルート」であるスーパーユーザ名
から、アクセス要求しているアプリケーション・プログ
ラムの有効ＵＩＤへ変更される。さらに、アクセス許可
コードが「ｒｗ．ｒｗ．ｒｗ．」から「ｒｗ．．
ｗ．．．．」へと変更されることによって、現在のユー
ザ（オーナー）が読取り及び書込みアクセス可能にな
り、オペレーティング・システムにより規定された特定
のユーザ・グループ内のユーザのみが書込みアクセス可
能になり、そしてそのグループ以外のユーザはアクセス
不能になる。
【００２３】重要なことは、疑似端末リンクのセキュリ
ティを提供する本発明が、ＵＮＩＸベースのコンピュー
タ・システムのカーネル内で実行されることである。特
に、本発明のセキュリティ技術は、ｐｔｙマスタ・ファ
イル及びスレーブ・ファイルを開こうとするアプリケー
ション・プログラムにより行われる「オープン（ope
n）」システム・コールに応答して実行されるプログラ
ム・ルーチンへ組み込まれる。このように、本発明によ
って、疑似端末を利用するアプリケーション・プログラ
ムは、疑似端末リンクのためのセキュリティ手段を供与
する負担から解放される。さらに、カーネル内のセキュ
リティ技術を用いることによって、アプリケーション・
プログラムは、ｐｔｙスレーブ・ファイルの許可コード
及びオーナーを容易に変更するためにスーパーユーザと
して動作する必要がなくなる。
【００２４】
【実施例】本発明は、ＵＮＩＸまたはＵＮＩＸに類似の
オペレーティング・システムを用いるコンピュータ・シ
ステムにおいて動作する。特に、本発明は、ＡＩＸ（Ad
vanced Interactive Executive）オペレーティング・シ
ステムを実行するモデルＥＳ／９０００コンピュータ・
システム内で機能することができる。ＡＩＸ及びＥＳ９
０００は、双方ともＩＢＭ社から市販されている。
【００２５】アプリケーション・レベルからセキュリテ
ィ機能を実行する義務を確実に排除するために、本発明
はカーネルのデバイス・ドライバ・レベルに常駐する。
特に本発明は、アプリケーション・プログラムからのシ
ステム・コールに応答して、ｐｔｙマスタ・ファイル及
びｐｔｙスレーブ・ファイルを開くプロセスに包含され
る。このように、いずれかのアプリケーション・プログ
ラムがｐｔｙマスタ・ファイル及びｐｔｙスレーブ・フ
ァイルを開く場合には必ず、本発明がこれら２つのファ
イルの間の安全なリンクを提供することになる。その場
合、そのアプリケーション・プログラムがこのリンクを
保護するために何らかのセキュリティ手段を供与するか
否かは関係ない。
【００２６】一般的に本発明は、カーネルがアプリケー
ション・プログラム（プロセス）に対して双方のｐｔｙ
ファイルを開くこと（オープン）を許可するに先立っ
て、様々な規則を満足することを要求することによって
動作する。これらの規則を以下に記載する。 （１）アプリケーション・プログラムによるファイル・
オープン要求があった場合、その時点でｐｔｙマスタ・
ファイルは閉じて（クローズ）いなければならない。即
ち、ｐｔｙマスタ・ファイルは、１回だけ開くことがで
きる。 （２）ｐｔｙマスタ・ファイルが開かれる場合、その開
かれるｐｔｙマスタ・ファイルに関係するｐｔｙスレー
ブ・ファイルはその時点で閉じていなければならない。 （３）ｐｔｙスレーブ・ファイルは、その関係するｐｔ
ｙマスタ・ファイルが開かれる前には、カーネルによっ
て開くことができない。 （４）ｐｔｙスレーブ・ファイルを最初に開くプロセス
は、以前にそのｐｔｙマスタ・ファイルを開くことを要
求したプロセスと同じ有効なユーザ識別子（ＵＩＤ）を
持っていなければならない。
【００２７】上記の（１）及び（２）の規則は、第１の
規則セットを構成し、これはカーネルがｐｔｙマスタ・
ファイルを開く前に満足されなければならない。同様
に、（３）及び（４）の規則は、第２の規則セットを構
成し、これはカーネルがｐｔｙスレーブ・ファイルを開
く前に満足されなければならない。
【００２８】さらに、ｐｔｙスレーブ・ファイルを開く
にあたり、アクセス許可及びファイルのオーナーシップ
を即座に且つ自動的に変更することによって正当なユー
ザのみがｐｔｙスレーブ・ファイルに対して読取り及び
書込みを行うことが可能になる。それのみでなく、ホス
ト・コンピュータのオペレーティング・システムにより
規定されたユーザ・グループ内のユーザであれば、開い
ているｐｔｙスレーブ・ファイルに書込むことが可能に
なる。コードで云うならば、カーネルはアクセス許可
を、通常の「ｒｗ．ｒｗ．ｒｗ．」から「ｒｗ．．
ｗ．．．．」へと変更する（「」内は、左から順に現オ
ーナー、当該オーナーをメンバとするグループ、その
他、に対する許可コードである）。さらに、カーネルは
ｐｔｙスレーブ・ファイルのオーナーシップを現在のオ
ーナー名（通常は「ルート」であるがこれが必須ではな
い）から、このときこのファイルへアクセス要求してい
るプロセスの有効ＵＩＤへと変更する。そして、グルー
プ識別子（ＧＩＤ）が、ホスト・コンピュータのオペレ
ーティング・システムによって指示されたグループ（通
常「ｔｔｙ」という名であるがこれが必須ではない）へ
変更される。アプリケーションが、カーネルに対してｐ
ｔｙスレーブ・ファイルを閉じること（クローズ）を要
求する場合、及びこのファイルのクローズが最後のクロ
ーズである場合、ファイルのアクセス許可及びオーナー
シップは、それらの元の値に戻される。
【００２９】上記の規則を用いて、また、開かれたｐｔ
ｙスレーブ・ファイルのアクセス許可及びオーナーシッ
プを即座に且つ自動的に変更することにより、本発明
は、不正なユーザが正当なユーザと同時に同じｐｔｙス
レーブ・ファイルに対してアクセスできなくすることを
保証する。こうして本発明は、ｐｔｙマスタ・ファイル
とｐｔｙスレーブ・ファイルとの間の疑似端末リンクに
対する効果的なセキュリティを可能にする。
【００３０】図１は、ネットワーク１１０を介して遠隔
コンピュータ・システム１２０と接続されたＵＮＩＸベ
ースのホスト・コンピュータ・システム１００のハイレ
ベルのブロック図である。ホスト・コンピュータ１００
は、中央演算処理装置（ＣＰＵ）５０及び記憶装置６０
を備えている。ＣＰＵ５０は、双方向パス５５を介して
記憶装置６０にアクセスする。ネットワークのホスト・
コンピュータへのアクセスを容易にする種々のプログラ
ム、ドライバ及びファイルは、記憶装置６０に記憶され
ている。記憶装置６０は、例えば、半導体のランダム・
アクセス・メモリ、リード・オンリ・メモリ、ハードデ
ィスク等またはこれらの組み合わせにより構成される。
この記憶装置の特定のインプリメンテーションは、本発
明とは関係ない。一般に、ネットワーク１１０は、遠隔
コンピュータ１２０との間でライン１１５で表されるよ
うな全二重通信を行う。同様に、ホスト・コンピュータ
１００も、ライン１０５で表されるように全二重パスに
よってネットワーク１１０に接続されている。ネットワ
ーク１１０の例としては、多数のパーソナル・コンピュ
ータ（遠隔コンピュータ）を相互に接続するローカル・
エリア・ネットワーク（ＬＡＮ）である。さらにホスト
・コンピュータ１００の例としては、ＩＢＭ社のモデル
ＥＳ／９０００コンピュータ・システムがある。当業者
であれば、ネットワークの構成及びホスト・コンピュー
タの特定のモデルが、本発明による動作にとって重要で
はないことが容易に理解できるであろう。さらに、ネッ
トワーク通信を実動化するためのハードウェア及びソフ
トウェアについては、本発明を構成するものではないの
で図１に示していない。
【００３１】典型的なＵＮＩＸベースのホスト・コンピ
ュータのように、ホスト・コンピュータ１００内には、
ファイル及びプログラム（実行可能なファイル）が階層
的に配置されている。最上位レベルはアプリケーション
・レベル１２５、中間レベルはファイル・システム・レ
ベル１３０、及び最下位レベルはデバイス・ドライバ・
レベル１３６である。ファイル・システム・レベル１３
０及びデバイス・ドライバ・レベル１３５は、カーネル
１４０の構成要素である。
【００３２】一般的に、デバイス・ドライバ・レベル１
３５は、汎用的なプログラムを有している。これらのプ
ログラムは、プロセスが、ディスク、テープ・ドライ
ブ、端末、印刷装置及びネットワーク等の周辺装置と通
信できるように設計されている。アプリケーション・レ
ベル１２５に常駐するネットワーク通信アプリケーショ
ン・プログラム、即ち典型的なものとしては「telnet」
や「アール・ログイン（rlogin）」などであるが、これ
らは、「ログイン・シェル」等の（レベル１２５におけ
る）ローカル・アプリケーションとの端末接続をシミュ
レートするために疑似端末デバイス・ドライバを利用す
る。以下では、ネットワーク・アプリケーションとして
「telnet」を用いることを例に挙げて、主に論述するこ
ととする。以下の論述によれば「アール・ログイン」の
使用については、当業者にとって明白であろう。
【００３３】図２は、通信アプリケーション（telnet）
が、遠隔コンピュータとホスト・コンピュータ内のログ
イン・シェルとの間で容易に通信するために、疑似端末
対を開くプロセス２００を示している。プロセス２００
は、ホスト・コンピュータが遠隔コンピュータからのア
クセス要求を受信したとき、ステップ２０１において開
始される。要求を受信したことにより、ステップ２０２
において、通信アプリケーションであるtelnetが休止状
態から起動する。テルネットが稼働しているとき、それ
は「telnetデーモン」として知られる。telnetデーモン
・プロセス２０５は、遠隔コンピュータをホスト・コン
ピュータへ接続する疑似端末対を開くことを容易にす
る。
【００３４】ネットワークからの接続要求を受信する
と、ステップ２１０において、プロセスは「フォーク
（fork）」システム・コールを実行して子プロセスを作
成する（以降、サーバ・プロセス２２０と呼ぶ）。サー
バ・プロセス２２０は、telnetデーモン・プロセス２０
５と同一のコピーである。この方法でサーバ・プロセス
２２０は、遠隔コンピュータからの通信の処理を続行す
ることができる。一方、ステップ２１５においてtelnet
デーモン・プロセスはその休止状態に戻り、別の通信要
求を待つ。
【００３５】ステップ２３５においてサーバ・プロセス
は、「オープン（open）」システム・コールを出し、カ
ーネルに対してｐｔｙマスタ・ファイルを開くことを要
求する。同様に、ステップ２４０においてサーバ・プロ
セスは「オープン」システム・コールを出し、カーネル
に対してｐｔｙスレーブ・ファイルを開くことを要求す
る。これらの「オープン」システム・コールがｐｔｙマ
スタ・ファイル及びｐｔｙスレーブ・ファイルを開く特
定のプロセスについては、以下に図４及び図５を参照し
て詳細に述べる。図２に示すように、一旦カーネルが双
方のｐｔｙファイルを開くと、ステップ２４５において
サーバ・プロセスは、「フォーク（fork）」システム・
コールを出してサーバ・プロセスを複製する。さらに、
「フォーク」システム・コールは、これらのｐｔｙマス
タ・ファイル及びｐｔｙスレーブ・ファイルのファイル
記述子を複製する。この方法で、サーバ・プロセスの子
プロセス及びサーバ・プロセスは、双方のｐｔｙファイ
ルへ接続される。
【００３６】簡潔にするために、以後、サーバ・プロセ
スの子プロセスを「ログイン子」プロセスと云うことに
する。サーバ・プロセス２２０とログイン子プロセス２
５５との間に疑似端末リンクを得るために、ステップ２
５０においてサーバ・プロセスは、ｐｔｙスレーブ・フ
ァイルとサーバ・プロセス２２０との間の接続を閉じ
る。同様に、ステップ２６０においてログイン子プロセ
スは、ｐｔｙマスタ・ファイルとログイン子プロセス２
５５との間の接続を閉じる。結局、サーバ・プロセス２
２０に接続されたｐｔｙマスタ・ファイルは、ログイン
子プロセス２５５に接続されたｐｔｙスレーブ・ファイ
ルに完全に連結される。このように、ｐｔｙマスタ・フ
ァイル及びｐｔｙスレーブ・ファイルとの間の疑似端末
リンクが、遠隔コンピューをログイン子プロセスに接続
する。ステップ２６５においてログイン子プロセスは、
「実行（exec）」システム・コールを介してログイン・
シェル・プログラムを実行し、ログイン・シェル・プロ
セス２７０を発生する。ログイン・シェル・プロセスは
アプリケーション・プログラムであり、ステップ２７５
において、ユーザ即ちこの例では遠隔コンピュータに対
して、ホストコンピュータへのログインを可能にする。
【００３７】疑似端末リンクを形成するそれ以外の方法
としては、サーバ・プロセス２２０が単独でｐｔｙマス
タ・ファイルのみを開き、そしてログイン子プロセス２
５５が単独でｐｒｙスレーブ・ファイルのみを開くよう
にしてもよい。疑似端末リンクは、これら２つの開かれ
たファイルの間に出現する。この方法では、前述の、双
方のｐｔｙファイルへの不必要な接続を閉じるステップ
が省かれる。
【００３８】図３は、ネットワーク１１０からログイン
・シェル・プロセス３７０への接続を形成するために用
いられる様々なドライバ及びプロセスの最終的な接続配
置を示している。
【００３９】先ず、ネットワーク１１０からの情報がte
lnetデーモン・プロセス３２５に接続される。一般的に
この接続は、ネットワークへの「ソケット」接続と通常
呼ばれるものにより行われる。このソケット接続は、ラ
イン３１５で示されるようにtelnetデーモン・プロセス
３２５に接続されたネットワーク・デバイス・ドライバ
３１０で表されている。
【００４０】前述のように、破線３３０で示される「フ
ォーク」システム・コールはサーバ・プロセスを生じ
る。引き続いて、telnetデーモン・プロセス３２５は休
止状態となって、ネットワークからの次のログイン要求
を待つ。その結果としてライン３２０は、ソケットとサ
ーバ・プロセス３３５の間の接続を表している。「フォ
ーク」及び「実行」システム・コールによって、ライン
３４０で示すようにサーバ・プロセス３３５がログイン
・シェル・プロセス３７０を生じる。さらに、ｐｔｙマ
スタ・ファイルを開くことによってサーバ・プロセス
は、ライン３４５で示すように、サーバ・プロセス３３
５へ接続されるｐｔｙマスタ・デバイス・ドライバ３５
０を起動する。同様に、ｐｔｙスレーブ・ファイルを開
くことによってログイン・シェル・プロセスは、ライン
３６５で示すように、ログイン・シェル・プロセス３７
０へ接続されるｐｔｙスレーブ・デバイス・ドライバ３
６０を起動する。ｐｔｙスレーブ・デバイス・ドライバ
３６０は、疑似端末リンク３５５によってｐｔｙマスタ
・デバイス・ドライバ３５０と連結される。この方法で
は、ｐｔｙマスタ・デバイス・ドライバに書込まれる全
てのデータは、端末入力と一致するフォーマットでｐｔ
ｙスレーブ・デバイス・ドライバに伝送される。同様
に、ｐｔｙスレーブ・デバイス・ドライバに書込まれる
全てのデータもまた、同じフォーマットでｐｔｙマスタ
・デバイス・ドライバに伝送される。結果として、この
ｐｔｙデバイス・ドライバの対は、遠隔コンピュータ
（図示せず）がホスト・コンピュータに対してログイン
するために必要な端末の意味（semantics）を与える。
【００４１】カーネル・レベル１４０は、ｐｔｙスレー
ブ・デバイス・ドライバとｐｒｙマスタ・デバイス・ド
ライバの間の疑似端末リンクのセキュリティを提供す
る。セキュリティ手段は、図２のステップ２３５におけ
るｐｔｙマスタ・ファイルに対する「オープン」システ
ム・コール、及び図２のステップ２４０におけるｐｔｙ
スレーブ・ファイルに対する「オープン」システム・コ
ールを実行するルーチンの中に組み込まれる。図４は、
サーバ・プロセスが要求したときにカーネルがｐｔｙマ
スタ・ファイルを開く、即ち「オープン」システム・コ
ールを用いるルーチン４００の流れ図である。ｐｔｙマ
スタ・ファイルが安全な環境で開かれることを保証する
ためには、ｐｔｙマスタ・ファイル及びｐｔｙスレーブ
・ファイルの現状態が、前述の第１の規則セット（規則
（１）及び規則（２））を満足しなければならない。特
に、ステップ４０４において「オープン」システム・コ
ールが開始されると、ステップ４０５においてルーチン
４００は、ｐｔｙマスタ・ファイルがいずれかのプロセ
スによって既に開かれているか否かを問い合わせる。ｐ
ｔｙマスタ・ファイルが既に開かれている場合、ステッ
プ４１０においてカーネルは「オープン」システム・コ
ールが失敗したと見なし、サーバ・プロセスに対するエ
ラー標示へ戻る。しかし、ｐｔｙマスタ・ファイルがま
だ開かれていない場合、カーネルは規則（１）が満足さ
れたと見なし、このルーチンをステップ４１５へ進め
る。
【００４２】ステップ４１５においてこのルーチンは、
そのｐｔｙマスタ・ファイルに関係するｐｔｙスレーブ
・ファイルが、現在開かれているか否かを問い合わせ
る。ｐｔｙスレーブ・ファイルが開いている場合、ステ
ップ４２０においてカーネルは「オープン」システム・
コールが失敗したと見なし、サーバ・プロセスに対する
エラー標示へ戻る。しかし、ｐｔｙスレーブ・ファイル
が現在開かれていない場合、カーネルは規則（２）が満
足されたと見なし、このプロセスをステップ４２５へ進
める。ステップ４２５において、通常の「オープン」シ
ステム・コールが、ｐｔｙマスタ・ファイルを開くため
に実行される。「通常の「オープン」システム・コー
ル」という言葉は、ＵＮＩＸ環境の下で普通にｐｔｙフ
ァイルを開くために用いられる「オープン」システム・
コールを記述するために用いたものである。この通常の
「オープン」システム・コールが完了すると、即ちｐｔ
ｙマスタ・ファイルが開かれた後、ステップ４３０にお
いてこのルーチンはサーバ・プロセスに戻る。
【００４３】図５は、サーバ・プロセスが要求したとき
にカーネルがｐｔｙスレーブ・ファイルを開くルーチン
５００の流れ図である。ｐｔｙスレーブ・ファイルが安
全な環境で開かれることを保証するためには、ｐｔｙマ
スタ・ファイル及びｐｔｙスレーブ・ファイルの現状態
が、前述の第２の規則セット（規則（３）及び規則
（４））を満足しなければならない。ｐｔｙマスタ・フ
ァイルを開く前にはｐｔｙスレーブ・ファイルを開くこ
とができないことを保証するために、ステップ５０５に
おいてこのルーチンは、ｐｔｙマスタ・ファイルが現在
開いているか否かを問い合わせる。ｐｔｙマスタ・ファ
イルが現在開いていない場合、「オープン」システム・
コールは失敗し、そしてステップ５１０においてカーネ
ルはサーバ・プロセスに対してエラー標示を送る。しか
し、ｐｔｙマスタ・ファイルが開かれている場合、カー
ネルは規則（３）が満足されたと見なし、ルーチンをス
テップ５１５に進める。
【００４４】ステップ５１５においてこのルーチンは、
現在のシステム・コールがこのｐｔｙスレーブ・ファイ
ルを開くための最初のものであるか否かを問い合わせ
る。これがｐｔｙスレーブ・ファイルに対する最初の
「オープン」システム・コールである場合、ファイルの
セキュリティを容易にするために、以下に述べる引き続
くステップにおいてカーネルはｐｔｙスレーブ・ファイ
ルに対するユーザ識別子（ＵＩＤ）、グループ識別子
（ＧＩＤ）、及びアクセス許可コードを変更する。しか
しながら、この「オープン」システム・コールが別のユ
ーザにより先に実行されたそれより後のものであった場
合、このユーザは経路５２０に沿って、ＵＩＤ、ＧＩ
Ｄ、及び許可コードを変更することなく「オープン」シ
ステム・コールのルーチンにアクセスすることができ
る。ここで別のユーザとは、例えば、先に開かれたｐｔ
ｙスレーブ・ファイルに対して書込みを許可された指定
グループ内のユーザである。従って、ステップ５１５に
おける問い合わせの結果が否定であった場合、ステップ
５４０においてルーチンは、ｐｔｙスレーブ・ファイル
を開くために通常の「オープン」システム・コールを行
う。しかしながら、ステップ５１５における問い合わせ
の結果が肯定であった場合、ステップ５２５においてル
ーチンは、ｐｔｙスレーブ・ファイルにアクセス要求し
ているアプリケーション・プロセスの有効ＵＩＤを、先
に開かれた関係するｐｔｙマスタ・ファイルの有効ＵＩ
Ｄと比較する。これらの有効ＵＩＤが一致しない場合、
ステップ５３０においてカーネルは、「オープン」シス
テム・コールが失敗したと見なし、サーバ・プロセスに
対してエラー標示を送る。そうでない場合、即ちこれら
の有効ＵＩＤが一致する場合、ステップ５３５において
ｐｔｙスレーブ・ファイルのオーナーが、通常「ルー
ト」である現在の名前から、アクセス要求しているプロ
セスの有効ＵＩＤへと変更される。この例においては、
オーナー名はサーバ・プロセスのＵＩＤに変更される。
さらにｐｔｙスレーブ・ファイルのＧＩＤも、必要であ
れば新しい値、通常は「ｔｔｙ」に変更することができ
る。ファイルのオーナーシップを変更する特定のプロセ
スは、周知の技術である。従ってこのプロセスについて
のさらに詳細な説明は不要である。
【００４５】ファイルのオーナーシップの変更と同時
に、ステップ５３５においてルーチン５００は、ｐｔｙ
スレーブ・ファイルのアクセス許可コードを、通常「ｒ
ｗ．ｒｗ．ｒｗ．」である現在の値から「ｒｗ．．
ｗ．．．．」へと変更する。このアクセス制限は、オペ
レーティング・システムにより指定されたグループ内の
ユーザ以外のいずれのユーザによるｐｔｙスレーブ・フ
ァイルへのアクセスも防ぐ。この方法では、最初にｐｔ
ｙスレーブ・ファイルを開くユーザのみが、読取り
（「ｒ」）及び書込み（「ｗ」）の権利を有する。ま
た、指定されたグループのユーザであれば書込みの権利
を有することになり、それによって、ファイル・ユーザ
のログイン中にそのユーザに対してメッセージを送るこ
とができる。例えば、差し迫ったシステム故障の警告等
のメッセージである。そして、このグループ外のユーザ
は、現在開かれているｐｔｙスレーブ・ファイルにアク
セスする権利がない。本発明の目的に従い、ｐｔｙスレ
ーブ・ファイルのＵＩＤ、ＧＩＤ、及びオーナーシップ
の変更は、１つのシステム・コール、即ち、アトミック
動作により実現される。
【００４６】ステップ５４０においてルーチンは、通常
の方法で「オープン」システム・コールを実行する。ス
テップ５４５においてルーチン５００は、「オープン」
システム・コールの回数の経過を保存しておくためにカ
ウンタ（スレーブ・ファイル・カウンタ）を増分させ
る。カウンタの計数は、以下に記載する「クローズ」シ
ステム・コール中に利用される。安全な方法でｐｔｙス
レーブ・ファイルを開くためのルーチン５００は、ステ
ップ５５０においてサーバ・プロセスに戻る。引き続い
て、前述のように、サーバ・プロセスは遠隔コンピュー
タに対し、その遠隔コンピュータが正当なものである場
合、ログイン・シェル並びにホスト・コンピュータ内の
種々のファイルやプログラムにアクセスできるようにす
る。
【００４７】図６は、遠隔コンピュータとホスト・コン
ピュータの間の通信パスの終了に対して、カーネルがｐ
ｔｙスレーブ・ファイルを閉じるルーチン６００の流れ
図である。このクローズは、最終のまたは最後のクロー
ズと呼ばれるものである。
【００４８】ルーチン６００は、ステップ６０５におい
てカーネルが、「クローズ」システム・コール要求を受
信することから開始される。スレーブ・ファイル・カウ
ンタ（図５のステップ５４５及び図６のステップ６２
０）は、所定のｐｔｙスレーブ・ファイルに関する最初
にファイルが開かれた時点からの「オープン」及び「ク
ローズ」のそれぞれの回数の計数を保存する。このよう
にスレーブ・ファイル・カウンタは、スレーブ・ファイ
ルの「オープン」システム・コール毎にその計数を増分
させ、「クローズ」システム・コール毎にその計数を減
分させる。スレーブ・ファイル・カウンタのカウンタの
計数が１より大きければ、ステップ６０７においてルー
チン６００は、今回のクローズが最終のまたは最後の
「クローズ」システム・コールではないと見なす。この
例では、ルーチンは経路６０８を経て進む。引き続いて
ステップ６１５は、通常の方法により、クローズ要求し
ているプロセスとｐｔｙスレーブ・ファイルの間の接続
を閉じる。そうでない場合、即ちスレーブ・ファイル・
カウンタの計数が１であるならば、ステップ６０７にお
いてルーチン６００は、今回の「クローズ」システム・
コールが最終のまたは最後の「クローズ」システム・コ
ールとなるべきものと見なす。その結果、ステップ６１
０において、以前に変更されたＵＩＤ、ＧＩＤ、及び許
可コードが、それらの元の値にアトミック動作により戻
される。その後、ステップ６１５においてプロセスは、
通常の方法で「クローズ」システム・コールを実行す
る。「クローズ」システム・コールが完了すると、ステ
ップ６２０においてルーチンは、スレーブ・ファイル・
カウンタを減分させる。最後に、ｐｔｙスレーブ・ファ
イルを閉じるためのルーチンはステップ６２５において
サーバ・プロセスに戻る。以上、本発明を組み込んだ１
つの例を挙げて詳細に記載してきたが、当業者であれ
ば、本発明の要旨を包含する他の多くの変形例を容易に
発案できるであろう。
【００４９】
【発明の効果】「オープン」システム・コールのルーチ
ンにおいて、疑似端末ファイルの対に対して規則に基づ
くアクセスを行うことによって、アプリケーション・プ
ログラムはｐｔｙマスタ・ファイルとｐｔｙスレーブ・
ファイルの間のリンクのセキュリティを図る必要がなく
なる。本発明の進歩的な技術は、セキュリティの負担を
カーネルに委ねることによって、セキュリティを汎用的
ベース上で行うものである。即ち、ホスト・コンピュー
タ上で実行される全てのアプリケーションに対して行う
ことができる。従っていずれかのアプリケーションが、
telnet、アール・ログイン（rlogin）、Ｘ−ウィンドウ
等のアプリケーションを含む疑似端末を開くための「オ
ープン」システム・コールを実行する任意のアプリケー
ションをホスト・コンピュータが実行しているときに
は、本発明によってホスト・コンピュータを不正なアク
セスから保護することができる。
【図面の簡単な説明】
【図１】ネットワーク環境において動作するＵＮＩＸベ
ースのホスト・コンピュータ１００を示したハイレベル
・ブロック図である。
【図２】遠隔コンピュータが、ネットワークを介してＵ
ＮＩＸベースのホスト・コンピュータへのアクセスを獲
得するプロセス２００の流れ図である。
【図３】本発明を実施するために使用される図１のホス
ト・コンピュータ１００内におけるファイル及びプロセ
スの関係を示したブロック図である。
【図４】ｐｔｙマスタ・ファイルとｐｔｙスレーブ・フ
ァイルの間の疑似端末リンクを不正なアクセスから保護
するためのセキュリティ手段を含む、「オープン」シス
テム・コールを実行するためのルーチン４００の流れ図
である。
【図５】ｐｔｙマスタ・ファイルとｐｔｙスレーブ・フ
ァイルの間の疑似端末リンクを不正なアクセスから保護
するためのセキュリティ手段を含む、「オープン」シス
テム・コールを実行するためのルーチン５００の流れ図
である。
【図６】「クローズ」システム・コールを実行するため
のルーチン６００の流れ図である。
【符号の説明】
５０ 中央演算処理装置（ＣＰＵ） ６０ 記憶装置 １００ ホスト・コンピュータ １１０ ネットワーク １２５ アプリケーション・レベル １４０ カーネル ３１０ ネットワーク・デバイス・ドライバ ３２５ telnetデーモン・プロセス ３３０ 「フォーク」システム・コール ３３５ サーバ・プロセス ３４０ 「フォーク」及び「実行」システム・コール ３５０ ｐｔｙマスタ・デバイス・ドライバ ３５５ 疑似端末リンク ３６０ ｐｒｙスレーブ・デバイス・ドライバ ３７０ ログイン・シェル・プロセス
───────────────────────────────────────────────────── フロントページの続き (72)発明者 ジョン・ハワード・ケース アメリカ合衆国12401 ニューヨーク州、 キングストン、メイン・ストレート 265 (72)発明者 リチャード・アレン・ファビッシュ アメリカ合衆国12580 ニューヨーク州、 スタッツバーグ、ホロー・リッジ・ロー ド 19

Claims (26)

    (57)【特許請求の範囲】
  1. 【請求項１】オペレーティング・システムを有するコン
    ピュータ・システムにおいて、疑似端末マスタ・ファイ
    ルと、該マスタ・ファイルに関連する疑似端末スレーブ
    ・ファイルとの間に安全な疑似端末リンクを確立するた
    めの方法であって、 前記疑似端末マスタ・ファイルを開くための第１の要求
    を第１のアプリケーション・プログラムから受信するス
    テップと、 前記疑似端末マスタ・ファイル及び前記疑似端末スレー
    ブ・ファイルの現在の状態が第１の規則セットを満足す
    る場合は前記第１の要求を許可し、それ以外の場合は該
    第１の要求を拒否するステップと、 前記第１の要求が許可された場合は前記疑似端末マスタ
    ・ファイルを開くステップと、 前記疑似端末スレーブ・ファイルを開くための第２の要
    求を第２のアプリケーション・プログラムから受信する
    ステップと、 前記疑似端末マスタ・ファイル及び前記疑似端末スレー
    ブ・ファイルの現在の状態が第２の規則セットを満足す
    る場合は前記第２の要求を許可し、それ以外の場合は該
    第２の要求を拒否するステップと、 前記第２の要求が許可された場合は、前記関連する疑似
    端末スレーブ・ファイルのアクセス許可コード及びオー
    ナーシップ情報を変更するステップと、 前記アクセス許可コード及びオーナーシップ情報が変更
    された後に、前記関連する疑似端末スレーブ・ファイル
    を開き、前記疑似端末マスタ・ファイルと該疑似端末ス
    レーブ・ファイルとを疑似端末リンクによって接続する
    ステップとを含む、 安全な疑似端末リンクの確立方法。
  2. 【請求項２】前記第１のアプリケーション・プログラム
    と前記第２のアプリケーション・プログラムが同一のプ
    ログラムである、請求項１に記載の方法。
  3. 【請求項３】前記第１の規則セットが、前記疑似端末マ
    スタ・ファイルと前記疑似端末スレーブ・ファイルが現
    在閉じていることを要件とする、請求項１に記載の方
    法。
  4. 【請求項４】前記第２の規則セットが、前記疑似端末マ
    スタ・ファイルが現在開いており、且つ該疑似端末マス
    タ・ファイルを開いた前記第１のアプリケーション・プ
    ログラムに関連する第１の有効ユーザ識別子が、前記疑
    似端末スレーブ・ファイルを開くよう現在要求している
    前記第２のアプリケーション・プログラムに関連する第
    ２の有効ユーザ識別子と一致することを要件とする、請
    求項１に記載の方法。
  5. 【請求項５】前記変更ステップが、 前記疑似端末スレーブ・ファイルの個々のオーナーシッ
    プ情報を、第１のオーナー名から前記第２のアプリケー
    ション・プログラムに関連する有効ユーザ識別子へ変更
    するステップと、 前記アクセス許可コードを、第１の値から第２の値へと
    変更するステップとを含む、 請求項１に記載の方法。
  6. 【請求項６】前記変更ステップが、 前記疑似端末スレーブ・ファイルのグループ・オーナー
    シップ情報を、第１のグループ名から第２のグループ名
    へ変更するステップを含む、 請求項５に記載の方法。
  7. 【請求項７】前記変更ステップが、 前記疑似端末スレーブ・ファイルが最後に閉じられると
    き、前記アクセス許可コードを前記第２の値から前記第
    １の値へと変更し、且つ前記疑似端末スレーブ・ファイ
    ルの個々のオーナーシップ情報を前記有効ユーザ識別子
    から前記第１のオーナー名へと変更するステップを含
    む、 請求項５に記載の方法。
  8. 【請求項８】前記変更ステップが、クローズ・システム
    ・コールを用いるアトミックな方法である、請求項７に
    記載の方法。
  9. 【請求項９】前記第１のオーナー名が、スーパーユーザ
    名である、請求項５または７に記載の方法。
  10. 【請求項１０】前記アクセス許可コードの前記第１の値
    が、「ｒｗ．ｒｗ．ｒｗ．」であり、且つ前記第２の値
    が、「ｒｗ．．ｗ．．．．」である、請求項５または７
    に記載の方法。
  11. 【請求項１１】前記変更ステップが、 前記疑似端末スレーブ・ファイルが最後に閉じられると
    き、前記疑似端末スレーブ・ファイルの前記グループ・
    オーナーシップ情報を前記第２のグループ名から前記第
    １のグループ名へ変更するステップを含む、 請求項７に記載の方法。
  12. 【請求項１２】前記第２のグループ名が、前記オペレー
    ティング・システムのインプリメンテーションにより定
    義される、請求項６または１１に記載の方法。
  13. 【請求項１３】前記方法が、前記オペレーティング・シ
    ステムのカーネル内で実行される、請求項１に記載の方
    法。
  14. 【請求項１４】オペレーティング・システムを有するコ
    ンピュータ・システムにおいて、疑似端末マスタ・デバ
    イス・ドライバ（３５０）と、該マスタ・デバイス・ド
    ライバに関連する疑似端末スレーブ・デバイス・ドライ
    バ（３６０）との間に安全な疑似端末リンクを確立する
    装置であって、 前記疑似端末マスタ・デバイス・ドライバを開くための
    第１の要求を第１のアプリケーション・プログラム（３
    ３５）から受信する手段（２３５）と、 前記疑似端末マスタ・デバイス・ドライバ及び前記疑似
    端末スレーブ・デバイス・ドライバの現在の状態が第１
    の規則セットを満足する場合は前記第１の要求を許可
    し、それ以外の場合は該第１の要求を拒否する手段（４
    ０５、４１０、４１５、４２０）と、 前記第１の要求が許可された場合は前記疑似端末マスタ
    ・デバイス・ドライバを開く手段（４２５）と、 前記疑似端末スレーブ・デバイス・ドライバを開くため
    の第２の要求を第２のアプリケーション・プログラム
    （３７０）から受信する手段（２４０）と、 前記疑似端末マスタ・デバイス・ドライバ及び前記疑似
    端末スレーブ・デバイス・ドライバの現在の状態が第２
    の規則セットを満足する場合は前記第２の要求を許可
    し、それ以外の場合は該第２の要求を拒否する手段（５
    ０５、５１０、５１５、５２５、５３０）と、 前記第２の要求が許可された場合は、前記関連する疑似
    端末・スレーブ・デバイス・ドライバのアクセス許可コ
    ード及びオーナーシップ情報を変更する手段（５３５）
    と、 前記アクセス許可コード及びオーナーシップ情報が変更
    された後に、前記関連する疑似端末スレーブ・デバイス
    ・ドライバを開き、前記疑似端末マスタ・デバイス・ド
    ライバと該疑似端末スレーブ・デバイス・ドライバとを
    疑似端末リンク（３５５）によって接続する手段（５４
    ０）とを含む、 安全な疑似端末リンクを確立する装置。
  15. 【請求項１５】前記第１のアプリケーション・プログラ
    ムと前記第２のアプリケーション・プログラムが同一の
    プログラムである、請求項１４に記載の装置。
  16. 【請求項１６】前記第１の規則セットが、前記疑似端末
    マスタ・デバイス・ドライバと前記疑似端末スレーブ・
    デバイス・ドライバが現在閉じていることを要件とす
    る、請求項１４に記載の装置。
  17. 【請求項１７】前記第２の規則セットが、前記疑似端末
    マスタ・デバイス・ドライバが現在開いており、且つ該
    疑似端末マスタ・デバイス・ドライバを開いた前記第１
    のアプリケーション・プログラムに関連する第１の有効
    ユーザ識別子が、前記疑似端末スレーブ・デバイス・ド
    ライバを開くよう現在要求している前記第２のアプリケ
    ーション・プログラムに関連する第２の有効ユーザ識別
    子と一致することを要件とする、請求項１４に記載の装
    置。
  18. 【請求項１８】前記変更手段が、 前記疑似端末スレーブ・デバイス・ドライバの個々のオ
    ーナーシップ情報を、第１のオーナー名から前記第２の
    アプリケーション・プログラムに関連する有効ユーザ識
    別子へ変更する手段（５３５）と、 前記アクセス許可コードを、第１の値から第２の値へと
    変更する手段（５３５）とを含む、 請求項１４に記載の装置。
  19. 【請求項１９】前記変更手段が、 前記疑似端末スレーブ・デバイス・ドライバのグループ
    ・オーナーシップ情報を、第１のグループ名から第２の
    グループ名へ変更する手段を含む、 請求項１８に記載の装置。
  20. 【請求項２０】前記変更手段が、 前記疑似端末スレーブ・デバイス・ドライバが最後に閉
    じられるとき、前記アクセス許可コードを前記第２の値
    から前記第１の値へと変更し、且つ前記疑似端末スレー
    ブ・デバイス・ドライバの個々のオーナーシップ情報を
    前記有効ユーザ識別子から前記第１のオーナー名へと変
    更する手段（６１０）を含む、 請求項１８に記載の装置。
  21. 【請求項２１】前記変更手段が、クローズ・システム・
    コールを用いるアトミックな手段（６１０）である、請
    求項２０に記載の装置。
  22. 【請求項２２】前記第１のオーナー名が、スーパーユー
    ザ名である、請求項１８または２０に記載の装置。
  23. 【請求項２３】前記アクセス許可コードの前記第１の値
    が、「ｒｗ．ｒｗ．ｒｗ．」であり、且つ前記第２の値
    が、「ｒｗ．．ｗ．．．．」である、請求項１８または
    ２０に記載の装置。
  24. 【請求項２４】前記変更手段が、 前記疑似端末スレーブ・デバイス・ドライバが最後に閉
    じられるとき、前記疑似端末スレーブ・デバイス・ドラ
    イバの前記グループ・オーナーシップ情報を前記第２の
    グループ名から前記第１のグループ名へ変更する手段を
    含む、 請求項２１に記載の安全な疑似端末リンクを形成する装
    置。
  25. 【請求項２５】前記第２のグループ名が、前記オペレー
    ティング・システムのインプリメンテーションにより定
    義される、請求項１９または２４に記載の安全な疑似端
    末リンクを形成する装置。
  26. 【請求項２６】前記装置が、前記オペレーティング・シ
    ステムのカーネル内にある、請求項１４記載の装置。
JP5319497A 1993-01-27 1993-12-20 疑似端末リンクの確立方法及びその装置 Expired - Lifetime JP2500103B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US009519 1993-01-27
US08/009,519 US5452460A (en) 1993-01-27 1993-01-27 Method and apparatus for creating secure pseudo-terminal links

Publications (2)

Publication Number Publication Date
JPH06243065A JPH06243065A (ja) 1994-09-02
JP2500103B2 true JP2500103B2 (ja) 1996-05-29

Family

ID=21738150

Family Applications (1)

Application Number Title Priority Date Filing Date
JP5319497A Expired - Lifetime JP2500103B2 (ja) 1993-01-27 1993-12-20 疑似端末リンクの確立方法及びその装置

Country Status (2)

Country Link
US (1) US5452460A (ja)
JP (1) JP2500103B2 (ja)

Families Citing this family (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5675771A (en) * 1993-09-28 1997-10-07 Bull Hn Information Systems Inc. Mechanism for enabling emulation system users to directly invoke a number of host system facilities for executing host procedures either synchronously or asynchronously in a secure manner through automatically created shell mechanisms
US5664098A (en) * 1993-09-28 1997-09-02 Bull Hn Information Systems Inc. Dual decor capability for a host system which runs emulated application programs to enable direct access to host facilities for executing emulated system operations
KR100200961B1 (ko) * 1995-12-30 1999-06-15 윤종용 팩시밀리의 수신결과 기록 장치 및 방법
US7130888B1 (en) * 1996-02-16 2006-10-31 G&H Nevada-Tek Method and apparatus for controlling a computer over a TCP/IP protocol network
US7100069B1 (en) * 1996-02-16 2006-08-29 G&H Nevada-Tek Method and apparatus for controlling a computer over a wide area network
US5894554A (en) * 1996-04-23 1999-04-13 Infospinner, Inc. System for managing dynamic web page generation requests by intercepting request at web server and routing to page server thereby releasing web server to process other requests
US5802518A (en) * 1996-06-04 1998-09-01 Multex Systems, Inc. Information delivery system and method
US6408329B1 (en) * 1996-08-08 2002-06-18 Unisys Corporation Remote login
US6499108B1 (en) 1996-11-19 2002-12-24 R. Brent Johnson Secure electronic mail system
US5970149A (en) * 1996-11-19 1999-10-19 Johnson; R. Brent Combined remote access and security system
US6578146B2 (en) 1996-11-19 2003-06-10 R. Brent Johnson System, method and article of manufacture to remotely configure and utilize an emulated device controller via an encrypted validation communication protocol
US20010039564A1 (en) * 1997-10-20 2001-11-08 Victor Hahn Log on personal computer
US6275855B1 (en) 1997-11-02 2001-08-14 R. Brent Johnson System, method and article of manufacture to enhance computerized alert system information awareness and facilitate real-time intervention services
US6405367B1 (en) * 1998-06-05 2002-06-11 Hewlett-Packard Company Apparatus and method for increasing the performance of Java programs running on a server
EP1163600A4 (en) * 1999-03-17 2004-03-03 Victor C Hahn METHODS AND APPARATUSES FOR INCREASING THE CAPACITY OF PERSONAL COMPUTERS
US6785894B1 (en) * 1999-04-09 2004-08-31 Sun Microsystems, Inc. Virtual device driver
US7287089B1 (en) * 2000-10-25 2007-10-23 Thomson Financial Inc. Electronic commerce infrastructure system
US7330830B1 (en) * 2000-10-25 2008-02-12 Thomson Financial Inc. Distributed commerce system
US7305360B1 (en) * 2000-10-25 2007-12-04 Thomson Financial Inc. Electronic sales system
US7293179B2 (en) * 2001-08-01 2007-11-06 Johnson R Brent System and method for virtual tape management with remote archival and retrieval via an encrypted validation communication protocol
US7571445B2 (en) * 2001-11-29 2009-08-04 Dell Products L.P. System and method for dynamic device driver support in an open source operating system
US7346930B1 (en) * 2002-10-31 2008-03-18 Sprint Communications Company L.P. Security framework bridge
US7590986B1 (en) * 2004-06-30 2009-09-15 Sun Microsystems, Inc. Methods and apparatus supporting access to multiple devices via a pseudo device driver
US7836034B2 (en) * 2005-05-16 2010-11-16 International Business Machines Corporation Method and apparatus for updating first data value before second data value
US8910272B2 (en) * 2008-02-28 2014-12-09 Hob Gmbh & Co. Kg Computer communication system for communication via public networks
JP5343841B2 (ja) * 2009-12-22 2013-11-13 ソニー株式会社 無線通信装置、無線通信方法、プログラム、および無線通信システム
US9141808B1 (en) * 2010-10-29 2015-09-22 Symantec Corporation Data loss prevention
US20130290475A1 (en) * 2012-04-25 2013-10-31 Akiri Solutions, Inc. Shared access to a remotely running application
US9928377B2 (en) * 2015-03-19 2018-03-27 Netskope, Inc. Systems and methods of monitoring and controlling enterprise information stored on a cloud computing service (CCS)
US11425169B2 (en) 2016-03-11 2022-08-23 Netskope, Inc. Small-footprint endpoint data loss prevention (DLP)
US10469525B2 (en) 2016-08-10 2019-11-05 Netskope, Inc. Systems and methods of detecting and responding to malware on a file system
US10834113B2 (en) 2017-07-25 2020-11-10 Netskope, Inc. Compact logging of network traffic events
US11416641B2 (en) 2019-01-24 2022-08-16 Netskope, Inc. Incident-driven introspection for data loss prevention
US11856022B2 (en) 2020-01-27 2023-12-26 Netskope, Inc. Metadata-based detection and prevention of phishing attacks
US11475158B1 (en) 2021-07-26 2022-10-18 Netskope, Inc. Customized deep learning classifier for detecting organization sensitive data in images on premises

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4672572A (en) * 1984-05-21 1987-06-09 Gould Inc. Protector system for computer access and use
US4652698A (en) * 1984-08-13 1987-03-24 Ncr Corporation Method and system for providing system security in a remote terminal environment
US4825354A (en) * 1985-11-12 1989-04-25 American Telephone And Telegraph Company, At&T Bell Laboratories Method of file access in a distributed processing computer network
US4882752A (en) * 1986-06-25 1989-11-21 Lindman Richard S Computer security system
FR2623309B1 (fr) * 1987-11-13 1994-04-08 Boule Jean Pierre Dispositif et procede de securisation d'echange de donnees entre un terminal videotex et un serveur
US4885789A (en) * 1988-02-01 1989-12-05 International Business Machines Corporation Remote trusted path mechanism for telnet
US4949248A (en) * 1988-07-15 1990-08-14 Caro Marshall A System for shared remote access of multiple application programs executing in one or more computers
US5124909A (en) * 1988-10-31 1992-06-23 Hewlett-Packard Company Software program for providing cooperative processing between personal computers and a host computer
GB8916586D0 (en) * 1989-07-20 1989-09-06 Int Computers Ltd Distributed data processing system
US5073933A (en) * 1989-12-01 1991-12-17 Sun Microsystems, Inc. X window security system
US5032979A (en) * 1990-06-22 1991-07-16 International Business Machines Corporation Distributed security auditing subsystem for an operating system

Also Published As

Publication number Publication date
US5452460A (en) 1995-09-19
JPH06243065A (ja) 1994-09-02

Similar Documents

Publication Publication Date Title
JP2500103B2 (ja) 疑似端末リンクの確立方法及びその装置
US5987517A (en) System having a library of protocol independent reentrant network interface functions for providing common calling interface for communication and application protocols
EP0803101B1 (en) A mechanism for linking together the files of emulated and host system for access by emulated system users
EP0972240B1 (en) An agent-implemented locking mechanism
US5740370A (en) System for opening cache file associated with designated file of file server only if the file is not subject to being modified by different program
US6578037B1 (en) Partitioned access control to a database
EP0438571B1 (en) Method and system for open file caching in a networked computer system
US7451482B2 (en) Protected execution environments within a computer system
EP0192243B1 (en) Method of protecting system files and data processing unit for implementing said method
US6381602B1 (en) Enforcing access control on resources at a location other than the source location
US4701840A (en) Secure data processing system architecture
EP0443423B1 (en) Method and apparatus for executing trusted-path commands
Gligor et al. Design and implementation of secure Xenix
WO2001025922A1 (en) Method and system for providing data security using file spoofing
WO1996009705A1 (en) A mechanism for providing security to a dual decor command host system
US7178165B2 (en) Additional layer in operating system to protect system from hacking
US5675771A (en) Mechanism for enabling emulation system users to directly invoke a number of host system facilities for executing host procedures either synchronously or asynchronously in a secure manner through automatically created shell mechanisms
US6766457B1 (en) Method for controlling access to a multiplicity of objects using a customizable object-oriented access control hook
US6732211B1 (en) Intercepting I/O multiplexing operations involving cross-domain file descriptor sets
US9516032B2 (en) Methods and systems for using derived user accounts
US20050055564A1 (en) Object model document for obfuscating object model therein
EP1830261B1 (en) Method and apparatus for data transfer between isolated execution contexts
US6986058B1 (en) Method and system for providing data security using file spoofing
Araki et al. An Access Control Mechanism for Object-Oriented Database Systems
Needham et al. Access Control

Legal Events

Date Code Title Description
R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees