The Protection of Information in Computer Systems（安全设计八原则）

一句话

一篇 1975 年的教程式综述：它把散落在 Multics 等系统的保护经验收拢成一套至今通用的词汇（主体与客体、认证与授权、访问矩阵、访问控制表与能力）和八条设计原则。它没提出新算法，却定义了「安全地设计一个系统」该怎么谈。

Glossary · 术语表

坐标

Jerome H. Saltzer 与 Michael D. Schroeder，同出自 MIT 的 Project MAC，论文刊于 1975 年 9 月的《Proceedings of the IEEE》。两人都是 Multics 的亲历者，全文的实感来自那个真造出来、也真被攻过的系统。它上承 Lampson 1971 年的访问矩阵与 Anderson 1972 年的引用监视器，下启 1983 年的 TCSEC 标准与今天的零信任。

问题与动机

1970 年代初，计算机正从「一人一台、排队上机」变成分时共享，一台机器上同时跑着互不信任的用户，机房那把锁不再是边界。当时的保护实践两个毛病：零散，各家各发明一套机制，「A 比 B 安全」无从谈起；事后，先做功能、被攻破了再补。

作者先把词分清：隐私是「信息该给谁看」这个社会问题，安全是控制谁能用系统与信息的整套手段，保护是系统内部的具体机制——这篇只谈最后一个。再定义「被攻破」：三类违规，未授权的泄露、篡改、拒绝使用，即后来的 CIA 三性。最后把保护能力排成一道阶梯（图 1），并坦白最高一级做不到。

核心思想 / 方法

一、八条设计原则

这八条不是定理，而是「你要是违反了它，请停下来想清楚为什么」的警示牌——作者自己就这么定位。

• 机制经济性（economy of mechanism）：机制尽可能小、尽可能简单。因为安全的错误是沉默的——功能少写一行会报错，权限少查一次毫无症状，只能靠人一行行读过去确认，所以必须小到读得完。
• 失败即拒（fail-safe defaults）：默认无权，按「允许清单」而非「禁止清单」决策，好让错误往安全一侧倒——漏掉的情况在前者下是某功能用不了（立刻被投诉、很快修好），在后者下是某个洞没堵（可能永远没人发现）。
• 完全仲裁（complete mediation）：每次对每个对象的访问都查一次权限，不留旁路。这条最难落地：出于性能人们总想缓存检查结果，而权限一旦撤销，缓存就是后门。
• 开放设计（open design）：机制可以公开，安全只依赖少量可更换的秘密。图纸迟早泄露而且改不动，钥匙泄露了却能换——密码学的 Kerckhoffs 原则。
• 权限分离（separation of privilege）：要两个独立条件同时满足才放行，攻破两条独立路径远难于一条——金库双人双钥、双因素认证、多签钱包都是。（今人说的 privilege separation 指把程序拆成高低权限两半，那其实是最小权限。）
• 最小权限（least privilege）：每个用户、每个程序只持有眼下任务必需的权限，同时压住两件事——出事时的爆炸半径和要被审查的权限组合数。
• 最少公共机制（least common mechanism）：尽量减少「多人共用、又被所有人依赖」的机制——共用部件天然是一条信息通道（一个人能借它察觉甚至影响另一个人），且一破全完。
• 心理可接受性（psychological acceptability）：机制要好用到人愿意照做。用户脑子里「我想保护什么」的图景若和机制对不上，他就会把权限设错，且不知道自己设错了。

另有两条借自物理安全，作者诚实指出都搬不太动：工作因子（攻破要花多少资源）——可多数攻击不是穷举而是绕过缺陷；入侵留痕（至少事后看得见）——可复制数据不留痕迹。

二、门卫：认证、授权与完全仲裁

把原则落成结构，核心是一个门卫：认证问「你是谁」，授权问「这身份能不能做这件事」，完全仲裁则要求它没有旁门——后来形式化为引用监视器三条：不可绕过、防篡改、小到可验证。

硬件怎么托住它？机器分两态，程序不能自己编地址，只能经描述符访问内存，描述符寄存器只有内核态能装填。这里有个常被忽略的精妙处：把寻址和授权绑在同一条硬件路径上，是让「每次都查」不至于慢到不可接受的关键——查权限成了取地址的顺带动作。

三、访问矩阵的两种切法：名单 vs 钥匙串

权限的全貌是一张矩阵（Lampson 1971）：行是主体、列是客体，格子里是允许的操作。真实系统不存这张稀疏大表，而是切开来存，切的方向不同取舍就完全不同。

• 按列切 = 访问控制表：每个客体自带一张「谁能对我做什么」的名单。好处是「这份文件谁能看」一目了然、撤销就是划掉一行；代价是反过来问「某人能碰哪些东西」要翻遍全系统。
• 按行切 = 能力：每个主体持一串不可伪造的钥匙，每把既指明对象又携带权限。好处是出示即用、非常快，也天然支持把权限的一小部分转给别人；代价是撤销极难。

这组取舍五十年没变：UNIX 文件权限、云上的访问策略是名单派；OAuth 令牌、预签名链接是钥匙派——钥匙派在分布式系统里流行，正因为「出示即用」不必回中心问一次。

四、保护子系统：可信的不只有内核

还有个容易被略过的想法：保护不该只有「内核 vs 其余」两级。普通程序也能有私有数据和受保护的入口（gate）——外界只能从少数公开入口调进来，碰不到内部数据。这是今天沙箱与对象能力系统的祖型，Multics 用保护环落了地。

关键结果

诚实地说：这篇没有实验、没有数据表、没有基线对比，它是教程综述，该期待的不是数字。

它的说服力来自一个真造出来、也真被攻过的系统。1974 年美国空军对 Multics 的渗透评估（Karger 与 Schell）确实找到了可利用的漏洞，但结论是它明显强于同代系统；两位评估者 2002 年的回顾进一步指出：被攻破处大多正是违反了上述原则的实现细节。原则不是空谈，是复盘出来的——而后来五十年里，八条没有一条被推翻。

为什么重要 / 影响

它给了这门学科一套共同语言：主体与客体、认证与授权、访问控制表与能力成为常识，很大程度上因为这篇把它们摆在一起给了统一讲法，此后「A 比 B 安全」才是可讨论的命题。

八条一一活到了今天：默认拒绝的防火墙与安全组（失败即拒）；零信任「每个请求都重新校验、不因来自内网就放行」（完全仲裁）；把可信计算基压到最小、乃至 seL4 那样约一万行且被完整形式化验证的微内核（机制经济性）；公开征集、公开分析选出的 AES（开放设计）；双因素与多签（权限分离）；IAM 角色、seccomp 白名单（最小权限）；Spectre / Meltdown 这类因共享缓存而跨界泄密的教训（最少公共机制）；默认开启 HTTPS、用密码管理器而不是逼人记口令（心理可接受性）。

更根本的是，它立住了「安全是设计属性」——不是发布前加挂的模块，而是从第一天就约束结构。

局限与批评

• 不可度量，也彼此打架：你没法证明一个系统「做到了最小权限」，也没法给「机制经济性」打分，于是它们容易沦为事后自辩的话术。原则之间还会冲突：最少公共机制与云计算的多租户经济学正面对撞；最小权限与心理可接受性常互斥——权限切得越细、弹窗越多，用户越是一路点「允许」。论文没给取舍方法。
• 体系结构那半篇过时得厉害：文中重点讲的描述符机器、能力硬件与段式保护商业上基本失败（Intel iAPX 432 是著名例子），平坦地址空间加分页赢了；不过这条路线近年由 CHERI 复活。
• 时代局限：1975 年的威胁模型没有互联网规模的匿名对手、没有侧信道，也没有供应链攻击（对读 Thompson 1984《信任的信任》：编译器本身可能带毒，八条没一条能救你）。三类违规里的「拒绝使用」几乎没展开，今天的 DDoS 正落在这片空白。
• 它点名的难题至今未解：阶梯最高一级「给信息拴上绳子」，即 Lampson 1973 的限制问题与隐蔽信道。DRM、数据防泄漏、污点追踪都只是部分答案——数据一旦交出去，你依然管不住。

要点