基于依賴圖的信息流圖構建方法

摘 要：信息流分析法是一種有效的隱通道搜索方法，用信息流圖來描述系統中信息流的流動情況。直接基于系統源代碼生成系統信息流圖，由于信息流的傳遞關系，會引進大量系統中不存在的信息流路徑。利用程序依賴圖先處理系統信息流中的傳遞關系，然后再進行信息流圖的生成，從而減少引入系統中不存在的信息流路徑，減少信息流分析時的工作量。

關鍵詞：程序依賴圖；信息流；信息流圖；隱通道

中圖分類號：TP393.08文獻標志碼：A

文章編號：1001-3695(2009)06-2154-04

doi:10.3969/j.issn.1001-3695.2009.06.047

Construct information flow graph based on PDG

ZENG Jian，JU Shi-guang，SONG Xiang-mei

(School of Computer Science Telecommunication Engineering， Jiangsu University， Zhenjiang Jiangsu 212013， China)Abstract:Information flow analysis is an effective approach to identify covert channel. This paper represented the information flow of the system with information flow graph(IFG). If constructing the IFG of system based on the source code of the system directly，it may produce a great number of information flow paths not existing in the system for the reason of the transitivity of the information flow. This paper handled the transitivity of the information flow with the program dependence graph before constructing the IFG. It reduced the number of the information flow paths not existing in the system and the workload of information flow analysis based on the IFG.

Key words:program dependence graph；information flow；information flow graph；covert channel

0 引言

隱通道是指系統的用戶違反系統安全策略，在安全模型的監控下通過系統原本不用于數據傳送的資源來傳送信息的通信機制^[1]。這種通信方式難以被系統的安全機制控制和檢測。隱通道問題已成為安全系統的重要威脅之一，目前隱通道搜索方法主要有共享資源矩陣法、隱蔽流樹法、無干擾分析法和信息流分析法^[2~5]。信息流分析法是最初分析隱通道的方法，文獻[3，4]中的信息流分析法是建立在文獻[2]中的信息流格模型基礎上的搜索方法，認為任何對系統安全策略的違反都體現為對“格”定義的破壞。不足之處是它對信息流的語義識別功能較弱，在分析過程中會產生形式流。文獻[5]對信息流分析法作了很大的改進，增加了語義分析，提出了一種基于語義信息流分析的搜索方法，應用這種方法分析源代碼可以發現大量偽非法流。應用信息流分析法進行隱通道搜索首先要分析TCB原語找出由原語引發的直接信息流，然后結合直接信息流得到間接信息流，最后分析可疑信息流確定是否存在隱通道。本文用圖結構來結合直接信息流得到間接信息流，主要解決在結合時由于信息流傳遞性而引入偽信息流路徑的問題。本方法先處理信息流的傳遞關系，然后再進行信息流分析，避免偽信息流的產生，從而減少后續工作中對系統信息流圖進行分析的工作量。

1 信息流圖

主體的操作會引起信息流從一個媒介變量傳遞到另一個媒介變量^[4]，所以，一條信息流可以用一個四元組來表示：（s，op，v1，v2）∈S×OP×V×V。其中：S是主體的集合；OP是操作的集合；V是變量的集合，它表示主體s執行op操作引起從變量v1流向變量v2的信息流；v1和v2分別稱為信息流源點變量和終點變量。在這暫不考慮引起信息流的操作和執行這個操作的主體。

系統信息流圖是一個有向圖G=（S，E）。其中：S是節點集，每個節點對應一個共享變量；E是邊集，E={（S1，S2）|S1有信息流流向S2}。把系統源代碼中變量作為信息傳遞媒介，以變量為節點，把信息流表示成節點間有向邊，將系統抽象成一個系統信息流圖，它就描述了系統中信息流的流動情況，圖中每條信息流路徑表示系統在運行過程中信息在變量間的一個可能流動。這樣把對系統進行的隱通道分析轉換成了對這個信息流圖進行信息流分析。系統信息流圖的構建有兩個基本要求：a）系統信息流圖盡可能包含應該包含的信息流；b)信息流圖要盡可能少地包含系統中沒有的信息流。簡單地根據系統源代碼語句得到變量間的信息流，構建出整個系統的信息流圖，這能滿足第一個要求，但它不滿足第二個要求，它引進了大量偽信息流路徑，所謂的偽信息流路徑就是在信息流圖中存在而實際上在系統中不存在的信息流路徑。假設函數中有信息流都按順序依次發生的信息流路徑e→b→f→g和a→b→c→d，把它們在一個信息流圖中表示出來，然后再分析圖中的信息流路徑，會得到四條信息流路徑，分別是a→b→c→d、a→b→f→g、e→b→f→g、e→b→c→d。信息流路徑a→b→f→g和e→b→c→d就是偽信息流路徑。僅兩條信息流路徑就能引進兩條偽信息流路徑，分析工作量增加100%，而一個系統中有大量函數，每個函數還有大量信息流路徑，把所有函數的信息流全部表示在一個信息流圖中，引進的偽信息流路徑的數量可想而知。本方法把函數中的每條信息流路徑都用一條只有信息流源點和終點的信息流來表示，避免信息流路徑相互交叉，從而解決信息流傳遞性（信息流的其他性質也能引入偽信息流路徑）引入的偽信息流路徑問題。

2 信息流圖的構建

構建信息流圖可以分為三步：a)得到系統的程序依賴圖；b）以程序依賴圖為基礎進行傳遞依賴處理；c）生成信息流圖。程序依賴圖是程序的一種圖形抽象表示，反映了程序語句間的控制依賴關系和數據依賴關系。本文需要借鑒控制依賴（CD）和數據依賴（DD）。簡單地說，如果語句S1的執行由語句S2執行狀態決定，則稱S1控制依賴于S2；如果語句S1中引用的變量是前面語句S2中定義的變量，且這個變量在它們之間沒有重新定義，則稱S1數據依賴于S2。前者描述了條件語句、循環語句等對其他語句的控制關系，后者描述了在賦值語句中左部對右部的數據依賴關系。第一步中所涉及到的控制依賴、數據依賴和程序依賴圖的準確定義及相關算法見文獻[6，7]。

2.1 傳遞依賴與傳遞轉換

本節首先介紹幾個基本定義:

定義1 定義集與引用集。定義集Def(s)={x|x是語句s中值被改變的變量}；引用集Ref(s)={x|x是語句s中引用的變量}。

對于一條簡單的語句S，它的定義集Def（S）和引用集Ref(S)很容易確定。函數的定義集與引用集的確定要復雜一些。如有函數fun(){S1；S2；S3；…；Sn}。其中S1，S2，…，Sn可能是簡單程序語句，也可能是函數調用語句，則Def(fun)=Def(S1)∪Def(S2)∪Def(S3)∪…∪Def(Sn)；Ref(fun)=Ref(S1)∪Ref(S2)∪Ref(S3)∪…∪Ref(Sn)。 定義2 傳遞依賴。設P=path（s1，s2，…，sk）是PDG中的一條路徑，如果P中每一個節點si+1控制依賴或數據依賴于si（1≤i≤k-1），則稱節點sk傳遞依賴于節點s1，記做TD（sk，s1）。

根據傳遞依賴的定義，可以得出下面的推論：

推論 在程序依賴圖G=(S，E，s，e)中，x∈S，xsucc(s)，m∈succ(x)，n∈succ-1(x)，則有m傳遞依賴于n。其中s表示程序的入口節點，e表示程序的出口節點，succ(x)表示x的直接后繼節點集合，succ-1(x)表示G的反圖中的直接后繼節點集合，即G中x的直接前驅節點。

證明 在程序依賴圖中，m∈succ(x)說明m依賴于x，n∈succ-1(x)說明x依賴于n，根據傳遞依賴定義可得TD（m，n）。

傳遞依賴產生的信息流反映了信息流的傳遞關系，所以要處理信息流傳遞關系，可以先處理程序依賴圖中的傳遞依賴。對于信息流與語句間依賴性的關系，經過分析得出如下規則：

規則1 如果信息流圖中有信息流路徑path（V1，V2，V3）中信息流依次發生，則V3所在語句數據依賴或傳遞依賴于V1所在語句。

規則2 如果有信息流路徑path（V1，V2，…，Vn）中信息流依次發生，則Vn所在語句傳遞依賴于V1所在語句。

規則3 如果依賴圖中有依賴路徑path（S1，S2，…，Sn），如果Def（Sn）≠，則Ref（S1）中的變量有信息流到Def（Sn）中的變量。

為了說明上面三個規則，在這考慮一個只有數據依賴的例子，假設依次有語句S1，S2，…，Sn。其中語句Si為Vi=Vi-1，則每條語句中有信息流Vi-1→Vi，把S1，S2，…，Sn中的信息流集中到一起得到信息流路徑V0→V1→V2→V3→…→Vn-1→Vn，而語句序列S1，S2，…，Sn有一個數據依賴關系，如果DD（S1，S2）用S1→S2來表示，則有S1→S2→S3→…→Sn-1→Sn，由于信息流的傳遞性，Sn中Vn的信息流來自于S1中的V0，而Sn正好傳遞依賴于S1，要處理信息流的傳遞關系，可以先對圖進行傳遞依賴處理。 

定義3 有向圖的傳遞轉換是指以有向圖中任何一個節點x為基礎，對有向圖進行轉換，使其邊集為

E=(E-{(x，n)|n∈succ(x)})∪{(m，n)|m∈succ-1(x)，n∈succ(x)}

定理 如果有向圖中節點x與y是可達的，則以有向圖中某節點（不包括節點x）為基礎對圖進行傳遞轉換后，節點x與y還是可達的。

證明 a)以節點y為基礎對圖進行傳遞轉換。很明顯傳遞轉換不影響節點x與y之間的路徑。

b)如果以節點y和x以外的節點z為基礎對圖進行傳遞轉換。如果節點x與y之間的路徑不包括節點z，傳遞轉換不影響這條路徑。如果這條路徑包括節點z，即存在path(x，…，w，z，v，…，y)，傳遞轉換會刪除節點z~v的有向邊，同時會增加節點w~v的有向邊，不包括節點z的新路徑path(x，…，w，v，…，z)會使節點x和y是可達的。

綜合a）b）兩種情況，定理成立。

2.2 程序依賴圖中傳遞依賴的處理

定義4 在程序依賴圖G=(S，E，s，e)中，x∈N， x∈succ(s)，則稱x為被依賴節點。

構建信息流圖的第二步是對程序依賴圖進行傳遞依賴的處理。這一節的方法就是找出依賴于被依賴節點的傳遞依賴關系，并用直接的依賴邊來表示，同時刪除相應的依賴邊，實際上就是對依賴圖進行傳遞轉換。上一節的定理保證了對圖進行傳遞轉換不會影響圖中其他非被依賴節點對被依賴節點的依賴性。依賴圖中需要處理兩種節點，即語句節點和條件謂詞節點。如果x是語句節點，它同時引用和定義了一系列變量，語句內有信息流產生，所以需要保留在圖中。在處理后依賴圖G中： 

E=(E-{(x，n)|n∈succ(x)})∪{(m，n)|m∈succ-1(x)，n∈succ(x)}

如果x是條件謂詞節點，它只引用了變量，引發的信息流是語句間的信息流，它的執行不會修改任何變量，在信息的傳遞過程中只充當中介，它如果不是被依賴節點，則保留相應的依賴關系后可以刪除，所以在處理后的依賴圖中：

E=(E-{(m，x)|m∈succ-1(x)})-{(x，n)|n∈succ(x)})∪{(m，n)|m∈succ-1(x)，n∈succ(x)}

并且N=N-{x}。如果它是被依賴節點，則暫時在圖中保留。程序依賴圖中的傳遞依賴關系的處理首先是把依賴于程序依賴圖的入口節點的節點記為被依賴節點，然后分析非被依賴節點，對于依賴圖中的每個非被依賴節點，如果是語句節點，以它為基礎對依賴圖進行傳遞轉換；如果是條件謂詞節點，以它為基礎對依賴圖進行傳遞轉換，同時刪除這個節點以及它依賴于其他節點的依賴邊。程序依賴圖經過處理后，依賴圖中節點分為兩大類，即被依賴節點和非被依賴節點。這個依賴圖就是表示非被依賴節點與被依賴節點的傳遞依賴關系。傳遞依賴處理的具體算法過程描述如下： 

算法輸入：函數的程序依賴圖G(S，E，Sentry，Sexit)

算法輸出：處理后的依賴圖G(S′，E′，Sentry)

//T(p，G)是以P所指節點為基礎對G進行傳遞轉換

刪除函數出口節點及其附加的依賴邊；

把依賴于入口節點的頂點依次入棧S；

while(S非空)

{取出棧頂節點P；

創建新棧S′；

把依賴于P的所有鄰接點存入棧S′中；

while (S′非空) 

{取出棧頂元素q；

if(已標記為處理節點) {continue;} //判斷是否處理過

else{if(P為語句節點)//如果是語句節點 

{if(函數出口節點依賴于它){continue;}

else{把依賴于q的所有節點存入棧S′；

T（q，G）；

標記q為已處理節點；

}

} 

else//如果是條件謂詞節點

{把依賴于q的所有節點存入棧S′;

T（q，G）；

刪除q依賴于別的節點的依賴邊；

刪除節點q；

}

}

}

}

2.3 信息流圖的生成

構建信息流圖的最后一步是進行信息流的生成。在依賴圖的基礎上，根據相應的信息流生成規則，生成信息流圖中的節點與信息流有向邊。經過前面算法處理后，依賴圖中語句間的依賴關系有數據依賴、控制依賴和傳遞依賴，設m、n是PDG中的節點，在這給出語句中與語句間所涉及的變量間的信息流生成規則：

a）m為語句節點，對于任意的變量Vdef∈Def(m)，Vref∈Ref(m)，有信息流Vref(m)→Vdef(m)。

b）m、n均為語句節點，且n數據依賴于或傳遞依賴于m，則m中引用的變量與n中定義的變量之間存在信息流Ref(m)→Def(n)。

c）m為條件謂詞節點，n為語句節點，且n控制依賴于或傳遞依賴于m，則m中引用的變量與n中定義的變量之間存在信息流Ref(m)→Def(n)。

依賴圖中的信息流生成有五種不同的依賴關系情況，一種情況是語句內的信息流生成，其他四種情形是語句間的信息流生成。但是，程序依賴圖中不是被依賴節點的條件謂詞節點在傳遞依賴處理算法中已經刪除，當n為條件謂詞節點，m為語句節點或條件謂詞節點時的兩種情況就沒有相應的信息流生成規則，所以只有上面三個信息流生成規則。

對經過傳遞依賴處理后的依賴圖上進行信息流圖生成時，需要針對每個節點及其依賴邊應用相應的信息流生成規則進行信息流圖生成。根據節點是否調用其他函數分為兩種情況。第一種情況是語句節點中沒有調用其他函數。應用信息流規則2和3對其每條相關依賴邊進行信息流生成。對語句節點進行的語句內部信息流生成不是簡單地應用信息流生成規則1，更為關鍵的問題是對依賴相關變量的處理。所謂依賴相關變量就是使兩條語句之間有依賴關系的一個或多個變量。對每個依賴相關變量，在生成每條語句中的信息流時，語句中依賴相關變量到語句中定義變量的信息流就不再添加到系統信息流圖當中。依賴相關變量在間接信息流中就是一個中間媒介，本文在考慮間接信息流只考慮信息流的源點和終點，所以新信息流的中間媒介變量就可以省略。例如有語句S：a=b+c。其中c為依賴相關變量，即語句S數據依賴于定義了變量c的某條語句，接著信息流生成規則，語句S中引用的變量b和c有信息流流向定義的變量a，即存在信息流b→a和c→a，但因為變量是依賴相關變量，所有信息流c→a就不添加到信息流圖中，因為這條信息流的處理在相應的依賴邊上進行。

當然，系統源代碼是復雜的，存在大量函數調用，接下來說明一下語句中有函數調用時的處理。當有函數調用時，首先分析的是調用函數的原型，得到調用函數的信息流圖，然后再把得到的信息流圖并入主調函數的信息流圖。調用函數的信息流圖生成應用上一段所述方法進行。如果函數原型有形參，則形參作為變量參與調用函數的信息流圖生成。在生成主調函數的信息流圖時，把函數原型信息流圖中的形參變量轉換成是函數調用時的實參變量，得到函數調用時產生的信息流圖，然后再進行相應的信息流的添加與刪除，把所得調用函數的信息流圖并到主調函數的信息流圖中。對于一個調用函數語句點，如果它是被依賴節點，則有語句節點依賴于它，相應依賴邊生成的信息流的終點變量在調用函數中可能是某條信息流的源點變量，根據信息流的傳遞性，信息流能流到調用函數中的下一個信息流終點變量，所以要找出調用函數信息流圖中與這個信息流源點變量相關的終點變量，增加主調函數中的信息流源點變量到這些終點變量的信息流；如果不是被依賴節點，則它依賴于某些節點，這些相關的依賴邊上生成的信息流的源點變量在調用函數中可能是某條信息流的終點變量，根據信息流傳遞性，信息流來自調用函數信息流圖中的這個終點變量的前一個源點變量，所以要找出調用函數的信息流圖中與這個終點變量相關的其他源點變量，增加這些源點變量到主調函數中與那個源點變量相關的下一個終點變量的信息流。把調用函數的信息流圖并入主調函數的信息流圖時，對于主調函數信息流圖和被調函數信息流圖中共同的變量，也按上面的方法進行處理。當發生多層函數調用時，信息流圖的生成方法按上面的方法進行，先分析最里一層的調用函數的信息流圖，然后再一層一層得到外層調用函數的信息流圖，最后得出主調函數的信息流圖。在接下來的示例中，本文把依賴圖中的兩種情況放在一塊進行討論。假設某條語句調用函數fun()，Ref(fun)={x1，x2，…，xk}，Def(fun)={y1，y2，…，yj}，語句fun依賴于語句n1，n2，…，nk，依賴相關變量分別是x1，x2，…，xk，n1，n2，…，nk中定義的變量分別是x1，x2，…，xk，引用的變量分別是Ref(n1)，Ref(n2)，…，Ref(nk)，語句m1，m2，…，mj依賴于函數調用語句fun。為了說明，假設每條語句只定義了一個變量，且只引用了一個函數調用語句fun定義的變量（這些語句能夠引用Def（fun）中多個變量或別的語句定義的變量），即m1，m2，…，mj分別引用了y1，y2，…，yj，分別定義了z1，z2，…，zj，依賴相關變量分別是y1，y2，…，yj。在這不只說明一下處理后的結果。假設函數fun的信息流圖為G（N，E），經過處理后得到信息流圖G′=（N，E′）。其中E′= En1∪En2∪…∪EnK∪Em1∪Em2∪…∪Enj。

Enl=E+{(a，xl)|a∈Ref(nl)}+{(a，b)|a∈Ref(nl)b∈succ(xl)}-{(xl，b)|b∈succ(xl)}(l=1，2，…，k)

Eml={(a，zl)|a∈pred(yl)}(l=1，2，…，j)

程序依賴圖經過傳遞依賴關系處理，得到一個依賴圖，遍歷這個依賴圖，按上面的信息流生成規則進行信息流的生成就可以得到信息流圖。 

3 實例說明

假設有程序代碼如圖1（a）所示，這兩個函數沒有什么實際意義，僅為了說明，在這假設程序中的變量均為共享變量。（b）和（c）分別是函數fun1()和fun2()的程序依賴圖，實線箭頭表示數據依賴，虛線箭頭表示控制依賴，（d）是fun1()經過傳遞依賴處理的依賴圖，點線箭頭表示傳遞依賴，（e）是直接用圖結構來結合fun1()中信息流得到的信息流圖，省略了信息流終點和源點相同的信息流，（f）和（g）分別為應用本文方法處理所得fun1()和fun2()的信息流圖。（h）是fun2()調用fun1()時代入實參所得信息流圖。（f）~（h）中的信息流圖有兩個特點，第一個是只關注信息流源點和終點。信息流圖中的信息流表示從信息流的源點變量流到信息流的終點變量。 至于信息流是怎樣從源點變量傳送到終點變量的，在信息流圖中沒有表示。例如，有信息流路徑a→b→c→d，由于信息流的傳遞性，a有信息流向b、c、d，b有信息流向c、d，c有信息流向d，流向b、c、d中的信息流源都是a，忽略信息流傳遞過程，只考慮信息流的源點和終點。這條信息流路徑在信息流圖中表示為三條信息流：a→b、a→c、a→d。第二個特點是非順序性。示例得到的信息流圖比較簡單，圖中已沒有信息流路徑。當程序變得復雜時，得到的信息流圖中還可能含有信息流路徑，但是，信息流圖中任何一條信息流路徑都不是按先后順序依次執行的。假設在得到的信息流圖中有這樣一條信息流路徑a→b→c→d，信息流a→b、b→c、c→d并不是按這個先后順序發生的。如果它們在函數執行過程中依次發生，如前面分析，經過傳遞處理后在信息流會轉換成a→b、a→c、a→d。信息流路徑a→b→c→d的存在有很多可能情況，如信息流b→c在信息流a→b之前發生，或信息流a→b和c→d在函數的一次執行中是不能同時進行的。

很明顯信息流圖1（e）有復雜的信息流路徑。其中有很多偽信息流路徑，像信息流路徑a→b→f→g和e→b→c→d就是偽信息流路徑。而圖1（f）和（g）則清晰明了，不存在偽信息流路徑。在后續工作中對信息流圖進行信息流分析時，需要考慮信息流圖中的每一條信息流路徑，其實在分析時只考慮信息流圖中的最長信息流路徑（指信息流路徑中包含的變量節點數不能再增加的信息流路徑）。傳統方法生成的信息流圖中可能有信息流圈，為了防止信息流路徑的無限生成，需要設參數來限制變量節點在信息流路徑中的出現次數，在這假設變量節點不允許在路徑中重復。從（e）中出度入零的節點搜索最長信息流路徑。可以得到20條最長信息流路徑。其中大部分是偽信息流路徑。如果允許變量節點重復，偽信息流路徑數就會遠大于這個數字。從代碼上看，fun1()中其實只有7條信息流路徑h→c→f→i、a→b→c→d、e→b→f→g、h→c→f→b、h→c→f→c、h→c→f→d、h→c→f→g與（e）中的20條信息流相比，增加了13條偽信息流路徑，增加率是186%，這個比率隨著信息流圖的規模增加會快速增大。一個系統中有大量函數，每個函數還有大量信息流路徑，把所有函數的信息流全部表示在一個信息流圖中，引進的偽信息流路徑的數量可想而知。對這些數量眾多的偽信息流路徑進行的信息流分析無疑大大加重了后續工作中的分析工作量。而在用本文方法得到信息流圖（5），函數中的信息流僅表現為12條簡單信息流，從信息流路徑到信息流，分析工作的方便性顯而易見。當信息流圖規模增大時，本文方法的優越性就更加能夠顯現出來。 

4 結束語

信息流圖的構建有三個過程，每個過程都有不同的算法，確定數據依賴和控制依賴的算法^[7]的復雜性都是O（n2）。在程序依賴圖傳遞依賴處理算法中，只要對程序依賴圖中每個節點進行一次傳遞依賴處理就可以完成。如果程序依賴圖中有n個節點，就需要處理n次，時間復雜度是O（n）。在程序信息流圖的構建算法中，是在經過處理后的依賴圖上進行信息流圖的生成，需要對圖中的每個語句節點進行信息流生成，同時需要對傳遞依賴邊進行信息流生成，生成信息流的次數應該是節點數n加上依賴邊數e，復雜度是O（n+e）。

對系統進行分析時，最終是分析系統的全局變量，本文還沒有對全局變量和局部變量的區別處理，但是這一處理是很簡單的，只要把沒有對外可見性的局部變量節點從信息流圖中刪除即可。把得到每個進程函數的信息流圖G1(S1，E1)，G2(S2，E2)，G3(S3，E3)，…，Gn(Sn，En)合并成一個系統信息流圖G(S，E)。其中： S=S1∪S2∪S3∪…∪Sn；E=E1∪E2∪E3∪…∪En。把系統中所有函數的信息流圖合并到一起就得到系統的信息流圖。本文得到信息流圖中的信息流是經過傳遞關系處理的信息流，表示在這個函數執行時有信息流從信息流源點變量流向終點變量，而這個傳遞的過程可能是直接的，也可能是間接的。系統的源代碼是復雜的，函數調用關系也相當復雜，函數調用時的信息流圖生成過程還得進一步研究。下一步工作是針對各種編程語言的不同特征歸納出不同的信息流生成規則。

參考文獻：

［1］McHUGH J.Handbook for the computer security certification of trusted systems:covert channel analysis[R].[S.l.]:Naval Research Laboratory，1996.

[2]DENNING D E.A lattice model of secure information-flow[J].Communications of the ACM，1976，19(5):236-243.

[3]HE Jing-sha，GLIGOR V D.Information-flow analysis for covert-channel identification in multilevel secure operating systems[C]//Proc of Computer Security Foundations Workshop.1990:139-148.

[4]SHEN Jian-jun，QING Si-han，SHEN Qing-ni.Covert channel identification founded on information flow analysis[C]//Lecture Notes in Computer Science，vol 3802.2005:381-387.

[5]TSAI C，GLIGORL V，SEKAR C.On the identification of covert storage channels in secure systems[J].IEEE Trans on Software Engineering，1990，16(6):569-580.

[6]OTTENSTEIN K，WARREN J.The program dependence and its use in optimization[J].ACM Trans on Programming Languages and Systems，1987，9(3):319-349.

[7]LENGAURE T，TARJAN R.A fast algorithm for finding dominators in a flow graph[J].ACM Trans on Programming Languages and Systems，1979，1(1):121-141.