防止用户的敏感文件受到未经授权的访问是计算机安全领域的问题之一。传统的文件保护机制运行在操作系统内部,一旦操作系统被攻破,其文件保护功能很可能被禁止或绕过。为了解决这个问题,最近的研究提出将文件系统放入一个专用的虚拟机,或通过网络文件系统进行访问,以此来实现不依赖于操作系统的文件访问控制。这些方法虽然提高了保护系统对操作系统的隔离性,却大幅增加了系统的可信计算基的大小,从而影响了整个系统的可靠性和安全性。针对现有解决方案的不足,本文提出基于硬件虚拟化技术实现的轻量级专用于文件保护的虚拟机监控器。本文研究工作可概括为以下两点:首先,本文基于Bitvisor虚拟机监控器框架和硬件虚拟化技术实现了轻量级的虚拟机监控器。采用虚拟机监控器对系统进行保护,普遍存在一个问题,即虚拟机监控器自身的安全问题。Bitvisor是一个用于保护系统安全的轻量级虚拟机监控器框架,本文利用最新的硬件虚拟化技术对它进行了改进。进一步减少了它的代码量并提高了它的性能,修改后的虚拟机监控器的可信计算基代码量比通用虚拟机监控器的可信计算基代码量小至少一个数量级。可信计算基代码量的减少大幅提高了系统自身的安全性和可靠性。其次,本文使用该虚拟机监控器成功实现了对用户敏感文件保护。在虚拟机外对虚拟机内的文件保护存在一个语义鸿沟问题,即由于虚拟机监控器只能监控到客户操作系统对磁盘块的操作,而我们的保护是以文件为粒度的,这两者之间的矛盾。本文将根据文件系统格式规范和原始数据重建文件系统,以获得文件到磁盘块的映射,解决了以上的问题。即使入侵者拥有操作系统内核权限,本文实现虚拟机监控器也可防止用户敏感文件遭受未经授权的访问。我们已经实现在FAT32文件系统和Windows XP操作系统上的一个原型,对其功能进行了测试,以证明我们的设计是可行的。最后通过性能测试来证明它在现实世界场景中的对操作系统的性能影响是可以接受的。