保護リング

コンピュータサイエンスにおいて、階層型保護ドメイン^[1]^[2]は、しばしば保護リングと呼ばれ、障害（フォールトトレランスの向上による）や悪意のある動作（コンピュータセキュリティの提供による）からデータと機能を保護するメカニズムです。

コンピュータのオペレーティングシステムは、リソースへのさまざまなレベルのアクセスを提供します。保護リングは、コンピュータシステムのアーキテクチャ内の2 つ以上の階層レベルまたは権限層の 1 つです。これは通常、ハードウェアレベルまたはマイクロコードレベルでさまざまな CPU モードを提供する一部のCPU アーキテクチャによってハードウェアで強制されます。リングは、最高権限 (最も信頼され、通常は番号が 0) から最低権限 (最も信頼され、通常はリング番号が最も高い) までの階層に配置されます。ほとんどのオペレーティングシステムでは、リング 0 が最高権限のレベルであり、特定の CPU 機能 (制御レジスタなど) や I/O コントローラなどの物理ハードウェアと最も直接的に対話します。

外部リングが内部リングのリソースに任意の使用を許可するのではなく、事前に定義された方法でアクセスできるようにするための特別なメカニズムが提供されています。リング間のアクセスを適切にゲートすると、あるリングまたは特権レベルのプログラムが別のリングまたは特権レベルのプログラム用のリソースを悪用するのを防ぐことができるため、セキュリティを向上できます。たとえば、リング 3 でユーザープログラムとして実行されているスパイウェアは、ハードウェアアクセスはデバイスドライバー用に予約されているリング 1 の機能である必要があるため、ユーザーに通知せずに Web カメラをオンにすることはできません。より高い番号のリングで実行されている Web ブラウザーなどのプログラムは、より低い番号のリングに制限されているリソースであるネットワークへのアクセスを要求する必要があります。

^{最近[いつ? ]}発表された Intel アーキテクチャであるX86Sには、リング 0 とリング 3 しかありません。リング 1 と 2 は、現代の OS では使用されないため、X86S では削除されます。^[3]

実装

多重保護リングは、今日のUnixファミリーのオペレーティングシステムの非常に安全な前身であるMulticsオペレーティングシステムによって導入された最も革新的な概念の 1 つでした。GE 645メインフレームコンピュータには、他の GE-600 シリーズマシンと同じ 2 つのモードや、メモリ管理ユニット(「追加ユニット」) のセグメントレベルのアクセス許可など、ハードウェアアクセス制御がいくつかありましたが、ハードウェアでリングを完全にサポートするには不十分でした。そのため、Multics はソフトウェアでリングの遷移をトラップすることでリングをサポートしました。^[4]その後継機であるHoneywell 6180 は、8 つのリングをサポートしてハードウェアでリングを実装しました。^[5] Multics の保護リングは CPU モードとは別でした。リング 0 以外のすべてのリングのコードと、リング 0 の一部のコードは、スレーブモードで実行されました。^[6]

しかし、ほとんどの汎用システムでは、ハードウェアがそれ以上のCPUモードを提供している場合でも、 2つのリングしか使用しません。たとえば、Windows 7とWindows Server 2008（およびそれらの前身）では、リング0がカーネルモードに対応し、リング3がユーザーモードに対応する2つのリングのみが使用されます[ 7 ^]。これは、以前のバージョンのWindows NTが2つの保護レベルしかサポートしていないプロセッサで実行されていたためです^{[8] 。}

最近の CPU アーキテクチャ (一般的なIntel x86アーキテクチャを含む) の多くは、何らかの形のリング保護を組み込んでいますが、Windows NTオペレーティングシステムは、Unix と同様、この機能を完全には活用していません。OS /2 は、ある程度、3 つのリングを使用しています。^[9]リング 0 はカーネルコードとデバイスドライバ用、リング 2 は特権コード (I/O アクセス許可を持つユーザープログラム) 用、リング 3 は非特権コード (ほぼすべてのユーザープログラム) 用です。DOS では、カーネル、ドライバ、アプリケーションは通常、リング 3 で実行されます (ただし、これはプロテクトモードドライバまたは DOS エクステンダが使用されている場合に限られます。リアルモード OS の場合、システムは実質的に保護なしで実行されます)。一方、EMM386などの 386 メモリマネージャはリング 0 で実行されます。これに加えて、DR-DOSの EMM386 3.xx では、オプションで一部のモジュール ( DPMSなど) をリング 1 で実行することもできます。OpenVMS は、 (権限の降順で) カーネル、エグゼクティブ、スーパーバイザ、ユーザーと呼ばれる 4 つのモードを使用します。

この設計構造への関心が再び高まったのは、 Xen VMMソフトウェアの普及、モノリシックカーネルとマイクロカーネルに関する継続的な議論(特にUsenetニュースグループとWeb フォーラム)、Microsoft のNGSCBイニシアチブの一環としてのRing-1設計構造、およびIntel VT-x (旧称 Vanderpool)などのx86 仮想化に基づくハイパーバイザーの登場によるものです。

オリジナルの Multics システムには 8 つのリングがありましたが、最近の多くのシステムではリングの数は少なくなっています。ハードウェアは、特別なマシンレジスタの助けを借りて、実行中の命令スレッドの現在のリングを常に認識しています。一部のシステムでは、代わりに仮想メモリの領域にハードウェアでリング番号が割り当てられます。1 つの例はData General Eclipse MV/8000で、プログラムカウンタ (PC)の上位 3 ビットがリングレジスタとして機能しました。したがって、たとえば、仮想 PC を 0xE200000 に設定して実行されるコードは自動的にリング 7 になり、メモリの別のセクションにあるサブルーチンを呼び出すと、自動的にリング転送が発生します。

ハードウェアは、リング間で制御を渡す方法を厳しく制限し、リング間で実行できるメモリアクセスの種類にも制限を課します。x86 を例にとると、コール命令によって参照される特別な^{[明確化が必要]} ゲート構造があり、安全な方法^[^{明確化が必要}^]で、下位レベルの (より信頼性の高い) リングの定義済みエントリポイントに制御を転送します。これは、リングアーキテクチャを使用する多くのオペレーティングシステムでスーパーバイザコールとして機能します。ハードウェアの制限は、偶発的または悪意のあるセキュリティ侵害の機会を制限するように設計されています。さらに、最も特権のあるリングには、特別な機能 (仮想メモリハードウェアをバイパスする実メモリアドレス指定など) が与えられる場合があります。

ARMバージョン7アーキテクチャは、アプリケーション（PL0）、オペレーティングシステム（PL1）、ハイパーバイザ（PL2）の3つの特権レベルを実装しています。通常、レベル0（PL0）は最低特権レベルであり、レベル2は最高特権レベルです。^{[10] ARMバージョン8は、AArch64}^[11]^： D1-2454およびAArch32に対して、アプリケーション（EL0）、オペレーティングシステム（EL1）、ハイパーバイザ（EL2）、セキュアモニター/ファームウェア（EL3）の4つの例外レベルを実装しています。^[11]^：G1-6013

一部のシステムでは、リング保護をプロセッサモード(マスター/カーネル/特権/スーパーバイザモードとスレーブ/非特権/ユーザーモード)と組み合わせることができます。両方をサポートするハードウェアで実行されるオペレーティングシステムでは、両方の保護形式を使用することも、いずれか 1 つの保護形式のみを使用することもできます。

リングアーキテクチャを効果的に使用するには、ハードウェアとオペレーティングシステムの緊密な連携が必要です。^[理由]複数のハードウェアプラットフォームで動作するように設計されたオペレーティングシステムでは、サポートされているすべてのプラットフォームにリングが存在しない場合、リングの使用が制限されることがあります。ハードウェアがリングを通じてより細かい粒度を提供する場合でも、セキュリティモデルは「カーネル」と「ユーザー」に簡略化されることがよくあります。

モード

スーパーバイザーモード

コンピュータ用語では、スーパーバイザモードは、システムレベルのソフトウェアで実行されるコードによって変更できるハードウェア仲介フラグです。システムレベルのタスクまたはスレッドは、実行中にこのフラグが設定されている場合がありますが、ユーザーレベルのアプリケーションでは設定されません。このフラグは、さまざまな記述^子テーブルのレジスタを変更するなどのマシンコード操作を実行できるかどうか、または割り込みを無効にするなどの操作を実行できるかどうかを決定します。2 つの異なるモードで動作するという考えは、「パワーが増すと、責任も増える」という考えに基づいています。つまり、スーパーバイザモードのプログラムは、障害が発生するとコンピュータシステム全体がクラッシュする可能性があるため、決して障害が発生しないと信頼されています。

スーパーバイザモードは「一部のプロセッサ上の実行モードであり、特権命令を含むすべての命令の実行を可能にします。また、異なるアドレス空間、メモリ管理ハードウェア、およびその他の周辺機器へのアクセスも許可します。これは通常、オペレーティングシステムが実行されるモードです。」^[12]

モノリシックカーネルでは、オペレーティングシステムはスーパーバイザーモードで実行され、アプリケーションはユーザーモードで実行されます。エクソカーネルやマイクロカーネルなどの他の種類のオペレーティングシステムでは、必ずしもこの動作が採用されるわけではありません。

PC の世界からの例をいくつか挙げます。

Linux、macOS、Windows は、スーパーバイザー/ユーザーモードを使用する 3 つのオペレーティングシステムです。特殊な機能を実行するには、ユーザーモードコードは、スーパーバイザーモードまたはカーネル空間へのシステムコールを実行する必要があります。カーネル空間では、オペレーティングシステムの信頼できるコードが必要なタスクを実行し、実行をユーザー空間に戻します。ロード可能なカーネルモジュールを使用して、追加のコードをカーネル空間に追加できますが、このコードはユーザーモードのアクセス制御と安全性の制限の対象ではないため、必要な権限を持つユーザーのみが実行できます。
DOS ( EMM386などの 386 メモリマネージャーがロードされていない限り)、その他の単純なオペレーティングシステム、および多くの組み込みデバイスは、スーパーバイザーモードで永続的に実行されるため、ドライバーをユーザープログラムとして直接記述できます。

ほとんどのプロセッサには、少なくとも 2 つの異なるモードがあります。x86プロセッサには、 4 つの異なるリングに分かれた 4 つの異なるモードがあります。リング 0 で実行されるプログラムは、システムに対して何でも実行できます。リング 3 で実行されるコードは、コンピュータシステムの残りの部分に影響を与えることなく、いつでも失敗することができます。リング 1 とリング 2 はほとんど使用されませんが、異なるレベルのアクセスで構成できます。

既存のシステムのほとんどでは、ユーザーモードからカーネルモードへの切り替えは、パフォーマンスに大きな負担がかかります。基本的な要求ではgetpid、ほとんどのマシンで 1000～1500 サイクルかかることが測定されています。このうち、実際の切り替えにかかるのは 100 サイクル程度 (ユーザースペースからカーネルスペースへの切り替えが 70 サイクル、ユーザースペースからカーネルスペースへの切り替えが 40 サイクル) で、残りは「カーネルオーバーヘッド」です。^[13]^[14]L3 マイクロカーネルでは、このオーバーヘッドを最小限に抑えることで、全体のコストが約 150 サイクルに削減されました。^[13]

モーリス・ウィルクスは次のように書いている: ^[15]

... 結局、リングが提供する階層的な保護はシステムプログラマーの要件に完全には適合せず、2 つのモードのみを持つ単純なシステムに対してほとんどまたはまったく改善が見られないことが分かりました。保護リングはハードウェアでの効率的な実装に役立ちましたが、それ以外に利点はほとんどありませんでした。[...] 保護リングが解決策を提供しないことが判明した後も、きめ細かな保護の魅力は残っていました... これは再び袋小路であることが判明しました...

パフォーマンスと決定性を高めるために、一部のシステムでは、デバイスドライバーではなくアプリケーションロジックとして見られる可能性のある機能をカーネルモードに配置します。例として、セキュリティアプリケーション (アクセス制御、ファイアウォールなど) やオペレーティングシステムモニターが挙げられます。少なくとも 1 つの組み込みデータベース管理システム ( e X treme DB Kernel Mode ) は、カーネルモード展開専用に開発されており、カーネルベースのアプリケーション機能にローカルデータベースを提供し、カーネル機能がユーザーモードで実行されているデータベースシステムと対話するときに発生するコンテキストスイッチを排除します。^[16]

関数は、リング間で逆方向に移動されることもあります。たとえば、Linux カーネルは、通常はシステムコール (つまりリング遷移) を必要とする関数を含むvDSOセクションをプロセスに挿入します。これらの関数は、システムコールを実行する代わりに、カーネルによって提供される静的データを使用します。これにより、リング遷移の必要性が回避されるため、システムコールよりも軽量になります。関数 gettimeofday は、この方法で提供できます。

ハイパーバイザーモード

Intel および AMD の最近の CPU は、ハイパーバイザーがリング 0 ハードウェアアクセスを制御するためのx86 仮想化命令を提供しています。相互に互換性はありませんが、Intel VT-x (コード名「Vanderpool」) とAMD-V (コード名「Pacifica」) はどちらも、ゲストオペレーティングシステムが他のゲストやホスト OS に影響を与えることなく、リング 0 操作をネイティブに実行できるようにします。

ハードウェア支援による仮想化以前は、ゲストオペレーティングシステムはリング 1 で実行されていました。実行に高い権限レベル (リング 0) を必要とするすべての試行は割り込みを生成し、ソフトウェアを使用して処理されます。これは「トラップとエミュレート」と呼ばれます。

仮想化を支援し、上記の理由によって生じるオーバーヘッドを削減するために、VT-x と AMD-V ではゲストがリング 0 で実行できるようにしています。VT-x は VMX ルート/非ルート操作を導入しています。ハイパーバイザーは VMX ルート操作モードで実行され、最高の権限を持ちます。ゲスト OS は VMX 非ルート操作モードで実行され、実際のハードウェア権限がなくてもリング 0 で操作できます。VMX 非ルート操作と VMX 遷移は、仮想マシン制御と呼ばれるデータ構造によって制御されます。^[17] これらのハードウェア拡張により、従来の「トラップアンドエミュレート」仮想化を x86 アーキテクチャで実行できますが、ハードウェアサポートも利用できます。

特権レベル

x86 命令セットの特権レベルは、プロセッサ上で現在実行中のプログラムによる、メモリ領域、I/O ポート、特殊命令などのリソースへのアクセスを制御します。特権レベルは 0 (最高特権) から 3 (最低特権) まで 4 つあります。最近のオペレーティングシステムのほとんどは、カーネル/エグゼクティブにレベル 0 を使用し、アプリケーションプログラムにレベル 3 を使用します。レベル n で使用できるリソースはすべてレベル 0 から n でも使用できるため、特権レベルはリングになっています。より低い特権のプロセスがより高い特権のプロセスにアクセスしようとすると、一般保護違反例外が OS に報告されます。

4つの特権レベルすべてを使用する必要はありません。Microsoft Windows、macOS、Linux、iOS 、 Androidなど、現在広い市場シェアを持つオペレーティングシステムでは、ほとんどの場合、スーパーバイザーまたはユーザー（U/Sビット）のいずれかの特権レベルを指定するための1ビットのみのページングメカニズムを使用しています。Windows NTは2レベルシステムを使用しています。^[18] 8086のリアルモードプログラムはレベル0（最高の特権レベル）で実行されますが、8086の仮想モードではすべてのプログラムがレベル3で実行されます。^[19]

x86 ISAファミリがサポートする複数の権限レベルの将来の潜在的な用途としては、コンテナ化と仮想マシンが挙げられます。ホストオペレーティングシステムカーネルは完全な権限アクセス（カーネルモード）で命令を使用できますが、仮想マシンまたはコンテナ内のゲストOSで実行されるアプリケーションは、ユーザーモードで最低レベルの権限を使用できます。仮想マシンとゲストOSカーネル自体は、中間レベルの命令権限を使用して、ゲストオペレーティングシステムの観点からシステムコールなどのカーネルモード操作を呼び出し、仮想化できます。 ^[20]

IOPL

IOPL ( I/O 特権レベル) フラグは、すべての IA-32 互換x86 CPUにあるフラグです。このフラグは、 FLAGS レジスタのビット 12 と 13 を占めます。保護モードとロングモードでは、現在のプログラムまたはタスクの I/O 特権レベルを示します。タスクまたはプログラムが I/ Oポートにアクセスするには、タスクまたはプログラムの現在の特権レベル (CPL) (CPL0、CPL1、CPL2、CPL3) が IOPL 以下である必要があります。

現在の特権レベルがリング 0 の場合にのみ、 POPF(D)とを使用して IOPL を変更できます。IRET(D)

IOPL に加えて、 TSS のI/O ポート権限も、タスクが I/O ポートにアクセスできるかどうかの決定に影響します。

その他

x86システムでは、x86ハードウェア仮想化（VT-xおよびSVM）は「リング-1」と呼ばれ、システム管理モードは「リング-2」と呼ばれ、Intel Management EngineとAMD Platform Security Processorは「リング-3」と呼ばれることもあります。^[21]

ハードウェア機能の使用

多くの CPU ハードウェアアーキテクチャは、通常実行されるオペレーティングシステムによって利用されるよりもはるかに多くの柔軟性を提供します。複雑な CPU モードを適切に使用するには、オペレーティングシステムと CPU の非常に密接な連携が必要であり、そのため OS が CPU アーキテクチャに結び付けられる傾向があります。OS と CPU が互いに専用に設計されている場合、これは問題になりません (一部のハードウェア機能がまだ利用されないままになる場合があります)。ただし、OS が複数の異なる CPU アーキテクチャと互換性があるように設計されている場合、CPU モード機能の大部分が OS によって無視される可能性があります。たとえば、Windows が 2 つのレベル (リング 0 とリング 3) のみを使用する理由は、過去にサポートされていた一部のハードウェアアーキテクチャ ( PowerPCやMIPSなど) が 2 つの特権レベルのみを実装していたためです。^[7]

Multics は、特殊な CPU アーキテクチャ (Multics 専用に設計) 専用に設計されたオペレーティングシステムであり、利用可能な CPU モードを最大限に活用していました。ただし、これは例外でした。今日では、OS とハードウェア間の高度な相互運用性は、セキュリティと安定性の面で潜在的な利点があるにもかかわらず、コスト効率がよくないことが多々あります。

結局のところ、CPU の異なる動作モードの目的は、ソフトウェアによるシステム環境の偶発的または意図的な破壊 (およびそれに伴うシステムセキュリティの侵害) に対するハードウェア保護を提供することです。システムソフトウェアの「信頼できる」部分のみが、カーネルモードの制限のない環境で実行を許可され、パラダイム設計では、絶対に必要な場合にのみ実行が許可されます。その他のソフトウェアはすべて、1 つ以上のユーザーモードで実行されます。プロセッサがユーザーモードで障害または例外状態を生成した場合、ほとんどの場合、システムの安定性は影響を受けません。プロセッサがカーネルモードで障害または例外状態を生成した場合、ほとんどのオペレーティングシステムは回復不可能なエラーでシステムを停止します。モードの階層が存在する場合 (リングベースのセキュリティ)、1 つの特権レベルでの障害と例外は、より高い番号の特権レベルのみを不安定にする可能性があります。したがって、リング 0 (最高の特権を持つカーネルモード) で障害が発生すると、システム全体がクラッシュしますが、リング 2 で障害が発生した場合は、リング 3 以降と、せいぜいリング 2 自体にしか影響しません。

モード間の遷移は、高権限レベルから低権限レベル (カーネルモードからユーザーモードなど) への遷移の場合、実行中のスレッドの裁量で行われますが、低権限レベルから高権限レベルへの遷移は、特別な命令を実行するか、外部割り込みを受信したときに通過する、安全なハードウェア制御の「ゲート」を介してのみ行われます。

マイクロカーネルオペレーティングシステムは、セキュリティと簡潔さを目的として、特権モードで実行されるコードの量を最小限に抑えようとしますが、最終的にはパフォーマンスが犠牲になります。

参照

コールゲート（Intel）
メモリのセグメンテーション
保護モード – x86互換の80286 CPU以降で利用可能
IOPL (CONFIG.SYS ディレクティブ) – DLL コードをリング 3 ではなくリング 2 で実行するための OS/2 ディレクティブ
セグメント記述子
スーパーバイザーコール指示
システム管理モード(SMM)
最小権限の原則

注記

^ たとえば、IBM OS/360からz/OSでは、一部のシステムタスクは問題状態キー 0 で実行されます。

参考文献

^ Karger, Paul A.; Herbert, Andrew J. (1984).アクセスのラティスセキュリティと追跡可能性をサポートする拡張機能アーキテクチャ。1984 IEEE セキュリティとプライバシーシンポジウム。p. 2. doi :10.1109/SP.1984.10001. ISBN 0-8186-0532-4. S2CID 14788823。
^ Binder, W. ( 2001). 「J-SEAL2 モバイルエージェントカーネルの設計と実装」。2001アプリケーションとインターネットに関するシンポジウムの議事録。pp. 35–42。doi :10.1109/ SAINT.2001.905166。ISBN 0-7695-0942-8. S2CID 11066378。
^ 「未来に向けた簡素化されたインテルアーキテクチャの構想」Intel 2024年5月28日閲覧。
^ 「保護リングを実装するためのハードウェアアーキテクチャ」Communications of the ACM 15 ( 3) 1972年3月2012年9月27日閲覧。
^ 「Multics 用語集 - リング」。2012年9 月 27 日閲覧。
^ Multics 仮想メモリ、パート 2 (PDF)。Honeywell Information Systems。1972 年 6 月。pp. 160–161。
^ ab ルシノビッチ、マーク E.デビッド A. ソロモン (2005)。Microsoft Windows Internals (第 4 版)。マイクロソフトプレス。 16ページ。ISBN 978-0-7356-1917-3。
^ Russinovich, Mark (2012). Windows Internals Part 1 (第 6 版). ワシントン州レドモンド: Microsoft Press. p. 17. ISBN 978-0-7356-4873-9Windows が 2 つのレベルのみを使用する理由は、過去にサポートされていた一部のハードウェアアーキテクチャ ( Compaq AlphaやSilicon Graphics MIPSなど) が 2 つの特権レベルのみを実装していたためです。
^ 「OS/2 用プレゼンテーションデバイスドライバーリファレンス – 5. OS/2 プレゼンテーションドライバーの概要」。2015 年 6 月 15 日時点のオリジナルよりアーカイブ。2015年6 月 13 日閲覧。
^ ARM アーキテクチャリファレンスマニュアル ARMv7-A および ARMv7-R エディション。Arm Ltd. p. B1-1136。
^ ab Arm アーキテクチャリファレンスマニュアル Armv8、A プロファイルアーキテクチャ用。Arm Ltd.
^ 「スーパーバイザーモード」。フォルドック。 1995 年 2 月 15 日。
^ ab Jochen Liedtke (1995 年 12 月)。「μ-カーネル構築について」。手順オペレーティングシステム原則 (SOSP) に関する第 15 回 ACM シンポジウム。
^ Ousterhout, JK (1990)。なぜオペレーティングシステムはハードウェアほど高速化しないのか? Usenix Summer Conference A. Naheim, CA. pp. 247–256。
^ Maurice Wilkes (1994 年 4 月)。「変化する世界におけるオペレーティングシステム」。ACM SIGOPSオペレーティングシステムレビュー。28 (2) : 9–21。doi : 10.1145 / 198153.198154。ISSN 0163-5980。S2CID 254134 。
^ Gorine, Andrei; Krivolapov, Alexander (2008 年 5 月)。「カーネルモードデータベース: 高性能アプリケーション向けの DBMS テクノロジ」。Dr . Dobb's Journal。
^ Intel® 64 および IA-32 アーキテクチャーソフトウェア開発者マニュアル、第 3C 巻(PDF)。Intel Cooperation (2016 年 9 月発行)。2016 年。pp. 1–3。
^ Russinovich, Mark E.; Solomon, David A. (2005). Microsoft Windows Internals (第 4 版). Microsoft Press. p. 16. ISBN 978-0-7356-1917-3。
^ Sunil Mathur.マイクロプロセッサ 8086: アーキテクチャ、プログラミング、インターフェイス(Eastern Economy 編)。PHI Learning。
^ アンダーソン、トーマス、ダーリン、マイケル (2014 年 8 月 21 日)。「2.2」。オペレーティングシステム: 原理と実践(第 2 版)。Recursive Books。ISBN 978-0985673529。
^ De Gelas, Johan. 「ハードウェア仮想化：基本」AnandTech . 2021年3月13日閲覧。

Intel 80386 プログラマーズリファレンス

さらに読む

David T. Rogers (2003 年 6 月)。動的サブバージョンのためのフレームワーク(PDF) (修士課程)。海軍大学院。hdl : 10945/919。
William J. Caelli (2002)。「NIIP 時代の「信頼できるシステム」の再学習: 過去から未来への教訓」。2015 年 4 月 20 日のオリジナル(PDF)からアーカイブ。
Haruna R. Isa、William R. Shockley、Cynthia E. Irvine (1999 年 5 月)。「マルチレベルの安全なトランザクション処理のためのマルチスレッドアーキテクチャ」(PDF)。1999 IEEE セキュリティおよびプライバシーシンポジウム議事録。カリフォルニア州オークランド。pp. 166–179。hdl : 10945/7198。
Ivan Kelly (2006 年 5 月 8 日)。「MINIX を Xen に移植する」(PDF) 。2006 年 8 月 27 日時点のオリジナル(PDF)からのアーカイブ。
Paul Barham、Boris Dragovic、Keir Fraser、Steven Hand、Tim Harris、Alex Ho、Rolf Neugebauer、Ian Pratt、Andrew Warfield (2003)。「Xen と仮想化の技術」(PDF)。
マーカス・ペイナド。チェン・ユクン;ポール・イングランド。ジョン・マンファーデリ。「NGSCB: 信頼できるオープンシステム」(PDF)。 2005 年 3 月 4 日のオリジナル(PDF)からアーカイブ。
Michael D. Schroeder、Jerome H. Saltzer (1972)。「保護リングを実装するためのハードウェアアーキテクチャ」
「Intel アーキテクチャソフトウェアデベロッパーズマニュアル第 3 巻: システムプログラミング (注文番号 243192)」(PDF)。第 4 章「保護」、セクション 4.5「特権レベル」。2009 年 2 月 19 日のオリジナル(PDF)からアーカイブ。
Tzi-cker Chiueh、Ganesh Venkitachalam、Prashant Pradhan (1999 年 12 月)。「安全で効率的かつ透過的なソフトウェア拡張のためのセグメンテーションとページング保護の統合」。オペレーティングシステム原理に関する第 17 回 ACM シンポジウムの議事録。セクション3: Intel X86 アーキテクチャの保護ハードウェア機能、サブセクション 3.1 保護チェック。doi : 10.1145 / 319151.319161。ISBN 1581131402. S2CID 9456119。
品川貴弘、河野健二、増田隆 (2000 年 5 月 17 日)。「悪意のあるモバイルコードから保護するためのセグメンテーションメカニズムの活用」(PDF) 。第 3 章実装、セクション 3.2.1 リング保護。2017年 8 月 10 日のオリジナル(PDF)からアーカイブ。2018 年4 月 2 日に閲覧。
Boebert、William Earl、R. Kain (1985)。階層的整合性ポリシーの実用的な代替手段。第 8 回全国コンピュータセキュリティ会議。
Gorine, Andrei、Krivolapov, Alexander (2008 年 5 月)。「カーネルモードデータベース: 高性能アプリケーション向けの DBMS テクノロジ」。Dr . Dobb's Journal。

[12] たとえば、IBM OS/360からz/OSでは、一部のシステムタスクは問題状態キー 0 で実行されます。

[1] Karger, Paul A.; Herbert, Andrew J. (1984).アクセスのラティスセキュリティと追跡可能性をサポートする拡張機能アーキテクチャ。1984 IEEE セキュリティとプライバシーシンポジウム。p. 2. doi :10.1109/SP.1984.10001. ISBN 0-8186-0532-4. S2CID 14788823。

[2] ^ Binder, W. ( 2001). 「J-SEAL2 モバイルエージェントカーネルの設計と実装」。2001アプリケーションとインターネットに関するシンポジウムの議事録。pp. 35–42。doi :10.1109/ SAINT.2001.905166。ISBN 0-7695-0942-8. S2CID 11066378。

[3] 「未来に向けた簡素化されたインテルアーキテクチャの構想」Intel 2024年5月28日閲覧。

[4] 「保護リングを実装するためのハードウェアアーキテクチャ」Communications of the ACM 15 ( 3) 1972年3月2012年9月27日閲覧。

[5] 「Multics 用語集 - リング」。2012年9 月 27 日閲覧。

[6] Multics 仮想メモリ、パート 2 (PDF)。Honeywell Information Systems。1972 年 6 月。pp. 160–161。

[russinovich-7] ルシノビッチ、マーク E.デビッド A. ソロモン (2005)。Microsoft Windows Internals (第 4 版)。マイクロソフトプレス。 16ページ。ISBN 978-0-7356-1917-3。

[8] Russinovich, Mark (2012). Windows Internals Part 1 (第 6 版). ワシントン州レドモンド: Microsoft Press. p. 17. ISBN 978-0-7356-4873-9Windows が 2 つのレベルのみを使用する理由は、過去にサポートされていた一部のハードウェアアーキテクチャ ( Compaq AlphaやSilicon Graphics MIPSなど) が 2 つの特権レベルのみを実装していたためです。

[9] 「OS/2 用プレゼンテーションデバイスドライバーリファレンス – 5. OS/2 プレゼンテーションドライバーの概要」。2015 年 6 月 15 日時点のオリジナルよりアーカイブ。2015年6 月 13 日閲覧。

[10] ARM アーキテクチャリファレンスマニュアル ARMv7-A および ARMv7-R エディション。Arm Ltd. p. B1-1136。

[armv8-a-11] Arm アーキテクチャリファレンスマニュアル Armv8、A プロファイルアーキテクチャ用。Arm Ltd.

[13] 「スーパーバイザーモード」。フォルドック。 1995 年 2 月 15 日。

[Liedtke95-14] Jochen Liedtke (1995 年 12 月)。「μ-カーネル構築について」。手順オペレーティングシステム原則 (SOSP) に関する第 15 回 ACM シンポジウム。

[Ousterhout90-15] Ousterhout, JK (1990)。なぜオペレーティングシステムはハードウェアほど高速化しないのか? Usenix Summer Conference A. Naheim, CA. pp. 247–256。

[16] Maurice Wilkes (1994 年 4 月)。「変化する世界におけるオペレーティングシステム」。ACM SIGOPSオペレーティングシステムレビュー。28 (2) : 9–21。doi : 10.1145 / 198153.198154。ISSN 0163-5980。S2CID 254134 。

[17] Gorine, Andrei; Krivolapov, Alexander (2008 年 5 月)。「カーネルモードデータベース: 高性能アプリケーション向けの DBMS テクノロジ」。Dr . Dobb's Journal。

[18] Intel® 64 および IA-32 アーキテクチャーソフトウェア開発者マニュアル、第 3C 巻(PDF)。Intel Cooperation (2016 年 9 月発行)。2016 年。pp. 1–3。

[19] Russinovich, Mark E.; Solomon, David A. (2005). Microsoft Windows Internals (第 4 版). Microsoft Press. p. 16. ISBN 978-0-7356-1917-3。

[20] Sunil Mathur.マイクロプロセッサ 8086: アーキテクチャ、プログラミング、インターフェイス(Eastern Economy 編)。PHI Learning。

[OSPP-21] アンダーソン、トーマス、ダーリン、マイケル (2014 年 8 月 21 日)。「2.2」。オペレーティングシステム: 原理と実践(第 2 版)。Recursive Books。ISBN 978-0985673529。

[22] De Gelas, Johan. 「ハードウェア仮想化：基本」AnandTech . 2021年3月13日閲覧。