The processes in an operating system must be protected from one another’s

[Needham and Walker (1977)]
R. M. Needham and R. D. H. Walker, “The
Cambridge CAP Computer and Its Protection System”, Proceedings of the Sixth
Symposium on Operating System Principles
(1977), pages 1–10.

Bibliography
655
[Organick (1972)]
E. I. Organick, The Multics System: An Examination of Its
Structure
, MIT Press (1972).
[Popek (1974)]
G. J. Popek, “Protection Structures”, Computer, Volume 7, Num-
ber 6 (1974), pages 22–33.
[Redell and Fabry (1974)]
D. D. Redell and R. S. Fabry, “Selective Revocation
of Capabilities”, Proceedings of the IRIA International Workshop on Protection in
Operating Systems
(1974), pages 197–210.
[Saltzer and Schroeder (1975)]
J. H. Saltzer and M. D. Schroeder, “The Protec-
tion of Information in Computer Systems”, Proceedings of the IEEE (1975), pages
1278–1308.
[Wahbe et al. (1993)]
R. Wahbe, S. Lucco, T. E. Anderson, and S. L. Graham,
“
Efficient Software-Based Fault Isolation”, ACM SIGOPS Operating Systems
Review
, Volume 27, Number 5 (1993), pages 203–216.
[Wallach et al. (1997)]
D. S. Wallach, D. Balfanz, D. Dean, and E. W. Felten,
“
Extensible Security Architectures for Java”, Proceedings of the ACM Symposium
on Operating Systems Principles
(1997), pages 116–128.
[Wulf et al. (1981)]
W. A. Wulf, R. Levin, and S. P. Harbison, Hydra/C.mmp: An
Experimental Computer System
, McGraw-Hill (1981).