Материал: Обеспечение компьютерной безопасности

Преимущество иерархической структуры заключается в том, что все полномочия контролируются доверенным единым пользователем. Концепция владельца ассоциируется с единственным пользователем, имеющим полномочия контроля с объектом. Владелец всегда полностью контролирует, созданный им объект и не может передать полномочия контроля другому объекту. Но он может изменить право доступа к объекту в любой момент.

Концепция владельца рассматривается как иерархия с двумя уровнями:

1.       контроля права доступа

2.      безусловным контролем полномочий

.3 Реализация дискреционного контроля доступа

Дискреционный контроль доступа предполагает выполнение следующих требований:

·        все субъекты и объекты должны быть однозначно идентифицированы

·        для любого объекта должен быть определен пользователь владелец

·        владелец объекта должен обладать правом, определяющим право доступа к объекту со стороны любых субъектов

·        должен существовать привилегированный пользователь, обладающий правом полного доступа к любому объекту. Это свойство определяет невозможность существования потенциально недоступных объектов, владелец, которых отсутствует. Но реализация права полного доступа к любому объекту по средствам назначения себя и его владельцем не позволяет привилегированному пользователю использовать свои полномочия незаметно для реального владельца.

Дискреционное управление доступом реализуется в виде матрицы доступа.

Достоинства:

. простая реализация

. хорошая изученность

. реализуемость в О.С.

Недостатки:

. статичность разграничений доступа, т.е невозможность изменения права доступа к открытому объекту.

. не обеспечивает защиту от утечки конфиденциальной информации

CO - объект с конфиденциальной информацией, владелец которого является хороший пользователь- объект с исходным кодом программы, содержит закладку ("троянский конь"), владелец которой нехороший пользователь- нарушитель

Нарушитель NU создает ситуацию, при которой владелец объекта с конфиденциальной информацией запускает программу из объекта PO, активируя тем самым закладку, которая имеет в этом случае права доступа NU, читает информацию PO, после этого NU читает информацию конфиденциальную из РО.

.4 Мандатное управление доступом

Мандатный подход требует ограничения:

1.      все объекты и субъекты должны быть однозначно идентифицированы;

2.      должен существовать линейно упорядоченный набор меток конфиденциальности и соответствующие им степени доступа;

.        каждому объекту должна быть присвоена метка конфиденциальности;

.        каждому субъекту должна быть присвоена степень доступа;

.        в процессе своего существования каждый субъект должен иметь свой уровень конфиденциальности объектов, в котором данный субъект получил доступ;

.        должен существовать привилегированный пользователь, имеющий полномочия на удаление любого объекта в системе;

.        понизить метку конфиденциальности объекта может только субъект, имеющий доступ к объекту и обладающий специальной привилегией;

.        право на чтение информации из объекта получает только тот субъект, степень допуска которого не больше метки конфиденциальности данного объекта;

.        право на запись информации в объект получает только тот субъект, уровень конфиденциальности которого не меньше метки конфиденциальности данного объекта;

Основной целью мандатного правления является предотвращение утечки информации. Для мандатного подхода характерно, если начальное состояние системы было безопасно и все переходы в системе из одного состояния в другое не нарушают правило разграничения доступа, то любое состояние системы безопасно.

Достоинства:

·   высокая надежность работы системы, так как разграничение доступом к объектам контролируется,

·        простота правил определения разграничения доступом.

Недостатки:

·        сложность программной реализации, которая увеличивает вероятность внесения ошибки и появление каналов утечки информации,

·        снижение эффективности, так как проверка прав доступа субъекта к объекту выполняется не только при открытии объекта, но и перед выполнением любой операции,

·        создаются дополнительные неудобства, связанные с невозможностью изменением информации в не конфиденциальном объекте, если тот процесс использует не конфиденциальную информацию.

В оранжевой книге выделено 2 класса защищенности, в которых реализовано дискреционное управление, и 3 в которых мандатное.

Мандатное управление доступом основано на метках конфиденциальности информации и офисном разрешении допуска субъектов. Под уровнем секретности будет пониматься атрибут, который может быть ассоциирован с сущностью системы, может быть ассоциирован степенью критичности в смысле безопасности. Этот атрибут может обозначать степень ущерба от нарушителя безопасности или чувствительность, которая определяет ценность ресурса или важность или может учитывать его уязвимость. Совокупность линейно упорядоченных уровней системы секретности образует классификацию:

·        по уровню общедоступности для служебного использования,

·        степень доверия определяющей уровень секретности функции, отражающие объекты и субъекты на уровне секретности, можно определить на множестве субъектов и объектов.

Кроме уровня секретности вводится множество категорий, которые определяют тип информации. Например, категория для прессы ядерный, стратегический.

Множество уровней секретности образует решетку по отношению к операции упорядочивания.- множество уровней секретности

- операция упорядочивания элементов на этом множестве уровней элементов. Это отношение рефлексивно, транзитивно и ассиметрично. При этом для каждого множества SC существует верхняя граница над этим уровнем.

с=мах (А,В)

1.      АС и ВС

2.      АВ и BD CDDSC

Классической моделью мандатного управления доступом является модель Белла и Лападула. В основе модели Белла и Лападула лежит работа с документами в правительстве США.

Субъектам с низким уровнем секретности не позволяют читать информацию из объектов с высоким уровнем секретности. Субъектам не позволяют размещать информацию имеющую более низкий уровень секретности.

Второе правило размещения "троянского коня", т.е. запись на более низкий уровень секретности запрещается. На одинаковом уровне секретности субъектам доступна соответствующая информация.

Пусть S - множество субъектов, О - множество объектов, L- решетка уровней секретности.

ОS - будут характеризоваться множеством, - множество состоит из упорядоченных пар [F,M]. М - матрица доступа субъектов к объектам.определяет уровни секретности аргументов или субъектов, объектов. Множество запросов R состоит из переходов Т(VR)V. Будут определяться декартовым произведением предыдущего состояния на запрос и переход на новое состояние.

Недостатки модели Белла - Лападула устраняются за счет дополнительного обеспечения, что приводит к усложнению программ, и как правило к дополнительному контролю за скрытыми каналами утечки информации, которые характерны для MAC контроля доступом.

.5 Модель китайской стены

Выражает динамическое изменение прав доступа. Модель построена следующим образом: сначала определено понятие "китайской стены", а затем множество правил, декларирующих то, что ни один субъект не может получить доступ к данным по некорректную сторону стены.

Основной политикой является утверждение о том, что субъект может получить доступ к информации, не входящей в конфликт с любой информацией, к которой он имел доступ до этого. Пусть существует 3 класса конфликтов интересов: (a,b,c),(d,e,f),(g,h,i). Изначально субъект имеет доступ к любому множеству от a до i , но если субъект получил доступ к множеству e, то согласно второму классу конфликтов интересов ему запрещен доступ к множеству d и f. Формально это правило может быть выражено следующим образом à пусть S-множество субъектов, О - множество объектов, CD - множество объектов, принадлежащих одной компании, COI - класс, описывающий конфликт интересов, PR(S) -множество объектов к которым S имел доступ по чтению. Тогда правило безопасности для китайской стены имеет вид:

S может читать О, если и только если существует О1, для которого SO` CD(O`)=CD(O);

для всех О1 со свойством О1 принадлежащих PR(S) следует COI(O`)=COI(O);

O содержит общедоступную информацию, т.е. доступ по чтению предоставляется субъекту, если доступ к запрашиваемому ресурсу был предоставлен и он не входит в конфликт с запрашиваемым классом. По записи доступ разрешен, если он разрешен простым правилом безопасности и не существует объекта, который может быть прочитан из множества данных, отличного от того, в которое производиться запись и содержащего не общедоступную информацию.

При создании мандатной модели категории целостности, которая так же как в модели Белла-Лападула образует решетку. Модель целостности Биба аналогично модели Белла-Лападула имеет аналогичные правила. Например, целостности записи наверх может представлять угрозу в том случае, если субъект с низким уровнем целостности искажает или уничтожает данные, лежащие на более высоком уровне целостности. Это может быть сформулировано следующими примерами:

нет чтения снизу (no read down);

нет записи наверх (no write up);

По направлению эти правила являются противоположными правилам Белла-Лападула.

Достоинства:

наследует те положительные характеристики модели Белла-Лападула, включая простоту, интуитивность, доходчивость модели при проектировании;

модель Биба также подразумевает монотонное изменение уровней целостности, т.е. уровни остаются неизменными или снижаются, модель не предусматривает повышение целостности.

.6 Модель целостности Кларка Вильсона

Модель основана на анализе методов управления документооборотом в неавтоматизированном офисе коммерческой организации. Основой для модели являются транзакции, состоящие из последовательности операций, переводящих систему из одного состояния в другое.

Объекты в модели представлены в виде конечного множества данных -D, данные разделяются на два множества: одно- обладает целостностью (контролируется целостность) -CDI (constrained data items); второе- данные не контролируются на целостность - UDI (unconstrained data items);

CDI U UDI= D,∩ UDI=Ø.

Субъекты включены в модель как множество компонентов, которые могут инициировать транзакцииàTP (transformation procedure). В модели так же определена процедура утверждения целостности àIVP (integrity verification procedure).

1)   в системе должны иметься IVP, подтверждающие целостность любой CDI/ Простейшим методом подтверждения целостности является проверка контрольной суммы CDI;

2)      применение любой TP к любому CDI должно сохранять целостность этого CDI;

)        только TP могут вносить изменения в CDI; процедуры и действия, не являющиеся TP не могут изменяться CDI;

)        субъекты могут инициализировать только определенные TP над определёнными CDI. Это правило предполагает, что система должна определять и поддерживать некоторые отношения между TP и CDI, так называемые KBM - тройки, которые имеют аргумент(s,t,d), это обозначает, что субъекту S разрешается применить к TP по имени - t, к CDI- d, если это правило не определено, то процедура невозможна! Это правило гарантирует, что всегда можно определить, кто может изменить CDI и как это изменение может произойти;

)        КВМ - тройки должна проводить политику разделения обязанностей субъектов;

)        специальные TP могут превращать UDI в CDI, т.е. повышать целостность данных ( специальные TP);

)        каждое применение TP должно регистрироваться в специальном CDI, доступным только для добавления информации. В данной CDI необходимо записывать информацию, достаточную для восстановления работы системы, это правило требует введения специального регистрационного журнала, который храниться в определенном CDI;

)        система должна распознавать субъекты, пытающиеся инициализировать TP. Этот механизм помогает определить атаки подмены;

)        система должна разрешать производить изменения в списке авторизации только специальным субъектам. Это правило гарантирует, что основная защита, определяемая КВМ тройкой, не будет обойдена злоумышленником, пытающимся изменить содержание такого списка.

Эти 9 правил определяют: как может быть проверена целостность, как и кем, могут изменяться CDI , и как UDI могут быть превращены в CDI.

3.7 Модель Липкера

Модель Липкера представляет собой объединение моделей Белла-Лападула с моделью Биба и представляет собой реализацию требований к разработке программного обеспечения и последующего его использования.

Правила:

) пользователи не имеют права на разработку программного обеспечения, а используют существующее прикладное программное обеспечение;

) программисты разрабатывают и тестируют программы в системе, не обрабатывающие критичные данные, т.е. без проверок на целостность, безопасность;

) для внесения разработанных программ в систему используется специально разработанный механизм;

) механизм, описанный в 3) должен контролироваться, а результаты фиксироваться в журнале аудита;

) администраторы системы должны иметь возможность доступа к данным аудита и функциям администрирования системы.

В модели определены два уровня безопасности:

высший (управление и аудит) на этом уровне находятся функции управления системой и аудит системы;

низший(SL) информация на данном уровне может читать любой процесс;

В модели определено 5 категорий:

) разработка D (Development) - к данной категории относятся разработанные и тестируемые прикладные программы;

) прикладные программы PC ( Production Code) - к данной категории относятся прикладные программы, используемые в системе;

) критичные данные PD (Production Data) - к данной категории относятся данные, целостность которых контролируется;

) разрабатываемые системные программы SD ( System Development) - к данной системной категории относятся разрабатываемые и тестируемые системные программы;

) средства разработки T (Software Tools)- к данной категории относятся прикладные программы, используемые для разработки приложений и не участвующие в разработке критичных данных.

4. Идентификация и аутентификация

Для того чтобы политики разграничения доступа могли связать пользователей системы с их представлением в вычислительной системе, необходимо наличие некоторого механизма, позволяющего определить соответствие пользователей и их представлений. Данный механизм называется идентификация/ аутентификация.