11.2.4. Субъектно-ориентированная модель

В данной модели считается, что субъекты порождаются други­ми субъектами (активными сущностями) из объектов (пассивная сущность). Вводится понятие ассоциированности объекта и субъек­та. О ней говорят в случае, если состояние объекта влияет на со­стояние субъекта в следующий момент времени (считается, что в системе дискретное время). Субъект осуществляет отображение ассоциированных объектов в момент времени / на множество ас­социированных объектов в момент времени /+ I. При этом мож­но выделить подмножество объектов (передатчиков), изменение которых влечет за собой изменение субъектом других объектов (приемников). В результате мы получаем информационный по­ток между двумя объектами. Этот поток обладает свойством тран­зитивности. Доступом субъекта к объекту называется порождение потока информации между некоторым объектом и объектом до­ступа. Среди потоков есть легальные и несанкционированные. Политика безопасности описывает разбиение потоков на эти два множества. Правила разграничения доступа есть формально опи­санные легальные потоки.

Для разбиения всех потоков на множества законных и несанк­ционированных выделяется особый субъект, который активизи­руется при любом потоке и умеет выполнять классификацию по­роков — монитор обращений. Отсюда получается понятие мони­тора безопасности объектов (МБО) — это монитор обращений, разрешающий только легальные потоки (операции над объектом). Однако при изменении ассоциированных с МБО объектов может измениться и сам МБО, поэтому вводят понятие корректности субъектов, или их невлияния друг на друга. Два субъекта называ­ют взаимно корректными, если в любой момент времени отсутствует поток между двумя объектами, ассоциированными с этими субъектами. У абсолютно корректных субъектов множества ассо­циированных объектов вообще не пересекаются.

Введение понятия абсолютной корректности позволяет сфор­мулировать достаточные условия осуществления только легаль­ного доступа. Для этого все субъекты в системе, включая МБО, должны быть абсолютно корректными относительно друг друга. Это достаточно жесткое правило, и на первый взгляд неясно, как решить проблему корректности порождаемого субъекта и МБО. На помощь приходит введение понятия монитора безопасности субъектов (МБС) — субъекта, который разрешает порождение толь­ко определенного подмножества пар активизирующих субъектов и объектов-источников.

Компьютерная система, в которой есть МБС, называется зам­кнутой. Если порождаемые субъекты абсолютно корректны отно­сительно друг друга и МБС, то замкнутая система называется изо­лированной. В 15] приведена и доказана теорема, описывающая достаточное условие гарантированного выполнения политики без­опасности в компьютерной системе: «Если в изолированной про­граммной среде существует МБО и порождаемые субъекты абсо­лютно корректны с МБО, МБС и другими субъектами, а также МБС абсолютно корректен с МБО, то в такой программной среде МБО разрешает порождение только легальных потоков».

Для того чтобы программная среда всегда оставалась изолиро­ванной (а значит, и гарантированно защищенной), необходимо потребовать, чтобы порождение субъектов сопровождалось конт­ролем неизменности породивших их объектов.