3. Расширенная модель Take-Grant и ее применение для анализа информационных потоков в ас.

В расширенной модели Take-Grant рассматриваются пути и стои­мости возникновения информационных потоков в системах с дискрецион­ным разграничением доступа

В классической модели Take-Grant по существу рассматриваются два права доступа tи g, а также четыре правила (правила де-юре) преобразо­вания графа доступов take, grant, create, removeВ расширенной модели дополнительно рассматриваются два права доступа на чтение r (read) и на запись w (write), а также шесть правил (правила де-факто) преобразо­вания графа доступов post, spy, find, passи два правила без названия.

Правила де-факто служат для поиска путей возникновения возмож­ных информационных потоков в системе. Эти правила являются следст­вием уже имеющихся у объектов системы прав доступа и могут стать при­чиной возникновения информационного потока от одного объекта к друго­му без их непосредственного взаимодействия.

В результате применения к графу доступов правил де-факто в него добавляются мнимые дуги, помечаемые r или wи изображаемые пункти­ром. Вместе с дугами графа, соответствующими правам доступа rи w (реальными дугами), мнимые дуги указывают на направления ин­формационных каналов в системе.

Правило де-факто (везде вместо реальных дуг могут быть мнимые дуги)

Важно отметить, что к мнимым дугам нельзя применять правила де-юре преобразования графа доступов. Информационные каналы нельзя брать или передавать другим объектам системы.

20. Модель Белла-Лападулы как основа построения систем мандатного разграничения доступа. Основные положения модели. Базовая теорема безопасности (bst).

1. Модель Белла-Лападулы

Модель БЛ построена для анализа систем защиты, реализующих мандатное разграничение доступа. Модель основана на правилах секретного документооборота, принятых в гос. и правительственных учреждениях многих стран. Основным положением модели явл. назначение всем участникам процесса обработки защищаемой И. спец.метки (с, сс и т.д.) получившей название – уровень безопасности. Контроль доступа осущ. в зависимости от уровня без-ти взаимод. сторон на основании 2 правил:

1. - S имеет право читать только те документы, уровень безопасности которых не превышает его собственный уровень без-ти (допуск).

2. - S имеет право заносить И. только в те документы, уровень безопасности которых не ниже его собственного уровня безопасности.

Т.о., управление доступом происходит неявным образом (с помощью назначения S и О системного уровня безопасности), кот. определяет все допустимые взаимодествия между ними. В тех ситуациях когда управление доступом требует более гибкого подхода, мандатная модель применяется совместно с к.-л. дискретной, которая используется для контроля за взаимодействиями м/у сущностями одного уровня и для установки доп. ограничений.

Пусть определены конечные множества: S-множество субъектов системы (например, пользователи системы и программы); О-множество объектов системы (например, все системные файлы); R={read, write, append, execute} - множество видов доступа субъектов из S к объектам из О.

Обозначим:

B = {bSОR}-множество возможных множеств текущих доступов в системе;

М-матрица разрешенных доступов, где М_soR-разрешенный доступ субъекта s к объекту о;

L -множество уровней секретности, например L={U,C,S,TS}, где

U<C<S<TS;

(f_s,f_o,f_c)F=L^sx L^ox L^s - тройка функций (f_s,f_o,f_c), определяющих:

• f_s: SL- уровень допуска субъекта;

• f_o: OL-уровень секретности объекта;

• f_c: SL-текущий уровень допуска субъекта, при этомsSf_c(s)≤ f_s(s);

H-текущий уровень иерархии объектов (далее не рассматривается);

V=B x M x F x H- множество состояний системы;

Q- множество запросов системе;

D - множество решений по запросам, например {yes, no, error};

WQ x D x V xV - множество действий системы, где четверка (q,d,v₂,v₁,)W означает, что система по запросу q с ответом d перешла из состояния v₁ в состояние v₂,

N₀- множество значений времени (N₀ =0,1,2,...);

X - множество функций х: N₀Q, задающих все возможные последова­тельности запросов к системе;

У-множество функций у: N₀D, задающих все возможные последова­тельности ответов системы по запросам;

Z -множество функций z: N₀V, задающих все возможные последовательности состояний системы.

Определения:

1. (Q,D,W,z₀)X x V xZ называется системой, если вы­полняется (x,y,z)(Q,D,W,z₀) тогда и только тогда, когда (x_t,y_t,z_t+1,z_t) W для каждого, tN₀ где z₀-начальное состояние системы. При этом каж­дый набор (x,y,z)(Q,D,W,z₀)называется реализацией системы, a (x_t,y_t,z_t+1,z_t) W - действием системы tN₀.

Безопасность системы определяется с помощью трех свойств:

1) ss-свойства простой безопасности (simple security);

2) *- свойства "звезда";

3)ds - свойства дискретной безопасности (discretionary security).

2. Доступ (s,o,r)SOR обладает ss-свойством отно­сительно f=(f_s,f_o,f_c)F. если выполняется одно из условий:

• r{execute, append};

• r{read, write} и f_s(s)f_o(o).

З. Состояние системы (b,M,f,h)V обладает ss-свой­ством, если каждый элемент (s,o,r)b обладает ss-свойством относи­тельно f.

4. Доступ (s,o,r)SOR удовлетворяет *-свойству от­носительно f=(f_s,f_o,f_c)F, если выполняется одно из условий:

• r=execute;

• r=append и f_o(o)=f_c(s);

• r=read и f_c (s)= f_o(o);

• r=write и f_c (s)= f_o(o).

5. Состояние системы (b,M,f,h)V обладает *-свойством, если каждый элемент (s, о, г)Ь обладает *-свойством относительно f.

6. Состояние системы (b,M,f,h)V обладает *-свойст­вом, относительно подмножества S'S, если каждый элемент (s,o,r)b, где sS'обладает *-свойством относительно f. При этом S\S' называются множеством доверенных субъектов, т. е. субъектов, имеющих право нару­шать политику безопасности.

7. Состояние системы (b,M,f,h) V обладает ds-свойством, если для каждого элемента (s,o,r) b выполняется rM_so.

8. Состояние системы (b,M,f,h) называется безопас­ным, если обладает *-свойством относительно S', ss-свойством и ds-свойством.

9. Реализация системы (x,y,z)(Q,D,W,zo) обладает ss-свойством (*-свойством, d-свойством), если в последовательности (z₀,z₁,...) каждое состояние обладает ss-свойством (*-свойством, ds-свой­ством).

10. Система (Q,D,W,z_o) обладает ss-свойством (*-свой­ством, ds-свойством), если каждая ее реализация обладает ss-свойством (*-свойством, ds-свойством).

11. Система (Q,D,W,z_o) называется безопасной, если она обладает ss-свойством, *-свойством, ds-свойством одновременно.

Прокомментируем введенные выше свойства безопасности системы. Во-первых, из обладания доступом * - свойством относительно f следует обладание этим доступом ss-свойством относительно f. Во-вторых, из об­ладания системой ss-свойством следует, что в модели БЛ выполняется запрет на чтение вверх, принятый в мандатной (полномочной) политике безопасности. Кроме того, ss-свойство не допускает модификацию с ис­пользованием доступа write, если f_s(s) <f_o(o). Таким образом, функция f_s(s) определяет для субъекта s верхний уровень секретности объектов, к кото­рым он потенциально может получить доступ read или write.

В-третьих, поясним *-свойство. Если субъект s может понизить свой текущий доступ до f_c(s) = f_o(о), то он может получить доступ write к объекту о, но не доступ read к объекту о', с уровнем f_o(о')>f_c(s). Хотя при этом, возможно, выполняется f_s(s)= f_o(о') и в каких-то других состояниях систе­мы субъект s может получить доступ read к объекту о'. Таким образом, *-свойство исключает появление в системе канала утечки информации сверху вниз и соответствует требованиям мандатной (полномочной) политики безопасности.

Проверка безопасности системы по определению в большинстве случаев не может быть реализована на практике в связи тем, что при этом требуется проверка безопасности всех реализаций системы, а их беско­нечно много. Следовательно, необходимо определить и обосновать иные условия безопасности системы, которые можно проверять на практике. В классической модели БЛ эти условия определяются для множества дей­ствий системы W.

Теорема А1.

Система (Q, D, W, z_o) обладает ss-свойством для любо­го начального состояния z_o, обладающего ss-свойством, тогда и только тогда, когда (q,d,(b*, М*,f*,h*), (b, M,f, h)) W удовлетворяет условиям:

Условие 1.(s,o,r) b*\b обладает ss-свойством относительно f*.

Условие 2. Если (s,o,r)b и не обладает ss-свойством относительно f*, то (s,o, г) b*.

Доказательство.

Достаточность. Пусть выполнены условия 1 и 2 и пусть (x,y,z) (Q,D, W,z_o) - произвольная реализация системы. Тогда (х_t,y_t,(b_t+1, M_t+1, f_t+1,h_t+1)(b_t, M_t, f_t, h_t)) W, где z_t+1 = (b_t+1, M_t+1, f_t+1, h_t+1), z_t = (b_t, M_t, f_t, h_t) для tN₀.

Для любого (s,o,r) b_t+1 выполняется или (s,o,r) b_t+1\b_t, или (s,o,r)b_t. Из условия 1 следует, что состояние системы z_t+1 пополнилось досту­пами, которые обладают ss-свойством относительно f*. Из условия 2 сле­дует, что доступы из b_t, которые не обладают ss-свойством относительно f* не входят в b_t+1. Следовательно (s,o,r) b_t+1 обладают ss-свойством относительно f* и по определению состояние z_t+1 обладает ss-свойством для tN_o. Так как по условию и состояние z_o обладает ss-свойством, то выбранная нами произвольная реализация (x,y,z) также обладает ss-свойством. Достаточность доказана.

Необходимость. Пусть система  (Q,D,W,z_o) обладает ss-свойством. Бу­дем считать, что в множество W входят только те действия системы, кото­рые используются в ее реализациях. Тогда (q,d,(b*,M*,f*,h*),(b,M,f,h))W(x,y,z) (Q,D,W,z_o) и tN₀: (q,d,(b*,M*,f*,h*),(b,M,f,h))= (х_t,y_t,z_t+1,z_t). Так как реализация системы (x,y,z) обладает ss-свойством, то и со­стояние z_t+1 = =(b*,M*,f*,h*) обладает ss-свойством по определению. Сле­довательно, условия 1 и 2 очевидно выполняются. Необходимость дока­зана.

Теорема А2.

Система  (Q,D,W,z_o) обладает *-свойством относи­тельно S'S для любого начального состояния z_o, обладающего *-свой­ством относительно S', тогда и только тогда, когда (q,d,(b*,M*,f*,h*),(b,M,f,h))W удовлетворяет условиям:

Условие 1. sS', (s,o,r) b*\b обладает *-свойством относительно f*.

Условие 2.sS', если (s,o,r) b и не обладает *-свойством относи­тельно f*, то (s,o.r) b*.

Доказательство. Аналогично доказательству теоремы А1.

Теорема A3.

Система  (Q,D,W,z_o) обладает ds-свойством для любо­го начального состояния z_o, обладающего ds-свойством, тогда и только тогда, когда (q,d,(b*,M*,f*,h*),(b,M,f,h))W удовлетворяет условиям:

Условие 1.(s,o,r)b*\b, выполняется rm_so.

Условие 2. Если (s,o,r)b и rm_so, то (s,o,r) b*.

Доказательство. Аналогично доказательству теоремы А1.