2. Теорема bst (Basic Security Theorem).

Система  (Q,D,W,z_o) безо­пасна тогда и только тогда, когда z_o безопасное состояние и множество действий системы W удовлетворяет условиям теорем А1, А2, A3.

Доказательство. Теорема BST следует из теорем А1, А2, A3.

Описанная выше классическая модель БЛ предлагает общий подход к построению систем, реализующих мандатную (полномочную) политику безопасности. В модели БЛ определяется, какими свойствами должны обладать состояния и действия системы, чтобы она была безопасной со­гласно определению 11. В то же время в модели не указывается конкрет­но, что должна делать система по запросам на доступ субъектов к объек­там при переходе из состояния в состояние, как конкретно должны при этом изменяться значения элементов модели.

Проблемы использования модели БЛ

Кроме отмеченной выше проблемы некорректного определения безопасности в модели БЛ возможно возникновение трудностей иного рода, возникающих при использовании модели БЛ в реальных компьютер­ных системах. Таким образом, без дополнительных уточнений свойств безопасно­сти и порядка написания кода программ классическая модель БЛ не спо­собна предотвратить возникновение некоторых каналов утечки информа­ции. В тоже время слишком строгая политика безопасности может привести к трудностям или даже невозможности практического использования системы защиты. Кроме того, как уже отмечалось выше, доопределение и усложнение свойств безопасности также несет в себе скрытую угрозу.

На пальцах:

Модель Белла-ЛаПадула — модель контроля и управления доступом, основанная на мандатной модели управления доступом. В модели Белла-ЛаПадулы анализируется условия, при которых невозможно создание информационных потоков от субъектов с более высокого уровня доступа к субъектам более низкого уровня доступа.

Классическая модель Белла-ЛаПадула была описана в 1975 году сотрудниками компании MITRE Corporation Дэвидом Беллом и Леонардом ЛаПадулой.

Контроль доступа осуществляется в зависимости от уровня безопасности взаимодествующих сторон на основании 2 простых правил:

• уполномоченное лицо (субъект) имеет право читать только те документы, уровень безопасности которых не превышает его собственный уровень без-ти (допуск).

• уполномоченное лицо (субъект) имеет право заносить инф. только в те документы, уровень безопасности которых не ниже его собственного уровня безопасности.

Модель Белла-ЛаПадулы является моделью разграничения доступа к защищаемой информации. Она описывается конечным автоматом с допустимым набором состояний, в которых может находиться информационная система. Все элементы, входящие в состав информационной системы, разделены на две категории – субъекты и объекты. Каждому субъекту присваивается свой уровень доступа, соответствующий степени конфиденциальности. Аналогично, объекту присваивается уровень секретности. Понятие защищённой системы определяется следующим образом: каждое состояние системы должно соответствовать политике безопасности, установленной для данной информационной системы. Переход между состояниями описывается функциями перехода. Система находится в безопасном состоянии в том случае, если у каждого субъекта имеется доступ только к тем объектам, к которым разрешен доступ на основе текущей политики безопасности.

Для определения, имеет ли субъект права на получение определенного вида доступа к объекту, уровень секретности субъекта сравнивается с уровнем секретности объекта, и на основе этого сравнения решается вопрос, предоставить или нет запрашиваемый доступ. Наборы уровень доступа/уровень секретности описываются с помощью матрицы доступа.

Основными правилами, обеспечивающими разграничение доступа, являются следующие:

Простое свойство безопасности (The Simple Security)

Субъект с уровнем секретности может читать информацию из объекта с уровнем секретности тогда и только тогда, когда преобладает над . Это правило также известно под названием “нет чтения вверх” (NRU). Например, если субъект, имеющий доступ только к несекретным данным, попытается прочесть объект с уровнем секретности совершенно секретно, то ему будет отказано в этом.

Свойство * (The *-property)

Субъект с уровнем секретности может писать информацию в объект с уровнем секретности в том и только в том случае, когда преобладает над . Это правило также известно под названием “нет записи вниз” (NWD). Например, если субъект, имеющий уровень доступа совершенно секретно, попытается записать в объект с уровнем секретности секретно, то ему будет отказано в этом.

Дискреционное свойство безопасности (The Discretionary Security Property)

Заключается в том, что права дискреционного доступа субъекта к объекту определяются на основе матрицы доступа.

Формальное описание модели

Обозначения

• — множество субъектов;

• — множество объектов, ;

• – множество прав доступа, — доступ на чтение, – доступ на запись;

• — множество уровней секретности, — Unclassified, — Sensitive but unclassified, — Secret, — Top secret;

• — решётка уровней секретности, где:

• — оператор, определяющий частичное нестрогое отношение порядка для уровней секретности;

• — оператор наименьшей верхней границы;

• — оператор наибольшей нижней границы.

• – множество состояний системы, представляемое в виде набора упорядоченных пар , где:

• — функция уровней секретности, ставящая в соответствие каждому объекту и субъекту в системе определённый уровень секретности;

• – матрица текущих прав доступа.

Система в модели Белла-ЛаПадулы состоит из следующий элементов:

• - начальное состояние системы;

• - множество прав доступа;

• - функция перехода, которая в ходе выполнения запросов переводит систему из одного состояния в другое.

Определения состояния безопасности

Состояние называется достижимым в системе , если существует последовательность Начальное состояние является достижимым по определению.

Состояние системы называется безопасным по чтению (или simple-безопасным), если для каждого субъекта, осуществляющего в этом состоянии доступ по чтению к объекту, уровень безопасности субъекта доминирует над уровнем безопасности объекта: .

Состояние системы называется безопасным по записи (или * - безопасным) в случае, если для каждого субъекта, осуществляющего в этом состоянии доступ по записи к объекту, уровень безопасности объекта доминирует над уровнем безопасности субъекта:

Состояние называется безопасным, если оно безопасно по чтению и по записи. Система называется безопасной, если её начальное состояние v0 безопасно, и все состояния, достижимые из путём применения конечной последовательности запросов из , безопасны.

Основная теорема безопасности Белла-ЛаПадулы

Система безопасна тогда и только тогда, когда выполнены следующие условия:

1. Начальное состояние безопасно.

2. Для любого состояния , достижимого из путём применения конечной последовательности запросов из , таких, что и , для выполнены условия:

• Если и , то

• Если и , то

• Если и , то

• Если и , то

Доказательство теоремы

1. Докажем необходимость утверждения.

Пусть система безопасна. В этом случае начальное состояние безопасно по определению. Предположим, что существует безопасное состояние , достижимое из состояния , и для данного перехода нарушено одно из условий 1-4. Легко заметить, что в случае, если нарушены условия 1 или 2, то состояние будет небезопасным по чтению, а если нарушены условия 3 или 4 – небезопасным по записи. В обоих случаях мы получаем противоречие с тем, что состояние является безопасным.

2. Докажем достаточность утверждения.

Система может быть небезопасной в двух случаях:

1. В случае если начальное состояние небезопасно. Однако данное утверждение противоречит условию теоремы.

2. Если существует небезопасное состояние , достижимое из безопасного состояния путём применения конечного числа запросов из . Это означает, что на каком-то промежуточном этапе произошёл переход , где – безопасное состояние, а - небезопасное. Однако условия 1-4 делают данный переход невозможным.

Недостатки:

Деклассификация

Данная уязвимость заключается в следующем: классическая не предотвращает систему от деклассификации объекта (изменение уровня секретности объекта вплоть до "не секретно" по желанию "совершенно секретного" субъекта). Например, пусть субъект с высоким уровнем доступа А читает информацию из объекта того же уровня секретности. Далее он понижает свой уровень доступа до низкого Б, и записывает считанную ранее информацию в объект, низкого уровня секретности Б. Таким образом, хотя формально модель нарушена не была, безопасность системы нарушена. Для решения это проблемы вводят правила:

Правило сильного спокойствия - уровни безопасности субъектов и объектов никогда не меняются в ходе системной операции.

Правило слабого спокойствия - уровни безопасности субъектов и объектов никогда не меняются в ходе системной операции таким образом, чтобы нарушить заданную политику безопасности.

Удаленное чтение

Данный недостаток проявляет себя в распределенных компьютерных системах. Допустим, субъект А с высоким уровнем доступа пытается прочитать информацию из объекта Б с низким уровнем секретности. Может создаться впечатление, что если субъекту А будет разрешено чтение информации из объекта Б, никакая конфиденциальная информация не будет раскрыта. Однако, при более подробном рассмотрении обнаруживается что это не так. Во время операции чтения между удаленными объектами происходит появления потока информации от читаемого объекта к запросившему доступ на чтение субъекту. Поток, который при этом появляется, является безопасным, т.к. информация недоступна неавторизированным субъектам. Однако в распределенной системе чтение инициируется запросом от одного объекта к другому. Такой запрос образует поток информации идущий в неверном направлении (запись в объект с более низким уровнем секретности). Таким образом, удаленное чтение в распределенных системах может произойти только если ему предшествует операция записи вниз, что является нарушением правил классической модели Белла-ЛаПадулы.