Технические механизмы защиты
Многие системы обладают монитором обращений – специализированная программа, которая работает по запросу от ОС и принимает решение о законности доступа к запрещенному ресурсу. Кроме монитора обращений, система использует ряд компонент окружения, с которыми работает монитор:
Домен защиты – некоторое множество пар, в которое объединены указатель на объект и указатель на разрешимое подмножество операций над объектом. Домен защиты может соответствовать одному либо группе пользователей. (Проще говоря – это таблица, в которой находится указатель на объект и на право доступа). Объектом может быть процесс, файл, БД, семафор, разделяемые переменные, участки оперативной памяти, элементы аппаратного обеспечения.
Списки управления доступом. Изначально права доступа к объектам хранились в виде матриц, в условных столбцах которых хранились списки объектов, а в строках – списки доменов. Пересечение столбца объекта и строки домена хранило в себе весь перечень прав конкретного домена над конкретным объектом. Подобный подход влечет большой расход ресурсов, т.к. многим доменам ряд объектов абсолютно неинтересен и они не имеют туда доступа. Поэтому многие ячейки такой матрицы будут пустые. Значит, в более поздних ОС такие матрицы хранятся по рядам или столбцам, при этом хранят не пустые элементы. Согласно этим методам хранения каждому объекту привязан список доменов с перечислением прав доступа. Такие списки называются ACL-списки. Указанный метод используется в ОС Windows – постолбцовый подход. В Unix используется построчный метод.
Мандаты. Если с каждым процессом ассоциировать список, разрешенный для доступа объектов, с указанием какие операции над процессом разрешены, то получится так называемый домен защиты объектов, обладающий стеком полномочий, причем поля этого списка называются возможностями, списки полномочий называются с-списки (нуждаются в защите)
Существуют 3 способа защиты:
Теговая архитектура – аппаратно реализованная структура памяти, где у каждого слова есть дополнительный бит(теговый), сообщение, есть ли в данном слове мандат или нет. Мандат – список полномочий.
Список мандатов хранится внутри ОС. К элементам списка обращаются по их позиции.
Список мандатов хранится в пространстве памяти пользователей, но в зашифрованном виде. Помимо специфических разрешений на конкретные объекты мандаты регламентируют общественные права, применяемые пользователем и процессам ко всем объектам.
Секретные каналы. Секретный канал – это некоторый недостаток систем безопасности, по которым информация обходит системы безопасности. Потенциально любая система обладает секретным каналом. Для описания работы секретного канала была предложена так называемая модель Лемпсона: на одной защищенной машине существуют 3 процесса:
Клиент, который доверяет выполнить некоторые задания серверу. Клиент и сервер не доверяют друг другу. Клиент опасается, что сервер может перепродать конфиденциальную информацию, а сервер боится, что клиент может перепродать ценное ПО. Сообщник имеет своей целью украсть конфиденциальную информацию клиента. Цель модели Лемпсона – разработка системы, исключающей секретный канал между сервером и сообщником. Проблема секретного канала в этом случае называется также проблемой ограждения. Изначально задача заключается в том, чтобы сервер был огражден. Использование матрицы защиты и доменов защиты гарантирует, что сервер не может записать данные в файл, которые считает сообщение. С другой стороны сервер помимо обычной записи может выбрасывать на системную шину. Например, например, цифровые последовательности, закодированные шумом либо высокой активностью процессора, либо срабатыванием таймера и, как правило, с применением помехозащитного кода. Несмотря на низкую скорость такого сигнала, сообщник может получить интересующую информацию в обход домена безопасности. Такой подход к организации называется модуляцией. Также применяется для передачи скрытых сигналов создание файлов, захват и освобождение внешних ресурсов. Даже несмотря на проведение исследования в области секретных каналов, обнаружить их весьма сложно и в рамках модели Лемпсона полное блокирование сервера от скрытых каналов не решено. Способ решения проблемы ограждения состоит в быстрой модификации информации, т.е. пока сервер сообщнику передает первую запись, вторая должна изменяться.