Критерий безопасности

Субъект наследует категорию безопасности объекта, с которым он связан (ассоциирован).

Описание политики безопасности

Если в компьютерной системе инициализируется поток Stream (s_j, o_j) → o_i, то

1)    субъект s_j  должен принадлежать множеству S : s_j  S_;

2)  объект o_i  должен принадлежать множеству O : o_i  O_;

3)    субъект s_j получает право  доступа r_sj к объекту o_i, если право доступа субъекта s_j (r_sj ) принадлежит множеству его прав доступа к объекту o_i : r_sj  R_oi;

4)    предметная область субъекта s_j принадлежит предметной области объекта o_i : e_sj  e_oi;

5) категория безопасности субъекта s_j  больше или равна категории безопасности объекта o_i : d_oi    d_sj.

Например, имеется файл, с которым пользователь работает через терминал. Наивысшим полномочием доступа к файлу для пользователя "сов. секретно", выполняющего задание с "конфиденциального" терминала будет "конфиденциально".

Матричная модель Харрисона

Формальная модель Xappисона-Руззо-Ульмана – это классическая дискреционная модель, которая реализует произвольное управление доступом субъектов к объектам и осуществляет контроль за распределением прав доступа.

В модели рассматриваются:

• конечное множество объектов компьютерной системы O=[o_j], 1,…n;

• конечное множество субъектов компьютерной системы S=[s_j], 1,…m.

Считается, что все субъекты системы одновременно являются и ее объектами.

Конечное множество прав доступа R=[r_g], 1, …k.

Матрица прав доступа, содержащая права доступа субъектов к объектам A=[a_ij], i=1, …m, j=1,…n+m, причем элемент матрицы a_ij рассматривается как подмножество множества R.

Каждый элемент матрицы a_ij содержит права доступа субъекта s_i к объекту o_j.

Конечное множество команд С=[ c_z (аргументы)], z=1,..,L, аргументами команд служат идентификаторы объектов и субъектов.

Каждая команда включает условия выполнения команды и элементарные операции, которые могут быть выполнены над субъектами и объектами компьютерной системы и имеют следующую структуру:

Command c_z (аргументы)

Условия выполнения команды

Элементарные операции

End.

Поведение системы моделируется с помощью понятия состояние. Состояние системы определяется:

• конечным множеством субъектов (S);

• конечным множеством объектов (O), считается, что все субъекты системы одновременно являются и ее объектами (S O);

• матрицей прав доступа (A).

Если система находится в состоянии Q, то выполнение элементарной операции переводит ее в некоторое другое состояние Q' ,которое отличается от предыдущего состояния хотя бы одним компонентом.

В модели Xappисона-Руззо-Ульмана определены следующие элементарные операции, при выполнении которых система может перейти из одного состояния в другое.

Добавление субъекту s_i права r_g для объекта o_j.

Enter r_g into a_ij

При выполнении этой операции множество субъектов и множество объектов не изменяются. Подмножеству прав доступа добавляется новое право, остальные подмножества не изменяются. Если право уже содержится в подмножестве, то это подмножество также не изменяется.

Операция добавления права называется монотонной, поскольку она только добавляет права в матрицу доступа, но ничего не изменяет.

Удаление у субъекта s_i права r_g для объекта o_j.

Delete r_g from a_ij

При выполнении этой операции множество субъектов и множество объектов не изменяются. Из подмножества прав доступа удаляется право r_g, остальные подмножества не изменяются. Если удаляемое право не содержится в подмножестве, то это подмножество также не изменяется.

Создание нового субъекта s_i.

Create subject s_i

При выполнении этой операции изменяются следующие состояния системы:

• к множеству объектов системы добавляется новый объект;

• к множеству субъектов системы добавляется новый субъект;

• множество прав доступа субъекта s_i к объектам системы становится пустым;

• множество прав доступа всех субъектов системы к объекту o_j становится пустым.

Остальные подмножества матрицы доступа не изменяются.

Удаление существующего субъекта s_i

Destroy subject s_i

При выполнении этой операции изменяются следующие состояния системы

• из множества объектов системы удаляется объект o_j ;

• из множества субъектов системы удаляется субъект s_i ;

• множество прав доступа субъекта s_i к объектам системы становится пустым;

• права доступа всех субъектов системы к объекту o_j становится пустым;

Остальные подмножества матрицы доступа не изменяются.

Создание в системе нового объекта o_j

Create object o_j

При выполнении этой операции изменяются следующие состояния системы:

• к множеству объектов системы добавляется новый объект o_j ;

• множество субъектов системы не изменяется ;

• множество прав доступа всех субъектов к новому объекту системы становится пустым .

Остальные подмножества матрицы доступа не изменяются.

Удаление существующего объекта o_j из системы

Destroy object o_j

При выполнении этой операции изменяются следующие состояния системы:

• из множества объектов системы удаляется объект o_j ;

• множество субъектов системы не изменяется ;

• права доступа всех субъектов системы к объекту o_j становится пустым.

Остальные подмножества матрицы доступа не изменяются.

Описание модели

Поведение системы во времени моделируется последовательностью состояний Q₁, Q₂,…Q_n, в которой каждое последующее состояние является результатом применения команды из множества С к предыдущему состоянию.

Критерий безопасности

Начальное состояние системы считается безопасным относительно права доступа r_g, если не существует применимой к Q₀ последовательности команд, в результате выполнения которых право доступа r_g будет приобретено субъектом s_i для объекта o_j, если это право не принадлежит подмножеству a_ij в состоянии Q_0.

Харрисон, Руззо и Ульман доказали, что в общем случае не существует алгоритма, позволяющего решить, является ли конфигурация системы, соответствующая ее начальному состоянию Q₀ = (S_0, O_0, A₀), безопасной.

Указанная задача может быть разрешена в одном из следующих случаев:

• команды c_z (аргументы), z = 1, 2,…, L являются монооперационными, т.е. состоят только из одной операции;

• команды c_z (аргументы), z = 1, 2,…, L являются одноусловными и монотонными, т. е. содержат не более одного условия и не содержат операций Destroy  и Delete;

• команды c_z (аргументы), z = 1, 2,…, L не содержат команды Create.

Вывод: дискреционная модель Харрисона-Руззо-Ульмана в своей общей постановке не дает гарантий безопасности системы, однако именно она послужила основой для целого класса моделей политик безопасности, которые используются для управления доступом и контролем за распространением прав доступа во всех современных системах.