Логическая схема разграничения доступа по списку
Возможны следующие варианты разрешения доступа:
|
|
|
|
Общее решающее правило о доступе:
При обращении авторизованного пользователя к ОРД осуществляется поиск в списке доступа записи либо пользователя, если список делается по строкам матрицы доступа, либо ОРД, к которому обращается пользователь, если список делается по столбцам матрицы доступа. Если для данного пользователя запрашиваемый ОРД и запрашиваемые атрибуты доступа соответствуют зафиксированным в списке данным, доступ разрешается, в противном случае – доступ запрещён.
|
Механизм разграничения доступа по списку реализует наиболее общий случай задания прав доступа и их проверки. При этом возможно учитывать не только связи между инициаторами и ОРД, но и иерархические зависимости в части доступа к ОРД между инициаторами.
Данный механизм отличается простотой формирования и поддержания списков (установление непосредственных отношений доступа между инициаторами доступа и ОРД). В качестве недостатка следует отметить - при больших количествах инициаторов доступа и ОРД появляется значительный объём избыточной (повторяющейся в списках) информации, следовательно предъявляются дополнительные требования к памяти для её размещения, а также увеличиваются ресурсные затраты на работу со списками в процессе принятия решения о допуске.
Разграничение доступа по классу
В качестве механизма задания прав доступа и их проверки используется логика предикатов. На множестве ОРД {O} выделяются подмножества ОРД по определённым признакам.
|
Тогда:
Ci C – инициатор доступа; Oi O – подмножество доступных ОРД для Сi; Р(Х) - одноместный предикат, где Х → некоторая характеристика (признак) совокупности ОРД. Определенное значение Х присваивается также и инициатору доступа. Те элементы множества ОРД, для которых при подстановке конкретного значения предикат Р(Х) → “истина”, образуют Oi → подмножество ОРД, доступных данному инициатору Ci, т.е. его права доступа. В качестве определения значения предиката Р(Х) = 1 («истина») используется высказывание - “класс ОРД равен классу инициатора”. Класс отождествляется со значением характеристик X, которые однозначно отличают совокупности Oi и Oj. Проверка права доступа инициатора заключается в проверке равенства:
Фактически выделяются непересекающиеся подмножества ОРД.
|
