7 Модели безопасности основных ос

Субъектно-объектная модель взаимодействия. Аксиомы защищённых систем. Понятие доступа и монитора безопасности: потоки информации, монитор обращений и монитор безопасности объектов. Основные типы политики безопасности: дискреционная и мандатная политики. Разработка и реализация политики безопасности: пути нарушения политики безопасности, условия и определения осуществления существования легального доступа, замкнутая программная среда. Базовая теорема изолированной программной среды, классическая схема ядра безопасности. Построение изолированной программной среды.

Безопасность в программных системах (операционных системах) обеспечивается как средствами криптографии, так и принятыми в них политиками безопасности. Эти политики безопасности связаны с понятием «доступа».

Доступ – это категория субъектно-объектной модели, описывающая процесс выполнения операций субъектов над объектами.

Политика безопасности включает:

а) множество возможных операций над объектами;

б) для каждой пары «субъект, объект» (S_i, Q_j) множество разрешённых операций, являющееся подмножеством всего множества возможных операций.

В субъектно-объектной модели сформулированы следующие аксиомы защищённых систем.

АКСИОМА 1. В защищённой системе всегда присутствует активный компонент (субъект), выполняющий контроль операций субъектов над объектами.

Этот компонент отвечает за реализацию некоторой политики безопасности.

АКСИОМА 2. Для выполнения в защищённой системе операций над объектами, необходима дополнительная информация о разрешённых и запрещённых операциях субъектов с объектами.

АКСИОМА 3. Все вопросы безопасности информации в системе описываются доступами субъектов к объектам.

Политика безопасности в общем случае выражает нестационарное состояние защищённости. Защищаемая система может изменяться, дополняться новыми компонентами, т. е. политика безопасности должна быть поддержана во времени, т. е. должна быть определена процедура управления безопасностью.

А нестационарность защищаемой системы и реализация политики безопасности в конкретных конструкциях системы предопределяет рассмотрение задачи гарантирования заданной политики безопасности.

7.1 Понятие доступа и мониторинг безопасности

Из модели вычислительной системы фон Неймана понятию «субъект» соответствует программа (последовательность исполняемых инструкций). Понятию «объект» соответствуют данные.

Обычно, рассматривая модель произвольной системы, её делят на два подмножества: объектов и субъектов.

СУБЪЕКТ ОБЛАДАЕТ СВОЙСТВАМИ.

А) Человек-пользователь воспринимает объекты и получает информацию о состоянии системы через те субъекты, которыми он управляет и которые отображают информацию.

Б) Угрозы компонентам системы исходят от субъекта, как активного компонента, изменяющего состояние объектов в ней.

В) Субъекты могут влиять друг на друга через изменяемые ими объекты, связанные с другими субъектами, порождая субъекты, представляющие угрозу для безопасности информации или работоспособности системы.

Пользователь (физическое лицо) отличается от субъекта: он аутентифицируется некоторой информацией и управляет субъектом в системе.

Т. е., пользователь – это внешний фактор. И свойства субъектов не зависят от него (кроме систем типа компиляторов, средств разработки, отладчиков и т. п.).

Рассматриваемая ниже субъектно-объектная модель базируется на следующей аксиоме.

АКСИОМА 4. Субъекты в системе могут быть порождены из объектов только активными компонентами (субъектами).

Определение: объект O_i называется источником для субъекта S_m, если существует субъект S_j, в результате воздействия которого на объект O_i в системе возникает субъект S_m.

Это операция Create (S_j, O_i) → S_m, рисунок 7.1. Create – операция порождения субъектов.

Определение: объект O_i в момент времени t ассоциирован (связан) с суббъектом S_m, если состояние объекта O_i повлияло на состояние субъекта в следующий момент времени (субъект S_m использует информацию из объекта O_i).

В общем случае, субъект реализует отображение множества ассоциированных объектов в момент времени t на множество ассоциированных объектов в момент времени (t + 1).

Поэтому выделяют ассоциированные объекты, изменение которых изменяет вид отображения ассоциированных объектов (например, объекты, содержащие код программы). Их называют функционально ассоциированные объекты.

Также, есть ассоциированные объекты-данные – они являются аргументом операции, но не изменяют вид отображения.

В момент порождения субъекта S_m из объекта O_i, он является ассоциированным объектом для субъекта S_m.

Определение: потоком информации между объектом O_m и объектом O_j называется произвольная операция над объектом O_j, реализуемая в субъекте S_i и зависящая от O_m, рисунок 7.2.

Обозначение Stream (S_i, O_m) → O_j – поток информации от объекта O_m к объекту O_j, реализуемая в субъекте S_i.

Активная роль субъекта выражается в реализации потока: операция порождения потока локализована в субъекте и отображается состоянием его функционально ассоциированных объектов.

Операция Stream может создавать новый объект или уничтожать его. На рисунке 7.3 приведены виды информационных потоков.

Определение: доступом субъекта S_i к объекту O_j называется порождение потока информации между некоторым объектом и объектом O_j.

Для фиксированной декомпозиции компьютерной системы на субъекты и объекты всё множество потоков P делится на подмножества потоков N несанкционированного доступа и подмножество потоков L легального доступа:

P = NL (нелегальный или легальный); NL = 0 (поток не может быть одновременно нелегальным и легальным).

Категория «опасный–безопасный» описывается политикой безопасности: она описывает критерии разбиения на подмножества L и N.

Определение: правило разграничения доступа субъектов к объектам – это формально описанные потоки подмножества L.

Можно говорить об инвариантности (независимости) субъектноориентированной модели относительно любой принятой в системе политики безопасности.

Определение: объекты O_i и O_j тождественны в момент времени t, если они совпадают как слова, записанные в одном языке.

На практике всегда существует алгоритм, обеспечивающий возможность попарного сравнения. Т. е., существует процедура сортировки ассоциированных объектов, позволяющая говорить о возможности попарного сравнения. Например, выделяются и попарно сравниваются участки оперативной памяти, отвечающие коду программ или содержанию переменных и массивов.

Определение: субъекты S_i и S_j тождественны в момент времени t, если попарно тождественны все ассоциированные с ними объекты.

ПОРОЖДЁННЫЕ СУБЪЕКТЫ ТОЖДЕСТВЕННЫ, если тождественны порождающие субъекты и объекты–источники.

Для разделения всего множества потоков на подмножества L и N, необходимо существование активного компонента (субъекта), который:

а) активизировался бы при возникновении любого потока;

б) производил бы фильтрацию потоков в соответствии с принадлежностью подмножествам L и N.

Определения: МОНИТОР (1) ОБРАЩЕНИЙ (МО) – субъект, активизирующийся при возникновении потока от любого субъекта к любому объекту.

ИНДИКАТОРНЫЙ (2) МО – устанавливает только факт обращения субъекта к объекту.

СОДЕРЖАТЕЛЬНЫЙ (3) МО – субъект, который функционирует так, что при возникновении потока от ассоциированного объекта Om любого субъекта S_i к объекту O_j и обратно, – появляется ассоциированный с МО объект O_m0, тождественный объекту O_m. Содержательный МО полностью участвует в потоке от субъекта к объекту.

МОНИТОР (4) БЕЗОПАСНОСТИ (монитор ссылок) – имеет целевой функцией фильтрацию для обеспечения безопасности. При этом разделение на подмножества L и N задано априорно.

МОНИТОР (5) БЕЗОПАСНОСТИ ОБЪЕКТОВ (МБО) – это монитор обращений, который разрешает поток, принадлежащий подмножеству легального доступа L.

Разрешение – это выполнение операции над объектом-получателем потока, а запрещение – невыполнение.

Монитор безопасности объектов – это и есть механизм реализации политики безопасности в системе.