- 60 -

указанной. При этом будем полагать, что в КС существует n различных ОС со своими механизмами аутентификации по паролю и (в общем случае) с n различными паролями P1, ..., Pj, ...Pn.

Кроме того, будем полагать, что пользователь характеризуется двумя группами признаков - индивидуальными (пароли, полное символьное имя и т.д.) и групповыми (имена групп, категория доступа для мандатного доступа). Как в индивидуальных, так и в групповых признаках можно выделить открытые или конфиденциальные. Вообще говоря, открытость или конфиденциальность того или иного признака зависит от реализуемой ПБ (например, имена некоторых групп могут быть конфиденциальны).

Определим вторичный объект аутентификации как объект КС, содержащий информацию, необходимую для использования штатными механизмами присутствующих в КС n операционных систем. Опишем данный объект путем задания его структуры. Будем считать его последовательностью записей (в приводимой ниже таблице рассматривается m-я запись):

Таблица 3. Структура объекта вторичной аутентификации

Обозначим:

C - функцию поддержания конфиденциальности y=C(Ki,t), такую, что существует C-1: C-1 (C(Ki,t))=t

и

H(Ki,t)=hi - функцию контроля целостности. Обе функции в общем случае зависят от Ki.

Тогда если CONF_LABELm= 0, то поле FIELDm находится в неизменном виде, а если CONF_LABELm= 1, то поле FIELDm заполнено C(Ki,FIELDm) -

преобразованной информацией. Кроме того, в любом случае

INTEGR_FIELDm=H(Ki, FIELDm). Идентификаторы ID_CONFm и

ID_INTEGRm служат для указания на конкретные алгоритмы вычисления функций поддержания конфиденциальности и целостности. Идентификаторы

- 61 -

алгоритмов служат для определения конкретного субъекта, вызываемого для реализации данных функций (см. следующую главу). Поле FIELDm содержит пароль Pm и другие необходимые массивы данных для передачи в ОСm.

Необходимо пояснить, для чего требуется функция поддержания конфиденциальности. В исходных условиях для работы средств сопряжения полагается возможность отключения всех средств, кроме штатных, включая разрушение или удаление аппаратной компоненты ААП. В этом случае возможен доступ к объектам вторичной аутентификации. Чтобы изучение объектов вторичной аутентификации не давало информации об индивидуальной информации пользователя, используемых для сопряжения со штатными средствами (например, паролях), требуется преобразование, сохраняющее конфиденциальность объекта. Кроме того, типовая атака на объекты аутентификации связана с нарушением их целостности (см. утверждение 1 данной части), в связи с чем необходимо поддержание целостности (т.е. проводится проверка функций целостности m-й записи при выполнении доверенной загрузки m-й ОС и извлечении информации из объекта вторичной аутентификации для сопряжения с указанной ОС).

Итак, показано, что возможно построить алгоритм хранения и использования объектов сопряжения (описанием структуры объекта хранения и операций извлечения информации из него), который минимально использует только IDi и Ki.

Введем понятие аппаратного носителя пользователя (АНП), который является внешним объектом идентификации и аутентификации (см. выше) и взаимодействует с ААП.

Проанализируем дополнительные преимущества, которые дает минимизация объема хранимой информации в АНП. В первую очередь, это возможность изменять все необходимые поля объекта, содержащего вторичную информацию пользователя, без пользовательского АНП (что практически означает отчужденность пользователя от процесса управления безопасностью, что априорно повышает безопасность КС). Во-вторых, ПБ может не допускать обращений со стороны субъектов пользователя в объекту вторичной аутентификации, что позволяет защитить их от изменения другими пользователями, либо пользователем-злоумышленником (который желает аутентифицироваться от имени другого пользователя). Необходимо отметить, что даже применение функций сохранения конфиденциальности данных не позволяет защитить данные от самого пользователя, поскольку функция C обратима по ключу пользователя Ki (см. выше).

Покажем дополнительно, что хранение групповой информации в АНП в случае пользователя-злоумышленника приведет к нарушению ПБ. Аксиомой будем считать, что изменение заданных характеристик пользователя (эти данные либо априорно известны, либо задаются администратором защиты) есть нарушение ПБ. Нарушением политики безопасности также будем считать доступ пользователя к данным вторичной аутентификации другого пользователя.