- 24 -

текущего грифа m. При открытии файла (если операция возможна) в момент времени t+1 для выполнения операций Read или Write ему присваивается значение максимума из текущего его значения и грифа открываемого файла. Mt+1=MAX(mt, Fit+1). Правила чтения и записи остаются без изменений.

Далее разрешение или запрещение операций происходит с учетом измененного грифа объекта m согласно правилам чтения и записи «вверх» и «вниз».

Пусть в нулевой момент времени m=1. Открывается файл F3 (гриф 3), открытие невозможно - категория субъекта равна 2 - ниже грифа файла, m не меняется.

Пусть открыт файл F2, следовательно, m=2. Чтение из файлов F1 и F2 возможно (их гриф не превосходит m). Запись возможна только в файл F2 (m больше, либо равно грифу файла). Тем самым потоки информации от файлов с высоким грифом к файлам с низким грифом невозможны.

В заключение необходимо сделать два замечания.

1.При управлении потоками описанным образом требуется, чтобы все объекты, участвующие в потоках, поддерживали метки конфиденциальности, в противном случае возникает проблема Clipboard (буфера обмена). В рассмотренном примере: необходимо записать информацию из F2 в буфер

(Clipboard), закрыть файл, открыть F1, m примет значение 1, записать информацию из буфера в файл F1 - реализован канал утечки информации с понижением грифа.

2.Максимальное значение m совпадает с категорией доступа субъекта.

1.3.3.3. Модель Лендвера

Определение 10

Классификация - обозначение, накладываемое на информацию, которое отражает ущерб, который может быть причинен несанкционированным доступом; включает уровни: TOP SECRET, SECRET и т.д.

Степень доверия пользователю - уровень благонадежности пользователя (априорно заданная характеристика).

Пользовательский идентификатор - строка символов, используемая для того, чтобы отметить пользователя системы.

Роль - работа пользователя в КС. Пользователь в данный момент всегда ассоциирован как минимум с одной ролью из нескольких, и он может менять роль в течение сессии. Для действий в данной роли пользователь должен быть уполномочен. Некоторые роли могут быть связаны только с одним пользователем в данный момент времени. С любой ролью связана способность выполнения определенных операций.

Объект - одноуровневый блок информации. Это минимальный блок информации в системе, который имеет классификацию (может быть раздельно поименован).

- 25 -

Контейнер - многоуровневая информационная структура. Имеет классификацию и может содержать Объекты (каждый со своей классификацией) и (или) другие Контейнеры. Различие между Объектом и Контейнером базируется на типе, а не на текущем содержимом.

Сущность - Объект или Контейнер.

Требование Степени Доверия Объектов - атрибут некоторых Контейнеров.

Для некоторых Контейнеров важно требовать минимум Степени Доверия, т.е. Пользователь, не имеющий соответствующего уровня благонадежности, не может просматривать содержимое Контейнера. Такие Контейнеры помечаются соответствующим атрибутом.

Идентификатор - имя Сущности без ссылки на другие Сущности. Ссылка на сущность Прямая, если это идентификатор Сущности.

Ссылка на сущность Косвенная, если это последовательность двух или более имен Сущностей (из которых только первая - идентификатор). Пример: "текущее сообщение, первый абзац, вторая строка".

Операция - функция, которая может быть применена к сущности. Некоторые Операции могут использовать более одной сущности(пример - Операция копирования).

Множество Доступа - множество троек (Пользовательский Идентификатор или Роль, Операция, Индекс операнда), которое связано с сущностью.

Система, реализующая модель безопасности Лендвера должна реализовывать приводимые ниже ограничения (ограничения запрещают пользователю операции, нарушающие эти ограничения). Часть этих ограничений должна реализовываться пользователями системы (правила безопасности), а часть - системой (ограничения безопасности).

Правила Безопасности.

А1. Администратор безопасности системы присваивает уровни доверия, классификацию устройств и правильные множества ролей.

А2. Пользователь вводит корректную классификацию, когда изменяет или вводит информацию.

А3. В пределах классификации пользователь классифицирует сообщения и определяет набор доступа для сущностей, которые он создает, так что только пользователь с требуемой благонадежностью может просматривать информацию.

А4. Пользователь должным образом контролирует информацию объектов, требующих благонадежности.

Ограничения безопасности.

В1. Авторизация - пользователь может запрашивать операции над сущностями, только если пользовательский идентификатор или текущая роль присутствуют в множестве доступа сущности вместе с этой операцией и с этим значением индекса, соответствующим позиции операнда, в которой сущность относят в требуемой операции.