Защита информации в инфокоммуникационных системах и сетях.-3

101

Состояние системы описывается его графом. Переход из состояния в состояние определяется операциями или правилами преобразования графа доступов. Преобразование графа G а граф G’ в результате выполнения правила ор обозначим GopG’.

Рис. 4.4. Правила де–факто

К мнимым дугам нельзя применять правила де – юре преобразования графа доступов.

Информационные каналы нельзя брать или передавать другим объектам системы.

Проблемы взаимодействия – центральный вопрос при похищении прав доступа.

Каждое правило де–юре требует для достижения своей цели участия одного субъекта, а

для реализации правила де–факто необходим один или два субъекта. Желательно во множестве всех субъектов выделить подмножество так называемых субъектов -

заговорщиков – участников процессов передачи прав или информации. В небольших системах эта задача легко решаема. Многократное просматривая граф доступов и применяя к нему все возможные правила де–юре и де–факто, можно найти замыкание графа доступов, которое

101

102

будет содержать дуги, соответствующие всем информационным каналам системы. Однако,

если граф доступов большой, то найти его замыкание весьма сложно.

Допустим, факт нежелательной передачи прав или информации состоялся. Каков наиболее вероятный путь его осуществления? В классической модели Take–Grant не дается прямого ответа.

Предположим, что чем больше узлов на пути между вершинами, по которым произошла передача прав доступа или возник информационный поток, тем меньше вероятность использования этого пути. Например, на рисунке 4 видно, что интуитивно наиболее вероятный путь передачи информации от субъекта z к субъекту x лежит через объект y. В тоже время злоумышленник может специально использовать более длинный путь.

Рис. 4.5. Пути возникновения информационного канала от z к x

Таким образом, в расширенную модель Take–Grant можно включить понятие вероятности и стоимости пути передачи прав или информации. Путям наименьшей стоимости соответствует наивысшая вероятность и их исследуют в первую очередь.

К моделям дискреционного пита так же относятся модель АДЕПТ-50 и модель Харстона. Дадим им краткую характеристику.

4.2.5. Модель АДЕПТ–50

В данной модели представлены четыре типа сущностей (любая именованная составляющая компьютерной системы): пользователи(u), задания(j), терминалы(t) и файлы(f),

причем каждая сущность описывается тройкой: (L,F,M), где режим М - набор видов доступа,

полномочия F – группа пользователей, имеющих право на доступ к определенному объекту.

Сформулируем правила этой модели:

1. Пользователь u получает доступ к системе u U.

102

103

2. Пользователь u получает доступ к терминалу t u F(t), т.е. в том случае когда пользователь имеет право использовать терминал t.

3. Пользователь получает доступ к файлу j A(j) A(f), C(j) C(f) , M(j) M, f F(f)

т.е. в случае:

привилегии выполняемого задания шире привилегий файла или равны им;

пользователь является членом F(f).

Т.е. пользователь получает доступ к объекту тогда, когда он принадлежит группе пользователей, имеющих доступ к этому объекту, и его задание шире или равны привилегии объекта. Например, наивысшее полномочие доступа к файлу пользователя «сов. секретно»,

выполняющего задание с «конфиденциального» терминала будет «конфиденциально».

4.2.6. Модель Харстона

Модель имеет пять основных наборов:

А – установленных полномочий;

U - пользователей;

E – операций;

R – ресурсов;

S – состояний.

Область безопасности будет выглядеть как произведение: A U E R S. Процесс организации доступа можно описать алгоритмически. Он будет состоять из следующих процедур:

1.Вызвать все вспомогательные программы необходимые для предварительного принятия решения.

2.Определить из U те группы, к которым принадлежит u. Затем выбрать из Р (набор установленных полномочий) спецификации полномочий, которым соответствует u. Этот набор полномочий F(u) определяет привилегию пользователя u.

3.Из P определить набор полномочий F(e) , устанавливающие е как основную операцию. Такой набор называется привилегией е.

4.Определить из Р набор F(R) (привилегию единичного ресурса) – полномочия,

определяющие поднабор ресурсов из R1(определенных единиц ресурсов), имеющие общие элементы с R.

5. Удостоверится, что R полностью включается в D(q) =F(u) F(e)F(R) (домен полномочий).

103

104 6. Разбить D(q) на эквивалентные классы, так чтобы два полномочия попадали в эквивалентный класс тогда и только тогда, когда они специфицируют одну единицу ресурса.

Новый набор полномочий F(u,q) – привилегия пользователя u по отношению к запросу q .

7.Вычислить ЕАС – условие фактического доступа, соответствующего запросу q.

8.Оценить ЕАС и принять решение о доступе:

разрешить доступ к R , если R перекрывается;

отказать в доступе в противном случае.

9.Произвести запись необходимых событий.

10.Вызвать все программы необходимые для принятия решения.

11.Выполнить все вспомогательные программы.

12.Если решение о доступе – положительное, завершить физическую обработку.

Т.е. пользователь может получить (или не получить) доступ к информации предварительно пройдя соответствующие этапы идентификации (определение группы, его полномочий, условия фактического доступа и т.д.).

Данная модель не всегда необходима в полном объеме. Например, во время регистрации пользователя системы необходим пункт 2 и 6.

4.2.7. Мандатная модель Белла-ЛаПадулы

Мандатная модель управления доступом основана на правилах секретного документооборота, принятых в государственных и правительственных учреждениях многих стран. Основным положением политики Белла - ЛаПадулы, взятым ими из реальном жизни,

является назначение всем участникам процесса обработки защищаемой информации, и

документам, в которых она содержится, специальной метки, например, секретно, сов.

секретно и т. д, получившей название уровня безопасности. Все уровни безопасности упорядочиваются с помощью установленного отношения доминирования, например,

уровень сов. секретно считается более высоким чем уровень секретно, или доминирует над ним. Контроль доступа осуществляется в зависимости от уровней безопасности взаимодействующих сторон на основании двух простых правил:

1.Уполномоченное лицо (субъект) имеет право читать только те документы, уровень безопасности которых не превышает его собственный уровень безопасности.

2.Уполномоченное лицо (субъект) имеет право заносить информацию только в те документы, уровень безопасности которых не ниже его собственного уровня безопасности.

Первое правило обеспечивает защиту информации, обрабатываемой более доверенными (высокоуровневыми) лицами, от доступа со стороны менее доверенных

104

106

Смысл этих определений заключается в том, что для каждой пары элементов всегда можно указать единственный элемент, ограничивающий ее сверху или снизу таким образом, что между ними и этим элементом не будет других элементов.

Функция уровня безопасности F назначает каждому субъекту и объекту некоторый уровень безопасности из L, разбивая множество сущностей системы на классы, в пределах которых их свойства с точки зрения модели безопасности являются эквивалентными. Тогд а оператор < определяет направление потоков информации, то есть, если F(A) < F(B), то информация может передаваться от элементов класса А элементам класса В.

Покажем, почему в модели Белла-ЛаПадулы для описания отношения доминирования на множестве уровней безопасности используется решетка.

Если информация может передаваться от сущностей класса А к сущностям класса В,

а также от сущностей класса В к сущностям класса А, то классы А и В содержат одноуровневую информацию и с точки зрения безопасности эквивалентны одному классу

(АВ). Поэтому для удаления избыточных классов необходимо, чтобы отношение < было антисимметричным.

Если информация может передаваться от сущностей класса А сущностям класса В, а

также от сущностей класса В к сущностям класса С, то очевидно, что она будет также передаваться от сущностей класса А к сущностям класса С. Таким образом, отношение <

должно быть транзитивным.

Так как класс сущности определяет уровень безопасности содержащейся в ней информации, то псе сущности одного и того же класса содержат с точки зрения безопасности одинаковую информацию. Следовательно, нет смысла запрещать потоки информации между сущностями одного и того же класса. Более того, из чисто практических соображений нужно предусмотреть возможность для сущности передавать информацию самой себе. Следовательно, отношение < должно быть рефлексивным.

Использование решетки для описания отношений между уровнями безопасности позволяет использовать в качестве атрибутов безопасности (элементов множества L) не только целые числа, для которых определено отношение "меньше или равно", но и более сложные составные элементы. Например, в государственных организациях достаточно часто в качестве атрибутов безопасности используется комбинации, состоящие из уровня безопасности, представляющие собой целое число, и набора категорий из некоторого множества.

4.2.9. Классическая мандатная модель Белла–ЛаПадулы

106

107

В мандатных моделях функция уровня безопасности F вместе с

решеткой уровней определяют все допустимые отношения доступа между сущностями системы, поэтому множество состояний системы V представляется в виде набора упорядоченных пар (F,M), где М - это матрица доступа, отражающая текущую ситуацию с правами доступа субъектов к объектам, содержание которой аналогично матрице прав доступа в модели Харрисона – Руззо –У льмана, но набор прав ограничен правами read и write. Модель системы (v0,R,T) состоит из начального состояния v0, множества запросов R и

функции перехода T:(VxR) V, которая в ходе выполнения запроса переводит систему из одного состояния в другое. Система, находящаяся в состоянии v V, при получении запроса rR, переходит в следующее состояние v* = T(v, r).Состояние v достижимо в системе

(v0,R,T) тогда и только тогда, когда существует последовательность <(r0,Vo),...,(rn-1,Vn-

1).(rn,v)> такая, что T(ri vi) = vi+1 для 0<i<n.

Как и для дискреционной модели состояния системы делятся на безопасные, в

которых отношения доступа не противоречат установленным в модели правилам, и

небезопасные, в которых эти правила нарушаются и происходит утечка информации.

Белл и ЛаПадула предложили следующее определение безопасного состояния:

1. Состояние (F,M) называется безопасным по чтению (или просто безопасным)

тогда и только тогда, когда для каждого субъекта, осуществляющего в этом состоянии доступ чтения к объекту, уровень безопасности этого субъекта доминирует над уровнем безопасности этого объекта.

2. Состояние (F,M) называется безопасным по записи(или * - безопасным) тогда и только тогда, когда для каждою субъекта, осуществляющего в этом состоянии доступ записи к объекту, уровень безопасности этого объекта доминирует над уровнем безопасности этого субъекта.

3. Состояние безопасно тогда и только тогда, когда оно безопасно и по чтению, и по записи.

В соответствии с предложенным определением безопасного состояния критерий безопасности системы выглядит следующим образом:

Система (v0,R,T) безопасна тогда и только тогда, когда ее начальное состояние v0

безопасно и всt состояния, достижимые из v0 путем применения конечной последовательности запросов из R безопасны.

Белл и ЛаПадула доказали теорему, формально доказывающую безопасность системы при соблюдении определенных условий, получившую название основной теоремы безопасности.

107

109

безопасности, и все состояния такой системы также являются безопасными в смысле критерия Белла - ЛаПадулы, но вместе с тем в этой системе любой пользователь сможет прочитать любой файл, что, очевидно, несовместимо с безопасностью в обычном понимании.

Следовательно, необходимо сформулировать теорему, которая бы не только констатировала безопасность всех достижимых состояний для системы, соответствующей определенным условиям, но и гарантировала бы безопасность в процессе осуществлении переходов между состояниями. Для этого необходимо регламентировать изменения уровней безопасности при переходе от состояния к состоянию с помощью дополнительных правил.

Такую интерпретацию мандатной модели осуществил Мак-Лин, предложивший свою формулировку основной теоремы безопасности, основанную не на понятии безопасного состояния, а на понятии безопасного перехода.

Функция перехода является безопасной тогда и только тогда, когда она одновременно безопасна и по чтению и по записи и когда она изменяет только один из компонентов состояния, и эти изменения не приводят к нарушению безопасности системы.

Теорема безопасности Мак-Лина. Система безопасна в любом состоянии и в процессе переходов между ними, если ее начальное состояние является безопасным, а ее функция перехода удовлетворяет критерию МакЛина.

Обратное утверждение неверно. Система может быть безопасной по определению Белла-ЛаПадулы, но не иметь безопасной функции перехода.

Такая формулировка основной теоремы безопасности предоставляет в распоряжение разработчиков защищенных систем базовый принцип их построения, в соответствии с которым для того, чтобы обеспечить безопасность системы как в любом состоянии, так и в процессе перехода между ними, необходимо реализовать для нее такую функцию перехода,

которая соответствует указанным условиям.

4.2.11. Уполномоченные субъекты

Формулировка основной теоремы безопасности в интерпретации Мак-Лина позволяет расширить область ее применения по сравнению с классической теоремой Белла-ЛаПадулы,

однако, используемый критерий безопасности перехода не всегда соответствует требованиям контроля доступа, возникающим на практике. Поскольку в процессе осуществления переходов могут изменяться уровни безопасности сущностей системы, желательно контролировать этот процесс, явным образом разрешая или запрещая субъектам осуществлять подобные переходы.

Для решения этой задачи Мак-Лин расширил базовую модель путем выделения

109

110

подмножества уполномоченным субъектов, которым разрешается инициировать переходы, в

результате которых у сущностей системы изменяются уровни безопасности. Система с уполномоченными субъектами также описывается множествами S, О, L, смысл которых совпадает с аналогичными понятиями модели Белла-ЛаПадулы, а ее состояние также описывается набором упорядоченных пар (F,M), причем функция перехода F и матрица отношений М доступа играют ту же роль. Новым элементом модели является функция управления уровнями C: SuO > P(S) (здесь и далее P(S) обозначает множество всех подмножеств S). Эта функция определяет подмножество субъектов, которым позволено изменять уровень безопасности, для заданного объекта или субъекта. Модель системы

(vo,R, Ta состоит из начального состояния vo, множества запросов R и функции перехода Та,

которая переводит систему из состояния в состояние по мере выполнения запросов.

С точки зрения модели уполномоченных субъектов система (vo,R, Ta) считается безопасной в том случае, если:

1.Начальное состояние v0 и все состояния, достижимые из него путем применения конечного числа запросов из R являются безопасными по критерию Белла - ЛаПадулы;

2.Функция перехода Та является авторизованной функцией перехода согласно предложенному определению.

4.2.12. Модель совместного доступа

Практическое применение всех представленных формулировок мандатной модели безопасности ограничено еще одним фактором — они не учитывают широко распространенные в государственных учреждениях правила, согласно которым доступ к определенной информации или модификация ее уровня безопасности могут осуществляться только в результате совместных действий нескольких пользователей (т. н. групповой доступ).

Для того, чтобы мандатная модель предусматривала совместный доступ необходимо модифицировать се следующим образом. Вместо множества субъектов системы S будем рассматривать множество непустых подмножеств S, которое обозначим как S=Р(S)\{ }.

Расширим матрицу прав доступа, отражающую текущее состояние доступа в системе, путем добавления в нее строк, содержащих права групповых субъектов, и обозначим ее как М Кроме функции уровня безопасности F:SuO L для групповых субъектов вводятся дополнительные функции: FL:SL такая, что FL(s) есть наибольшая нижняя граница множества {F(s) / s S} и FH:SL, такая, что FH(s) есть наименьшая верхняя граница множества{F(s) / s S}.

110