2. Модель adept-50.

В основу проекта ADEPT-50 положена формальная модель управления защитой, обеспечивающая управление четырьмя видами объектов защиты: пользователь (u), терминал (t), задание (j) и файл (f). Каждый объект защиты описывается профилем защиты, т.е. свойствами защиты: разрешение (А), категория (С) и приви­легия (F). В понятие "разрешение" входит множество упорядочен­ных уровней доступа. "Категория" определяется множеством диск­ретных типов доступа. Понятие "привилегия" включает множество пользователей, имеющих право привилегированного доступа. Свойство разрешение "определяется" как множество:

А={a⁰<a¹<…<a^w} (2.1),

где конкретный элемент а¹ представляет собой один из иерархи­чески упорядоченных уровней доступа. Разрешение имеет отношение к профилю защиты пользователей. Категория - это дискретное мно­жество состояний защиты с дискретными типами доступа:

C={c⁰,c¹,…c^y} (2.2).

Категория имеет отношение к объектам, доступ к которым осуществляет пользователь. Привилегия - это право доступа, пре­доставленное множеству пользователей, т.е.:

F={u/u_i - пользователь i} (2.3).

Обозначим множество разрешений А для терминала t через А_t, и пусть объект защиты определяет свойство р для а как Р_a. Таким образом можно говорить об А_u или С_j, имея в виду отдельное мно­жество разрешений для некоторого пользователя и или отдельное множество категорий для конкретного задания j.

По отношению к привилегии появляются четыре важных свойс­тва, а именно: привилегия для файлов, терминалов, заданий и пользователей. Чтобы различать аспект, под которым рассматрива­ется данный пользователь, величину и обозначают индексами соответствующих объектов. Так u_f - обозначает пользователя с правами доступа по отношению к файлу f.

На основании этих соглашений определяются привилегии для каждого объекта защиты:

F_u={u} (2.4),

F_t={u_t⁰,u_t¹,…,u_t^l} (2.5),

F_j={u_j⁰,u_j¹,…,u_j^l} (2.6),

F_i={u_i⁰,u_i¹,…,u_i^l} (2.7).

Отношение (2.4) определяет, что привилегия пользователя ограничивается им самим, его права доступа единственны и не принадлежат никакому другому пользователю. Отношение (2.5) оп­ределяет. что привилегия терминала принадлежит l различным пользователям, обладающих правом доступа к терминалу t. Анало­гичным образом отношения (2.6) и (2.7) определяют привилегии множества заданий и файлов.

С помощью рассмотренной модели можно определить понятие зашиты на высшем уровне. Пусть а и b являются объектами защиты, ар- некоторая функция, такая, что p(A_a)A, тогда:.

A_a A_b p(A_a)A_b (2.8),

C_a C_b C_a C_b C_a C_b (2.9),

F_a F_b F_a F_b F_a F_b (2.10).

Отношение (2.8) обозначает, что права доступа защищаемого объекта находятся на более высоком уровне, чем другого объекта A_b, при условии, что конкретное разрешение a_a превышает разре­шение а_b. Из отношений (2.1)-(2.8) следует, что разрешение A_i следует определить количественно. Из (2.9) и (2.10) следует, что Р_a больше P_b тогда и только тогда, когда P_b является подм­ножеством Р_a.

Текущие события могут изменить свойства членов множества.

Пусть P_f¹ обозначает l-е P_f в данном контексте. Определим исто­рию разрешения A_n . для 1-го события как:

A_n(0)=a_f⁰ (2.11),

А_n(l)=max(А_n(1-1),р(А_f^l)), l>0 (2.12).

Таким же образом можно определить историю категории С_n для 1-го события как:

С_n(0)=0 (2.13),

С_n(1)=С_n С_f^l, l>0 (2,14).

Отношения (2.11)-(2.14) рекурсивно определяют два множест­ва, накапливающих историю обращения к файлам. История высшего разрешения А_n определяется отношением (2.12).

Отношение (2.11) задает начальное условие как некоторое низкое разрешение файла а_f⁰. Отношение (2.14) определяет историю высшей категории как объединение предыдущего С_n(l-1) и те­кущего С_f¹ множеств, а отношение (2.1З) определяет, что перво­начальное объединение является пустым множеством. Определение свойств защиты можно проводить по таблице 2.1.

Для пользователей и значения А_u и С_u являются заданными константами, а значения F_u задаются отношением (2.4). Для тер­минала t значения А_t и С_t также являются заданными константами, а значения F_t задаются отношением (2.5). Если заданы А_u и А_t, то можно определить А_j как:

А_j=min(А_u,А_t) (2.15).

Аналогично, если заданы С_u и С_t, то определим С_j как:

C_j=C_uC_t. (2.16).

Таблица 2.1.

Объект	Свойство
	Разрешение А	Категория С	Привилегия F
Пользователь и	Константа	Константа	u
Терминал t	Константа	Константа	uti
Задание j	min(Аu,Аt)	CuCt	uji
Файл f	Существующий файл	Существующий файл	ufi
	Константа	Константа
	Новый файл	Новый файл	uji
	max(Ah(l-1)), p(Afl), l>0	Сh(l-1)Cfl, l>0

С помощью (2.16) мы определяем F_j для завершения тройки профиля защиты, существующий файл имеет свой профиль защиты, предопределенный заданными константами А_f и С_f, а F_f задается отношением (2.7). Только что созданный файл получает профиль

защиты из истории доступа к файлу заданий согласно следующим отношениям;

А_f=А_n(l) (2.17),

С_f=С_n(l) (2.18),

F_f=u_jⁱ (2.19).

Из отношений (2.11)-(2.14) следует, что история разрешения и категории накапливаются как функции событий l, отражающих доступ к файлам. Для поддержания целостности защиты значения этих историй никогда не будут больше профиля защиты и определя­ются как:

Аn()Aj (2.20),

Сn()Cj (2.21).

При l=0 можно видеть, как свойства преобразуются в проcтейшую форму. При возрастании l история накапливается, но ни­когда не превосходит верхней границы, установленной заданием. Таким образом привилегия нового файла всегда получается из при­вилегии задания, установленной отношением (2.6). Когда l=m=0 задание контролируется единственным пользователем, который яв­ляется владельцем и создателем файла с единственной привилегией.

Управление доступом предусматривает контроль доступа поль­зователя к системе, терминалу и файлу. Доступ к системе обеспе­чивается при условии, что

uU (2.22),

где U - множество всех разрешенных пользователей, зарегистриро­ванных системой.

Доступ к терминалу обеспечивается при условии, что

uF_t (2.23).

Если условия (2.22) и (2.23) выполняются, то по определе­нию:

u=u_t=u_j (2.24).

Доступ к файлу разрешается, если

Р_j>Р_f (2.25)

для свойств А и С в соответствии с (2.8) и (2.9)

u_jF_j (2.26).

Если отношения (2.25) и (2.26) выполняются, то доступ раз­решается, а значения А_n(l) и С_n(l) вычисляются из отношений (2.12) и (2.14).