Основные понятия и правовые основы защиты информации. Учебное пособие

По отношению к доверенным лицам сам удостоверяющий центр является головным удостоверяющим центром, то есть осуществляет проверку электронных подписей, ключи проверки которых указаны в выданных доверенными лицами сертификатах ключей проверки электронных подписей, а также обеспечивает электронное взаимодействие доверенных лиц между собой.

Требования к сертификатам ключа ЭП представлены ниже

(табл. 6).

При выдаче квалифицированного сертификата аккредитованный удостоверяющий центр направляет в единую систему идентификации и аутентификации сведения о лице, получившем квалифицированный сертификат, и о полученном им квалифицированном сертификате.

Требования к средствам электронной подписи для квалифицированной и неквалифицированной электронной подписи являются едиными, однако условие о подтверждении соответствия установленным требованиям закреплено только для средств квалифицированной электронной подписи.

71

72

Законом установлено, что для создания и проверки электронной подписи, создания ключа электронной подписи и ключа проверки электронной подписи должны использоваться средства электронной подписи, которые: а) позволяют установить факт изменения подписанного электронного документа после момента его подписания; б) обеспечивают практическую невозможность вычисления ключа электронной подписи из электронной подписи или из ключа ее проверки.

Для средств электронной подписи, используемых не в автоматическом режиме, требуется, чтобы при создании электронной подписи они соответствовали следующими условиями:

–показывали лицу, подписывающему электронный документ, содержание информации, которую он подписывает;

–создавали электронную подпись только после подтверждения лицом, подписывающим электронный документ, операции по созданию электронной подписи;

–однозначно показывали, что электронная подпись создана. При проверке электронной подписи такие средства электронной

подписи должны:

–показывать содержание электронного документа, подписанного электронной подписью;

–показывать информацию о внесении изменений в подписанный электронной подписью электронный документ;

–указывать на лицо, с использованием ключа электронной подписи которого подписаны электронные документы.

73

Единую инфраструктуру квалифицированной электронной подписи в России обеспечивает также наличие головного удостоверяющего центра, функции которого исполняет Минкомсвязь России. Головной удостоверяющий центр осуществляет аккредитацию удостоверяющих центров, проводит проверки соблюдения аккредитованными удостоверяющими центрами требований, которые установлены законом и на соответствие которым эти удостоверяющие центры были аккредитованы, и в случае выявления их несоблюдения выдает предписания об устранении выявленных нарушений. Кроме того, головной удостоверяющий центр обеспечивает информационное взаимодействие между аккредитованными удостоверяющими центрами, а в случае прекращения деятельности аккредитованного удостоверяющего центра – принимает на хранение информацию о выданных им квалифицированных сертификатах.

Контрольные вопросы и задания

1.Для чего используется электронная подпись?

2.Что такое «сертификат ключа»? Для чего он предназначен?

3.Почему у сертификата есть срок действия?

4.Что происходит после окончания действия ЭП?

5.Объясните, как происходит наложение и проверка подписи. Изменяется ли при этом документ?

6.Возможно ли подделать ЭП?

74

8.ОСНОВНЫЕ МОДЕЛИ И МЕХАНИЗМЫ КОНТРОЛЯ ДОСТУПА

КИНФОРМАЦИОННЫМ СИСТЕМАМ

Механизмы управления доступом являются основой защиты ресурсов, обеспечивая решение задачи разграничения доступа субъектов к защищаемым информационным и техническим ресурсам объекта. В качестве субъектов в простейшем случае понимается пользователь.

На практике наличие механизмов управления доступом необходимо, даже если в системе может находиться только один прикладной пользователь. Это вызвано тем, что, как правило, в системе должен быть также заведен пользователь с правами администратора, который настраивает параметры системы защиты и права доступа к ресурсам защищаемого объекта. При этом у администратора принципиально иные права, чем у прикладного пользователя.

8.1. АБСТРАКТНЫЕ МОДЕЛИ ДОСТУПА

Модель Биба

Модель Биба является одной из первых моделей, опубликована в 1977 г. Согласно этой модели, все субъекты и объекты предварительно разделяются по нескольким уровням доступа. Затем на их взаимодействия накладываются следующие ограничения:

–субъект не может вызывать на исполнение субъекты с более низким уровнем доступа;

–субъект не может модифицировать объекты с более высоким уровнем доступа.

Эта модель очень напоминает ограничения, введенные в защищенном режиме микропроцессоров Intel 80386+ относительно уровней привилегий.

Модель Гогена–Мезигера

Модель Гогена–Мезигера, представленная ими в 1982 году, основана на теории автоматов. Согласно этой модели система может при каждом действии переходить из одного разрешенного состояния только в несколько других. Субъекты и объекты в данной модели защиты разбиваются на группы – домены.

Переход системы из одного состояния в другое выполняется только в соответствии с так называемой таблицей разрешений, в которой указано, какие операции может выполнять субъект, например,

75

из домена С над объектом из домена D. В данной модели при переходе системы из одного разрешенного состояния в другое используются транзакции, что обеспечивает общую целостность системы.

Сазерлендская модель

Сазерлендская модель защиты, опубликованная в 1986 году, основана на взаимодействии субъектов и потоков информации. Так же, как и в предыдущей модели, здесь используется машина состояний со множеством разрешенных комбинаций состояний и некоторым набором начальных позиций. В данной модели исследуется поведение множественных композиций функций перехода из одного состояния в другое.

Модель Кларка–Вильсона

Играет важную роль в теории защиты информации, опубликована в 1987 году и модифицирована в 1989. Основана данная модель на повсеместном использовании транзакций и тщательном оформлении прав доступа субъектов к объектам. В данной модели впервые исследована защищенность третьей стороны – стороны, поддерживающей всю систему безопасности. Эту роль в информационных системах обычно играет программа-супервизор.

Кроме того, в модели Кларка–Вильсона транзакции впервые были построены по методу верификации, то есть идентификация субъекта производилась не только перед выполнением команды от него, но и повторно после выполнения. Это позволило снять проблему подмены субъекта в момент между его идентификацией и собственно командой. Модель Кларка–Вильсона считается одной из самых совершенных в отношении поддержания целостности информационных систем.

Современные модели доступа

Представленные выше модели доступа вызывают, скорее, исторический интерес. С практической точки зрения наибольший интерес представляют дискреционная (матричная), мандатная и ролевая модели, которые в различных комбинациях используются в современных информационных системах в настоящий момент.

Дискреционная (матричная) модель

Эта модель получила на сегодняшний день наибольшее распространение на практике. В терминах матричной модели состояние сис-

76

темы защиты описывается следующей тройкой: S, О, М, где S – множество субъектов, являющихся активными структурными элементами модели; О – множество объектов доступа, являющихся пассивными защищаемыми элементами модели. Каждый объект однозначно идентифицируется с помощью имени объекта; М – матрица доступа. Значение элемента матрицы М [S, О] определяет права доступа субъекта S к объекту О.

Права доступа регламентируют способы обращения субъекта S к различным типам объектов доступа. В частности, права доступа субъектов к файловым объектам обычно определяют как чтение (R), запись (W) и выполнение (Е).

Основу реализации управления доступом составляет анализ строки матрицы доступа при обращении субъекта к объекту. При этом проверяется строка матрицы, соответствующая объекту, и анализируется, есть ли в ней разрешенные права доступа для субъекта или нет. На основе этого принимается решение о предоставлении доступа.

При всей наглядности и гибкости возможных настроек разграничительной политики доступа к ресурсам матричным моделям присущи серьезные недостатки. Основной из них – это излишне детализированный уровень описания отношений субъектов и объектов. Из-за этого усложняется процедура администрирования системы защиты. Причем это происходит как при задании настроек, так и при поддержании их в актуальном состоянии при включении в схему разграничения доступа новых субъектов и объектов. Как следствие, усложнение администрирования может приводить к возникновению ошибок.

8.2. МНОГОУРОВНЕВЫЕ (МАНДАТНЫЕ) МОДЕЛИ

Разработаны с целью устранения недостатков матричных моделей. Классические примеры – модель конечных состояний Белла и Ла-Падулы, а также решетчатая модель Д. Деннинг. Многоуровневые модели предполагают формализацию процедуры назначения прав доступа посредством использования так называемых меток конфиденциальности или мандатов, назначаемых субъектам и объектам доступа.

Так, для субъекта доступа метки, например, могут определяться в соответствии с уровнем допуска лица к информации, а для объекта

77

доступа (собственно данные) – признаками конфиденциальности информации. Признаки конфиденциальности фиксируются в метке объекта.

Права доступа каждого субъекта и характеристики конфиденциальности каждого объекта отображаются в виде совокупности уровня конфиденциальности и набора категорий конфиденциальности. Уровень конфиденциальности может принимать одно из строго упорядоченного ряда фиксированных значений, например: конфиденциально, секретно, для служебного пользования, несекретно и т. п. Пример: субъект, имеющий допуск уровня «совершенно секретно», не может получить доступ к объекту, имеющему метку «особой важности». В то же время субъект с допуском уровня «совершенно секретно» право доступа к объекту с меткой «секретно» имеет. Основу реализации управления доступом составляют:

1)формальное сравнение метки субъекта, запросившего доступ,

иметки объекта, к которому запрошен доступ;

2)принятие решений о предоставлении доступа на основе некоторых правил, в основу которых положено противодействие снижению уровня конфиденциальности защищаемой информации.

Таким образом, многоуровневая модель предупреждает возможность преднамеренного или случайного снижения уровня конфиденциальности защищаемой информации за счет ее утечки (умышленного переноса), то есть эта модель препятствует переходу информации из объектов с высоким уровнем конфиденциальности и узким набором категорий доступа в объекты с меньшим уровнем конфиденциальности и более широким набором категорий доступа.

Практика показывает, что многоуровневые модели защиты находятся гораздо ближе к потребностям реальной жизни, нежели матричные модели, и представляют собой хорошую основу для построения автоматизированных систем разграничения доступа. Причем так как отдельно взятые категории одного уровня равнозначны, то, чтобы их разграничить, наряду с многоуровневой (мандатной) моделью требуется применение матричной модели.

С помощью многоуровневых моделей возможно существенное упрощение задачи администрирования (настройки). Причем это касается как исходной настройки разграничительной политики доступа (не требуется столь высокого уровня детализации задания отношения субъект-объект), так и последующего включения в схему администрирования новых объектов и субъектов доступа.

78

8.3. УПРАВЛЕНИЕ ДОСТУПОМ НА ОСНОВЕ РОЛЕЙ

Управление доступом на основе ролей (англ. Role Based Access Control, RBAC) – развитие политики избирательного управления доступом, при этом права доступа субъектов системы на объекты группируются с учётом специфики их применения, образуя роли.

Формирование ролей призвано определить чёткие и понятные для пользователей компьютерной системы правила разграничения доступа. Ролевое разграничение доступа позволяет реализовать гибкие, изменяющиеся динамически в процессе функционирования компьютерной системы правила разграничения доступа. Такое разграничение доступа является составляющей многих современных компьютерных систем. Как правило, данный подход применяется в комплексах защиты систем управления базами данных (СУБД), а отдельные элементы реализуются в сетевых операционных системах. Ролевой подход часто используется в системах, для пользователей которых чётко определён круг их должностных полномочий и обязанностей.

Несмотря на то что роль является совокупностью прав доступа на объекты компьютерной системы, ролевое управление доступом отнюдь не является частным случаем избирательного управления доступом, так как его правила определяют порядок предоставления доступа субъектам компьютерной системы в зависимости от имеющихся (или отсутствующих) у него ролей в каждый момент времени, что характерно для систем мандатного управления доступом. С другой стороны, правила ролевого разграничения доступа являются более гибкими, чем при мандатном подходе к разграничению.

Так как привилегии не назначаются пользователям непосредственно и приобретаются ими только через свою роль (или роли), управление индивидуальными правами пользователя по сути сводится к назначению ему ролей. Это упрощает такие операции, как добавление пользователя или смена подразделения пользователем.

Контрольные вопросы и задания

1.Опишите модель безопасности дискреционного доступа.

2.В чем сущность модели безопасности Белла–Ла-Падулы?

3.Дайте характеристику ролевой модели безопасности контроля доступа.

4.Назовите основные положения системы безопасности разграничения доступа.

5.Какая модель (модели) контроля доступа наиболее распространена в настоящее время?

79

ПОСЛЕСЛОВИЕ

В процессе изучения дисциплины «Сетевое администрирование и защита информации» некоторые студенты выражают мнение о чрезмерной перегруженности законодательства в области информационной безопасности, отмечая слишком большое, по их мнению, количество всевозможных терминов и регулируемых норм. Авторы данного пособия видят в таком случае свою задачу в том, чтобы объяснить необходимость такого подробного и точного представления некоторых аспектов, связанных с информационной безопасностью, высокой степенью ответственности должностных лиц и граждан, которая возникает в виду высокой стоимости рисков при работе

синформацией. Потенциальные утрата целостности, потеря конфиденциальности информации или сбой типа «отказ в обслуживании» информационной системы представляют собой большую проблему для современного общества и могут привести к очень существенному ущербу. По этой причине государству важно, во-первых, наладить систему, подробно описывающую корректные «правила поведения»

синформацией, во-вторых, установить работающие механизмы ответственности за нарушения и преступления в этой области.

Авторы пособия используют в своей практике обучения студентов некоторые приемы, например, приведение примеров реальных

случаев из судебной практики, а также моделирование ситуаций, в которых условному сотруднику, отвечающему за информационную безопасность в условной организации, необходимо произвести ряд организационных действий и принять меры для эффективной и корректной с точки зрения законодательства защиты информации. Такой подход, как правило, дает позитивный результат, позволяя студенту сделать правильные выводы, касающиеся важности организационных и правовых методов защиты информации наряду с техническими.

80