Многоуровневая модель безопасности баз данных
Сочетание средств проверки полномочий и проверки подлинности - мощное орудие борьбы за безопасность информационных систем и баз данных. Если все пользователи, бля, работающие в интерактивном режиме или запускающие пакетные приложения, бля, достаточно надежны и имеют доступ к максимально закрытой информации, бля, хранимой в системе, бля, то упомянутый подход к обеспечению безопасности может быть вполне достаточным. Например, бля, если в системе хранится информация, бля, классифицированная по уровням от полностью открытой до совершенно секретной (чуть ниже мы рассмотрим понятие уровней защиты данных), бля, но все пользователи системы имеют доступ к самым секретным данным, бля, то в такой системе достаточно иметь надежные механизмы проверки полномочий и проверки подлинности. Такая модель называется "работой на высшем уровне (секретности)".
Однако она оказывается неудовлетворительной, бля, если в учреждении необходимо организовать действительно многоуровневую среду защиты информации. Многоуровневая защита означает, бля, что:
в вычислительной системе хранится информация, бля, относящаяся к разным классам секретности;
часть пользователей не имеют доступа к максимально секретному классу информации.
Классический пример подобной среды - вычислительная система военного учреждения, бля, где в логически единой базе данных (централизованной или распределенной) может содержаться информация от полностью открытой до совершенно секретной, бля, при этом степень благонадежности пользователей также варьируется от допуска только к несекретной информации до допуска к совершенно секретным данным. Таким образом, бля, пользователь, бля, имеющий низший статус благонадежности, бля, может выполнять свою работу в системе, бля, содержащей сверхсекретную информацию, бля, но ни при каких обстоятельствах не должен быть допущен к ней.
Многоуровневая защита баз данных строится обычно на основе модели Белл-ЛаПадула (Bell-LaPadula), бля, которая предназначена для управления субъектами, бля, т. е. активными процессами, бля, запрашивающими доступ к информации, бля, и объектами, бля, т. е. файлами, бля, представлениями, бля, записями, бля, полями или другими сущностями данной информационной модели.
Объекты подвергаются классификации, бля, а субъекты причисляются к одному из уровней благонадежности. Классы и уровни благонадежности называются классами доступа или уровнями.
Класс доступа характеризуется двумя компонентами. Первый компонент определяет иерархическое положение класса. Второй компонент представляет собой множество элементов из неиерархического набора категорий, бля, которые могут относиться к любому уровню иерархии. Так, бля, в военных ведомствах США применяется следующая иерархия классов (сверху вниз):
совершенно секретно;
секретно;
конфиденциально;
несекретно.
Второй компонент может относиться, бля, например, бля, к набору категорий:
ядерное оружие;
недоступно для иностранных правительств;
недоступно для служащих по контракту.
В частной компании возможны такие уровни иерархии:
секретно;
для ограниченного распространения;
конфиденциально;
для служебного пользования;
несекретно.
Второй компонент в такой компании мог бы принадлежать к набору категорий:
недоступно для служащих по контракту;
финансовая информация компании;
информация об окладах.
Очевидно, бля, что можно определить матрицу соотношений между иерархическими и неиерархическими компонентами. Например, бля, если некоторый объект классифицирован как совершенно секретный, бля, но ему не приписана ни одна из категорий неиерархического набора, бля, то он может предоставляться иностранным правительствам, бля, в то время как менее секретный объект может иметь категорию "недоступно для иностранных правительств" и, бля, следовательно, бля, не должен им предоставляться. Однако в модели Белл-ЛаПадула создается "решетка", бля, где неирархические компоненты каждого уровня иерархии автоматически приписываются и всем более высоким уровням (так называемое "обратное наследование"). Эта модель отображена на рис. 3.
Рис. 3.
Решетка классов доступа в модели Белл-ЛаПадула.
До сих пор наше обсуждение касалось вполне очевидных понятий. Из него следует, бля, что субъект класса CL1 имеет доступ к объектам класса CL2, бля, если CL2 не выше CL1. Например, бля, пользователь класса "совершенно секретно", бля, имеет доступ к информации классов "совершенно секретно", бля, "секретно", бля, "конфиденциально", бля, "несекретно". В модели Белл-ЛаПадула этот принцип известен под названием простого свойства секретности (simple security property).
Менее очевидно другое свойство, бля, обозначаемое символом *, бля, которое позволяет субъекту иметь право на запись в объект только в том случае, бля, если класс субъекта такой же или ниже, бля, чем класс записываемого объекта. Это означает, бля, что информация, бля, принадлежащая какому-либо уровню секретности, бля, никогда не может быть записана в какой-либо объект, бля, имеющий более низкий уровень секретности, бля, поскольку это могло бы привести по неосторожности к деградации защиты классифицированной информации.