11.1.5. Перевищення повноважень

Ця загроза полягає у тому, що порушник якимось чином отримує повноваження, що перевищують ті, які йому було надано згідно з політикою безпеки. Переви­щення повноважень можливе або через помилки, яких припустилися під час роз­роблення і реалізації політики безпеки (наприклад, некоректні настроювання системи розмежування доступу), або через наявність уразливостей в програм­ному забезпеченні, яке входить до складу ОС.

В UNIX-системах розрізняють чотири основні категорії користувачів [15].

• Адміністратор. У більшості класичних UNIX-систем він має властивості cy-перкористувача, тобто повні та необмежені права в системі.

• Спеціальний користувач. Це «фіктивні» користувачі, від імені яких викону-

Шються деякі системні процеси. Такі користувачі можуть матизначні повнова­ження стосовно окремих захищених об'єктів системи, а щодо інших об'єктів — лавпаки,' менші за повноваження звичайних користувачів. Облікові записи спеціальних користувачів не можна використовувати для здійснення інтер­активного входження в систему.

• Звичайний користувач. До цієї категорії належать усі користувачі, що інтер­активно працюють із системою.

• Псевдокористувач. До цієї категорії належать користувачі, які не реєстру­ються в системі, але виконують у ній певні дії шляхом взаємодії з системними процесами — демонами (Daemon), як правило, через мережу. Самі демони працюють у системі з великими повноваженнями, і безпека взаємодії з псев-докористувачами цілком залежить від коректності їхнього програмного коду.

Отже, перевищення повноважень реалізується у разі будь-якого несанкціоно­ваного переходу користувача з нижчої категорії до вищої. Типовими загрозами є перехід із категорії 3 до категорії 1 (звичайний користувач отримав права ад­міністратора), з 4 до 3 (псевдокористувач отримав можливість інтерактивно пра­цювати в системі з правами користувача) і з 4 до 1 (те саме, але з правами ад­міністратора). Докладніше про це йтиметься в наступному розділі.

11.1.6. Програмні закладки

Програмні закладки було розглянуто в розділі 6. Деякі з них функціонують як звичайні прикладні програми, а деякі — як компоненти ОС.

11.1.7. «Жадібні» програми

«Жадібними» називають шкідливі програми, які захоплюють значну частину ре­сурсів комп'ютера, внаслідок чого робота інших користувачів і (або) процесів помітно ускладнюється або взагалі унеможливлюється. «Жадібні» програми мо­жуть призвести до краху ОС. Переважно вони належать до класу «троянських ко­ней» (див. розділ 6) і можуть бути звичайними програмами або веб-застосунка-ми, які запускаються після завантаження браузером певних веб-сторінок.

11.2. Поняття захищеної операційної системи

Захищеною вважатимемо таку операційну систему, яка передбачає захист від за­гроз основних типів (їх було описано вище, у підрозділі 11.1).

11.2.1. Підходи до побудови захищених операційних систем

У сучасних умовах застосовуються дві технології створення захищених ОС: роз­роблення захищених систем «з нуля» і побудова так званих «довірених» версій шляхом модернізації наявних систем [96].

Під час розроблення захищених систем «з нуля» всі їхні функціональні мож­ливості та архітектурні рішення (які мають бути сертифіковані за встановленим класом вимог) закладаються на етапі проектування. Характерною рисою такого підходу є розроблення методів гарантованої реалізації встановлених вимог. У цьо­му випадку застосовують класичну схему проектування захищених систем:

4- визначення вимог безпеки;

• розроблення моделі безпеки;

• визначення об'єктів взаємодії;

• визначення правил керування доступом;

• вибір механізмів керування доступом;

+ вибір методів ідентифікації й автентифікації взаємодіючих сторін;

• визначення множини подій, що підлягають аудиту;

• реалізація системи.

Хоча й прикладів застосування такого підходу небагато через складність його реалізації та велику вартість (системи Trusted Xenix, Trusted Mach, Harris CX/SX) слід зазначити, що лише таким чином можна було створити системи, сертифі-ковані відповідно до найвищих вимог.

Під час побудови «довіренріх» версій шляхом модернізації наявних систем, як правило, до останніх додають функції шифрування, цифрового підпису, підсилю­ють у них керування доступом через впровадження мандатного керування, роз­поділяють обов'язки адміністратора системи між різними обліковими записами чи «ролями», впроваджують додаткові засоби ідентифікації й автентифікації, аудита та моніторингу. Цей підхід до створення захищених систем переважає насамперед завдяки своїй економічності, яку зумовлюють менший обсяг робіт зі створення й реалізації системи та можливість збережейня сумісності % наявними рішеннями. Крім того, модернізовані системи успадковують імідж систем-прототипів (створе­ний популярністю фірм-розробників), що підвищує довіру до них і дає змогу вико­ристовувати досвід їх експлуатації й супроводження. Типові приклади реалізації такого підходу — ОС Trusted Solaris, СКБД Trusted Oracle.

Ще раз зауважимо, що лише перший підхід (створення захищених систем «з нуля») дає змогу досягти рівня безпеки, що відповідає найвищим вимогам стандартів оцінювання систем. Удосконалення ж наявних систем може дати ли­ше обмежені результати, але на певному етапі такий підхід є доступнішим і вигід­нішим із міркувань економічності його реалізації.

Слід зазначити, що обидва підходи не суперечать один одному, а є рівноправ­ними складовими технології створення захищених ІКС.