1.2.2 Дискреційне управління доступом

Дискреційне управління доступом - це метод обмеження доступу до об'єктів, що заснований на тому, що деякий суб'єкт (зазвичай власник об'єкта) може на свій розсуд давати іншим суб'єктам або відбирати у них права доступу до об'єкта.

Поточний стан прав доступу в разі дискреційного управління доступом описується матрицею, в рядках якої перераховані суб'єкти, а у стовпцях - об'єкти (таблиця 1). У клітинах, розташованих на перетині рядків і стовпців, записуються способи доступу для суб'єкта по відношенню до об'єкта, наприклад: читання, запис, виконання, можливість передачі прав іншим суб'єктам і т.д. В даному випадку кожен елемент Mij матриці доступу M визначає права доступу Si-го суб'єкта до Oj-му об'єкту (читання, запис, виконання тощо). Елементи в матриці доступу мають наступні значення: r - читання, w - запис, е - виконання, a - дописати в файл, 0 - не можна використовувати.

Таблиця 1 - Матриця доступу

			…
	r	r, w	…	r
	r, a	0	…	e
…	…	…	…	…
	r, w	0	…	e

Кожна колонка в матриці може бути реалізована як список доступу для одного об'єкта. Очевидно, що порожні клітини можуть не враховуватися. В результаті для кожного об'єкта маємо список впорядкованих пар (суб'єкт, набір повноважень), який визначає всі суб'єкти з непорожніми наборами прав для даного об'єкта.

Якщо матрицю доступу зберігати по рядках, тобто кожен суб'єкт зберігає список об'єктів та для кожного об'єкта список допустимих операцій, то такий спосіб зберігання називається список можливостей.

Більшість операційних систем (Windows, Linux) і систем управління базами даних реалізує саме дискреційне управління доступом. Головна його перевага - гнучкість. Головні недоліки - розосередженість управління та складність централізованого контролю, а також відірваність прав доступу від даних, що дозволяє копіювати секретну інформацію в загальнодоступні файли.

1.2.3 Мандатне управління доступом

Мандатне управління доступом грунтується на зіставленні міток безпеки суб'єкта та об'єкта. Мітка суб'єкта визначає рівень його повноважень. Мітка об'єкта – ступінь його конфіденційності.

Мітки безпеки складаються з двох частин: рівня секретності і списку категорій. Рівні секретності, підтримувані системою, утворюють упорядковану безліч, яка може виглядати, наприклад, так:

• особливої ​​важливості;

• цілком таємно;

• таємно;

• нетаємно.

Категорії утворюють неврегульований набір. Їх призначення полягає в описі наочної області, до якої відносяться дані. У військовій області кожна категорія може відповідати, наприклад, певного виду озброєнь. Механізм категорій дозволяє розділити інформацію "по відсіках", що сприяє кращій захищеності. Суб'єкт не може отримати доступ до "чужих категорій, навіть якщо його рівень повноважень - "цілком таємно". Головна проблема, яку необхідно вирішувати у зв'язку з мітками, – це забезпечення їх цілісності. По-перше, не повинно бути непомічених суб'єктів і об'єктів інакше в такій безпеки з'являться проломи, що легко використовуються. По-друге, при будь-яких операціях з даними мітки повинні залишатися правильними. Особливо це відноситься до експорту та імпорту даних. Наприклад, друкований документ повинен відкриватися заголовком, яке містить текстове або графічне представлення мітки безпеки. Аналогічно, при передачі файлу по каналу зв'язку повинна передаватися і асоціюють з ним мітка, причому в такому вигляді, щоб віддалена система могла її проінтерпретувати, незважаючи на можливі відмінності в рівнях секретності і наборі категорій.

Мітки безпеки суб'єктів більш рухливі, ніж мітки об'єктів. Суб'єкт може під час сеансу роботи з системою змінювати свою позначку, не виходячи за виділені для нього рамки. Іншими словами, він може свідомо занижувати свій рівень повноважень, щоб зменшити вірогідність ненавмисної помилки. Суб'єкт може читати інформацію з об'єкта, якщо рівень секретності суб'єкта не нижче, ніж в об'єкта, а всі категорії, перераховані в мітці безпеки об'єкта, присутні в мітці суб'єкта. У такому випадку говорять, що мітка суб'єкта домінує над міткою об'єкта.

Суб'єкт може записувати інформацію в об'єкт, якщо мітка безпеки об'єкта домінує над міткою суб'єкта. Зокрема, "конфіденційний суб'єкт" може писати в секретні файли, але не може – в несекретні (повинні також виконуватися обмеження на набір категорій). Ні за яких операціях рівень секретності інформації

не повинен знижуватися, хоча зворотний процес цілком можливий. Описаний спосіб управління доступом називається примусовим, оскільки він не залежить від волі суб'єктів (навіть системних адміністраторів).

Примусове управління доступом реалізовано у багатьох варіантах операційних систем з підвищеними заходами безпеки. Незалежно від практичного використання принципи примусового управління є зручними методологічним базисом для початковій класифікації інформації та розподілу прав доступу.