3.2. Монитор безопасности обращений (мбо)

Концепция МБО является достаточно естественной формализацией некоторого механизма, реализующего разграничение доступа в системе. МБО представляет собой фильтр, который разрешает или запрещает доступ, основываясь на установленных в системе правилах разграничения доступа.

Получив запрос на доступ от субъекта S к объекту О, МБО анализирует базу правил, соответствующую установленной в системе политике безопасности, и либо разрешает, либо запрещает доступ. Монитор безопасности обращений удовлетворяет следующим свойствам:

1. Ни один запрос на доступ субъекта к объекту не должен выполняться в обход МБО.

2. Работа МБО должна быть защищена от постороннего вмешательства.

3. Представление МБО должно быть достаточно простым для возможности верификации корректности его работы.

Несмотря на то, что концепция МБО является абстракцией, перечисленные свойства справедливы для программных или аппаратных модулей, реализующих функции монитора обращений реальных систем.

3.3. Формальные модели управления доступом.

3.3.1. Модель Харрисона-Руззо-Ульмана (х-р-у).

Разработанная в 1971 году модель Х-Р-У формализует упоминавшееся ранее понятие матрицы доступа, то есть таблицы, описывающей права доступа субъектов к объектам.

	obj 1	obj 2	obj 3	…
subj 1	r	…	…	…
subj 2	…	…	…	…
subj 3	…	…	r, w	…
…	…	…	…	…

Строки матрицы доступа соответствуют субъектам, существующим в системе, а столбцы – объектам. На пересечении строки и столбца указаны права доступа соответствующего субъекта к данному объекту. В приведённой таблице субъект subj 1 обладает правом чтения по отношению к объекту obj 1, а subj 3 обладает правами записи и чтения по отношению к объекту obj 3.

Введём следующие обозначения:

S – множество возможных субъектов;

О – множество возможных объектов (S О)

R={, , …, } – конечное множество возможных прав доступа.

O × S × R – пространство состояний системы.

M – матрица прав доступа, описывающая текущие права доступа субъектов к объектам.

Q=(S, O, M) – текущее состояние системы.

M[s, o] – ячейка матрицы, содержащая набор прав доступа субъекта s S к объекту o O.

Поведение системы во времени моделируется переходами между различными её состояниями. Переходы осуществляются путём внесения изменений в матрицу М с использованием команд следующего вида:

command a(, , … , )

if in M[, ] and

in M[, ] and

…

in M[, ]

then

,

,

…

end

Здесь a – имя команды;

– параметры команды, представляющие собой идентификаторы субъектов и объектов;

– элементарные операции.

Элементарные операции , …, будут выполнены в том случае, если выполняются все без исключения условия из блока if … then.

При описании элементарных операций будем полагать, что в результате выполнения операции система переходит из состояния

Q=(S, O, M) в Q'=(S', O', M').

Модель предусматривает наличие 6 элементарных операций:

1. enter r into M[s, o]; (s S, o O)

Добавление субъекту s права r по отношению к объекту o. В результате выполнения команды происходят следующие изменения в состоянии системы:

S'=S,

O'=O,

M'[, ]=M[, ], если (, )≠(s, o)

M'[s, o]={r} M[s, o].

Содержимое ячейки таблицы рассматривается как множество. Это в частности означает, что если добавляемый элемент уже присутствует в ячейке, то её содержимое не меняется.

2. delete r from M[s, o]; (s S, o O)

Удаление у субъекта s права r по отношению к o.

Изменения в состоянии системы:

S'=S,

O'=O,

M'[, ]= M[, ], если (, )≠(s, o)

M'[s, o]=M[s, o] \ {r}.

Если удаляемое право отсутствовало в ячейке, то состояние системы в результате выполнения данной команды никак не изменится.

3. create subject s; (s S)

Создание нового субъекта s.

Изменения в состоянии системы:

S'=S U {s},

O'=O U {s},

M'[, ]=M[, ], для ∀(, ) S × O

M'[s, ]= для ∀ O'

M'[, s]= для ∀ S'

4. destroy subject s; (s S)

Удаление существующего субъекта s.

Изменения в состоянии системы:

S'=S \ {s},

O'=O \ {s},

M'[, ]= M[, ], для ∀(, ) S' × O'

5. create object o; (o O)

Создание нового объекта o.

Изменения в состоянии системы:

S'=S,

O'=O {о},

M'[, ]=M[, ], для ∀(, ) S × O

M'[, s]= для ∀ S'

6. destroy object o; (o O\S)

Удаление существующего объекта o.

Изменения в состоянии системы:

S'=S,

O'=O \ {o},

M'[, ]= M[, ], для ∀(, )=S' × O'

Приведём несколько примеров команд, которые формируются из элементарных операций:

1. Создание файла. Пользователь p создаёт файл f и получает на него права владения, чтения и записи.

command create_file (p,f)

create object f,

enter own into M[p,f], //добавляем право владения

enter r into M[p,f],

enter w into M[p,f],

end.

2. Создание процесса. Процесс p создаёт процесс q и получает на него право чтения, записи и владения, передавая процессу q права чтения и записи по отношению к самому себе.

command exec_process (p,q)

create subject q,

enter own into M[p,q],

enter r into M[p,q],

enter w into M[p,q],

enter r into M[q,p],

enter w into M[q,p],

end.

3. Передача права чтения по отношению к файлу. Право чтения на файл f передаётся владельцем p субъекту q.

command grant_read (p,q,f)

if own in M[p,f]

then

enter r into M[q,f]

end.

Формальное описание системы в модели Х-Р-У выглядит следующим образом:

Система описывается кортежем (упорядоченным множеством) Σ=(Q, R, C) и состоит из следующих элементов:

• R={,…,} – конечный набор прав доступа;

• ={,…,} – конечный набор исходных субъектов;

• ={,…,} – конечное множество исходных объектов;

• – исходная матрица доступа;

• С – конечный набор команд: С={(, , … , )}.

Поведение системы во времени рассматривается как последовательность состояний. Каждое последующее состояние является результатом применения некоторой команды к предыдущему состоянию: =()

Для заданной системы начальное состояние ={, , } является безопасным относительно некоторого права r, если не существует применимой к последовательности команд, в результате выполнения которой право r будет занесено в ячейку матрицы М, в которой оно отсутствовало в состоянии . Другими словами это означает, что субъект никогда не получит право доступа r к объекту, если он не имел его изначально. Если же право r оказалось в ячейке матрицы М, в которой оно изначально отсутствовало, то говорят, что произошла утечка права r.

Рассмотрим пример:

Пусть система допускает использование двух прав доступа: R={r,w},

где r – чтение, w – запись

и система описывается следующими командами:

1. создание субъекта:

command create (s,o)

create subject o,

enter r into M[s,o],

enter w into M[s,o],

end.

Команда разрешает создание нового субъекта с одновременным получением по отношению к нему прав доступа на чтение и запись.

2. получение прав доступа:

command take_x (s,o,p)

if r in M[s,o] and x in M[o,p]

then

enter x into M[s,p],

end.

Команда разрешает получение произвольного права доступа x к объекту p от любого субъекта o, по отношению к которому исходный субъект s имеет право чтения.

3. получение права доступа:

command grant_x (s,o,p)

if w in M[s,o] and x in M[s,p]

then

enter x into M[o,p],

end.

Команда разрешает передачу произвольного права доступа x к объекту p любому субъекту, по отношению к которому исходный субъект s обладает правом записи.

Пусть в начальном состоянии в системе имеются 3 объекта o, s, t.

s обладает правом записи по отношению к t.

t обладает правом а (которое может представлять собой либо r, либо w) по отношению к o.

Покажем, как субъект s может получить себе право доступа а по отношению к о.

1) Система в начальном состоянии:

2) Субъект s создаёт новый субъект x, по отношению к которому автоматически получает права чтения и записи.

3) Субъект s передаёт субъекту t права чтения и записи по отношению к x.

4) Субъект t передаёт субъекту x право доступа a по отношению к о.

5) Субъект s получает от субъекта x право доступа а по отношению к о.

Как видно в результате выполнения шагов с 1 по 5 субъект s обходным путём получает право доступа а к объекту о, то есть происходит утечка права а, а это значит, что исходное состояние не являлось безопасным.

С практической точки зрения значительный интерес представлял бы универсальный метод определения того, является ли заданная система с некоторым начальным состоянием безопасной относительно того или иного права доступа.

Система Σ=(Q, R, C) называется монооперационной, если каждая команда C выполняет один примитивный оператор.

Теорема 1. Существует алгоритм, который проверяет, является ли исходное состояние монооперационной системы безопасным для данного права а.

Теорема 2. Для систем общего вида задача определения того, является ли исходное состояние системы безопасным для данного права а, является вычислительно неразрешимой.

Классическая модель Х-Р-У до сих пор широко используется при проведении формальной верификации корректности построения систем разграничения доступа в высоко защищённых автоматизированных системах.

Развитие моделей дискретиционного управления доступом заключается в основном в построении всевозможных модификаций моделей Х-Р-У, а также в поиске минимальных возможных ограничений, которые можно наложить на описание системы, чтобы вопрос о её безопасности представлял собой вычислительно разрешимую задачу.