8.8. Можливий підхід до керування доступом у розподіленому об'єктному середовищі

Уявляється, що в цей час проблема керування доступом існує в трьох майже не пов'язаних між собою проявах:

• традиційні моделі (дискреційна й мандатна);

• модель "пісочниця" (запропонована для Java-середовища й близької їй системі Safe-Tel);

• модель фільтрації (використана в міжмережевих екранах).

На наш погляд, необхідно об'єднати існуючі підходи на основі їхнього розвитку й узагальнення.

Формальна постановка завдання розмежування доступу може виглядати в такий спосіб. Розглядається сукупність об'єктів (у змісті об'єктно-орієнтованого програмування). Частина об'єктів може бути контейнерами, що групують об'єкти-компоненти, що задають для них загальний контекст, шо виконують загальні функції й реалізують перебір компонентів. Контейнери або вкладені один у одного, або не мають загальних компонентів.

З кожним об'єктом асоційований набір інтерфейсів, забезпечених дескрипторами (ДЕ). До об'єкта можна звернутися тільки за допомогою ДЕ. Різні інтерфейси можуть надавати різні методи й бути доступними для різних об'єктів.

Кожен контейнер дозволяє опитати набір ДЕ об'єктів-компонентів, що задовольняють деякій умові. Результат, що повертає, у загальному випадку залежить від зухвалого об'єкта.

Об'єкти ізольовані один від одного. Єдиним видом міжоб'єктної взаємодії є виклик методу.

Передбачається, шо використовуються надійні засоби аутентифікації й захисту комунікацій. У плані розмежування доступу локальні й вилучені виклики не розрізняються.

Передбачається також, що дозвіл або заборона на доступ не залежать від можливого паралельного виконання методів (синхронізація представляє окрему проблему, що тут не розглядається).

Розмежовується доступ до інтерфейсів об'єктів, а також до методів об'єктів (з урахуванням значень фактичних параметрів виклику). Правила розмежування доступу (ПРД) задаються у вигляді предикатів над об'єктами.

Розглядається завдання розмежування доступу для виділеного контейнера СС, компонентами якого повинні бути зухвалий й/або викликуваний об'єкти. ДЕ цього контейнера є загальновідомим. Уважається також, що між зовнішніми стосовно виділеного контейнера об'єктами можливі будь-які виклики.

Виконання ПРД контролюється монітором обігів.При виклику методу ми будемо розділяти дії, вироблені зухвалим об'єктом (ініціація виклику) і викликуваним методом (прийом і завершення виклику).

При ініціації виклику може вироблятися перетворення ДЕ фактичних параметрів до вигляду, доступному викликуваному методу ("трансляція інтерфейсу"). Трансляція може мати місце, якщо викликуваний об'єкт не входить у той же контейнер, що й зухвалий.

Параметри методів можуть бути вхідними й/або вихідними. При прийомі виклику виникає інформаційний потік із вхідних параметрів у викликуваний об'єкт. У момент завершення виклику виникає інформаційний потік з викликуваного об'єкта у вихідні параметри. Ці потоки можуть фігурувати в правилах розмежування доступу.

Структуруємо сукупність всіх ПРД, виділивши чотири групи правил:

• політика безпеки контейнера;

• обмеження на викликуваний метод;

• обмеження на зухвалий метод;

• обмеження, що накладають добровільно.

Правила, загальні для всіх об'єктів, що входять у контейнер 3, назвемо політикою безпеки даного контейнера.

Нехай метод МІ об'єкта 01 у крапці PI свого виконання повинен викликати метод М об'єкта О. Правила, яким повинен задовольняти М, можна розділити на три наступні підгрупи:

• правила, що описують вимоги до формальних параметрів виклику;

• правила, що описують вимоги до семантики М;

• реалізаційні правила, що накладають обмеження на можливі реалізації М;

* правила, що накладають обмеження на викликуваний об'єкт О.

Метод М об'єкта О. потенційно доступний для виклику, може висувати до

зухвалого об'єкта наступні групи вимог:

• правила, що описують вимоги до фактичних параметрів виклику;

• правила, що накладають обмеження на зухвалий об'єкт.

Можна виділити три різновиди предикатів, що відповідають семантиці й/або особливостям реалізації методів:

• твердження про фактичні параметри виклику методу М у крапці Р1;

• предикат, що описує семантику методу М;

• предикат, що описує особливості реалізації методу М.

Перераховані обмеження можна назвати добровільними, оскільки вони відповідають реальному поводженню об'єктів і не пов'язані з якими-небудь зовнішніми вимогами.

Запропонована постановка завдання розмежування доступу відповідає сучасному етапу розвитку програмування, вона дозволяє відобразити найскладнішу політику безпеки, знайти баланс між багатством виразних можливостей й ефективністю роботи монітора обігів.

Розділ 9. Протоколювання й аудит, шифрування, контроль цілісності