11.1.5. Перевищення повноважень

Ця загроза полягає у тому, що порушник якимось чином отримує повноваження, що перевищують ті, які йому було надано згідно з політикою безпеки. Переви­щення повноважень можливе або через помилки, яких припустилися під час роз­роблення і реалізації політики безпеки (наприклад, некоректні настроювання системи розмежування доступу), або через наявність вразливостей в програм­ному забезпеченні, яке входить до складу ОС.

В UNIX-системах розрізняють чотири основні категорії користувачів [15].

• Адміністратор. У більшості класичних UNIX-систем він має властивості суперкористувача, тобто повні та необмежені права в системі.

• Спеціальний користувач. Це «фіктивні» користувачі, від імені яких викону­ються деякі системні процеси. Такі користувачі можуть мати значні повнова­ження стосовно окремих захищених об'єктів системи, а щодо інших об'єктів —

навпаки, менші за повноваження звичайних користувачів. Облікові записи спеціальних користувачів не можна використовувати для здійснення інтерактивного входження в систему.

• Звичайний користувач. До цієї категорії належать усі користувачі, що інтерактивно працюють із системою.

• Псевдокористувач. До цієї категорії належать користувачі, які не реєструються в системі, але виконують у ній певні дії шляхом взаємодії з системними процесами — демонами (Daemon), як правило, через мережу. Самі демони працюють у системі з великими повноваженнями, і безпека взаємодії з псевдо користувачами цілком залежить від коректності їхнього програмного коду.

Отже, перевищення повноважень реалізується у разі будь-якого несанкціонованого переходу користувача з нижчої категорії до вищої. Типовими загрозами є перехід із категорії 3 до категорії 1 (звичайний користувач отримав права адміністратора), з 4 до 3 (псевдо користувач отримав можливість інтерактивно працювати в системі з правами користувача) і з 4 до 1 (те саме, але з правами адміністратора). Докладніше про це йтиметься в наступному розділі.

11.1.6. Програмні закладки

Програмні закладки було розглянуто в розділі 6. Деякі з них функціонують як звичайні прикладні програми, а деякі — як компоненти ОС.

11.1.7. «Жадібні» програми

«Жадібними» називають шкідливі програми, які захоплюють значну частину ресурсів комп'ютера, внаслідок чого робота інших користувачів і (або) процесів помітно ускладнюється або взагалі унеможливлюється. «Жадібні» програми можуть призвести до краху ОС. Переважно вони належать до класу «троянських ко ней» (див. розділ 6) і можуть бути звичайними програмами або веб-застосунками, які запускаються після завантаження браузером певних веб-сторінок.

11.2. Поняття захищеної операційної системи

Захищеною вважатимемо таку операційну систему, яка передбачає захист від за­гроз основних типів (їх було описано вище, у підрозділі 11.1).

11.2.1. Підходи до побудови захищених операційних систем

У сучасних умовах застосовуються дві технології створення захищених ОС: розроблення захищених систем «з нуля» і побудова так званих «довірених» версій шляхом модернізації наявних систем [96].

Під час розроблення захищених систем «з нуля» всі їхні функціональні можливості та архітектурні рішення (які мають бути сертифіковані за встановленим класом вимог) закладаються на етапі проектування. Характерною рисою такого

підходу є розроблення методів гарантованої реалізації встановлених вимог. У цьо­му випадку застосовують класичну схему проектування захищених систем:

• визначення вимог безпеки;

• розроблення моделі безпеки;

• визначення об'єктів взаємодії;

• визначення правил керування доступом;

• вибір механізмів керування доступом;

• вибір методів ідентифікації й автентифікації взаємодіючих сторін;

• визначення множини подій, що підлягають аудиту;

• реалізація системи.

Хоча й прикладів застосування такого підходу небагато через складність його реалізації та велику вартість (системи Trusted Xenix, Trusted Mach, Harris CX/SX) слід зазначити, що лише таким чином можна було створити системи, сертифіковані відповідно до найвищих вимог.

Під час побудови «довірених» версій шляхом модернізації наявних систем, як правило, до останніх додають функції шифрування, цифрового підпису, підсилю­ють у них керування доступом через впровадження мандатного керування, роз­поділяють обов'язки адміністратора системи між різними обліковими записами чи «ролями», впроваджують додаткові засоби ідентифікації й автентифікації, аудита та моніторингу. Цей підхід до створення захищених систем переважає насамперед завдяки своїй економічності, яку зумовлюють менший обсяг робіт зі створення й реалізації системи та можливість збереження сумісності з наявними рішеннями. Крім того, модернізовані системи успадковують імідж систем-прототипів (створе­ний популярністю фірм-розробників), що підвищує довіру до них і дає змогу вико­ристовувати досвід їх експлуатації й супроводження. Типові приклади реалізації такого підходу — ОС Trusted Solaris, СКБД Trusted Oraclc.

Ще раз зауважимо, що лише перший підхід (створення захищених систем «з нуля») дає змогу досягти рівня безпеки, що відповідає найвищим вимогам стандартів оцінювання систем. Удосконалення ж наявних систем може дати ли­ше обмежені результати, але на певному етапі такий підхід є доступнішим і вигід­нішим із міркувань економічності його реалізації.

Слід зазначити, що обидва підходи не суперечать один одному, а є рівноправ­ними складовими технології створення захищених ІКС.