11.3.2. Розмежування доступу

Функції системи розмежування доступу було розглянуто у розділі 2. Тому тут ми лише конкретизуємо особливості підсистем розмежування доступу, що входять

до складу операційних систем, а далі, в розділах 12-14, розглянемо особливості реалізації таких підсистем у популярних ОС.

Нагадаємо, що система розмежування доступу здійснює контроль за доступом суб'єктів до об'єктів. Суб'єкт доступу здійснює доступ до об'єкта. Об'єкт доступу — це елемент ОС (наприклад, ресурс), доступ до якого контролюється і може бути обмежений. Важливе значення має метод доступу — операція, яку здійснює суб'єкт над об'єктом. Слід розрізняти метод доступу і право доступу. Право дог тупу — це право здійснювати доступ до об'єкта з використанням деякого методу чи групи методів. Суб'єкти можуть мати певні привілеї. Під привілеєм розуміють право доступу з використанням деякого методу доступу, яке надається певному суб'єкту на всі об'єкти ОС, що підтримують цей метод [91].

В операційних системах суб'єктами доступу можуть бути користувачі, процеси та потоки. Звісно, мова йде не про користувачів як фізичних осіб, а про об`єкти-користувачі, які було описано у розділі 1. Точніше кажучи, суб'єктом в ОС є суперпозиція користувача і процесу (або потоку). Фактично доступ здійснює процес (потік), але в усіх захищених ОС він діє від імені певного користувача (нагадаємо, що саме такий підхід було покладено в основу побудови захищених систем згідно з вимогами «Критеріїв оцінювання захищених комп'ютерних систем» Міністерства оборони США, розглянутими в розділі 7).

Для спрощення опису і реалізації політики безпеки користувачів об'єднують у групи. Це відображає принципи побудови реальної політики безпеки у будь якій організації: доступ до інформації надається співробітнику на підставі його приналежності до певних робочих груп і виходячи з його кваліфікації, досвіду роботи та посади. Так само і на рівні ОС: здійснюється настроювання доступу окремих груп користувачів до захищених об'єктів, а права окремих користувачів на строюються шляхом їх долучення до тих чи інших груп. Очевидно, що в такому випадку для реалізації політики безпеки необхідно мати можливість долучати користувача відразу до кількох груп. Таку можливість підтримують багато сучасних операційних систем. З іншого боку, є стандарт програмного інтерфейсу POSIX, запропонований свого часу для полегшення перенесення прикладних програм із середовища однієї ОС до іншої. Цей стандарт вимагає, щоб користувач у поточ­ний момент був членом лише однієї групи. Для сумісності з цим стандартом у су­часних операційних системах (наприклад, Windows) виділяють так звану «пер­винну» групу користувача.

Суб'єктами можуть бути також псевдокористувачі або спеціальні користу­вачі. Це об'єкти-користувачі, які не є фізичними користувачами, але від імені яких у системі можуть діяти процеси. Наприклад, псевдокористувач SYSTEM в ОС Windows, від імені якого діють системні процеси. Цей псевдокористувач має визначені повноваження в системі (тобто права доступу до визначеної множини об'єктів). Як наслідок, системні процеси також мають обмежені права, і, якщо не­обережно зменшити права SYSTEM, це може призвести до того, що ОС втратить роботоздатність.

Тепер розглянемо об'єкти доступу в ОС. Основними об'єктами, що потребують захисту і знаходяться під керуванням ОС, є об'єкти, що можуть містити

інформацію, яка перебуває у стані оброблення та зберігання, або приймати чи пе­редавати інформацію. Насамперед до таких об'єктів належать:

• оперативна пам'ять, точніше, ЇЇ елементи: секції, сегменти, сторінки;

• об'єкти файлових систем;

• пристрої введення-виведення інформації.

У різних ОС підходи до вибору об'єктів доступу можуть суттєво різнитися. Наприклад, в UNIX захищеними об'єктами є лише об'єкти файлової системи. Щоб захистити пристрої введення-виведення, доступ до них організують через файлову систему за допомогою спеціальних файлів. А у Windows, навпаки, спи­сок об'єктів доступу дуже широкий — він містить майже всі об'єкти, якими опе­рує ОС (докладніше див. розділ 13).

Об'єкти різних типів підтримують специфічні методи доступу. Знову-таки, різні ОС можуть мати дуже різні підходи до укладання переліку методів доступу і прав доступу, що контролює система розмежування доступу. Так, в UNIX роз­різняють лише три права доступу — читання (Read), записування (Write) та за­пуск на виконання (eXecute). Методів доступу є більше, наприклад, методи запи­сування у файл і дописування в кінець файлу. (Слід зауважити, що обидва ці методи контролюються одним правом — записування.) Право запуску на вико­нання також може мати різне значення залежно від того, до якого об'єкта (файлу чи каталогу) воно надається. В операційній системі Windows розрізняють більше 20 різних методів доступу, майже кожному з яких відповідає певне право досту­пу. Ці методи і відповідні права також залежать від того, якому об'єкту доступу вони відповідають.

До типових привілеїв, які підтримує ОС, належать такі: привілей власника об'єкта (у разі довірчого керування доступом власник завжди може змінити пра­ва доступу до об'єкта), привілей адміністратора (у різних ОС він може мати дово­лі різний рівень — аж до повних і необмежених прав), привілей налагоджувати програми, привілей здійснювати доступ до журналів аудита тощо.

Політику керування доступом на рівні ОС, як правило, реалізують втіленням дискреційного керування доступом. Позаяк об'єктів доступу в операційній сис­темі дуже багато, застосувати в ній матрицю доступу в чистому вигляді не вида­ється за можливе. Натомість в ОС використовують списки керування доступом, які пов'язують з кожним об'єктом доступу. У деяких ОС реалізовано розширення дискреційного керування доступом, за якого звичайні правила дискреційної полі­тики певним чином модифікуються: по-перше, можливість доступу однозначно ви­значається не трійкою користувач-об'єкт-метод, а четвіркою користувач-процес- об'єкт-метод, а по-друге, для кожного суб'єкта визначається список програм, які він може запускати. Середовище з такою політикою керування доступом назива­ють ізольованим (або замкненим) програмним середовищем (див. розділ 4).

У спеціально призначених для побудови ІКС операційних системах, які вико­ристовують для оброблення конфіденційної інформації, окрім дискреційного ке­рування доступом, є ще й мандатне керування доступом. Системи розмежування доступу в таких ОС реалізують певний набір моделей, переважно модель Белла — ЛаПадула та її розширення (див. розділ 4).

Слід відзначити таку важливу особливість систем розмежування доступу У більшості їх реалізацій права доступу суб'єкта до об'єкта перевіряються лише в момент відкривання об'єкта для доступу з використанням певного методу або набору методів. Після того, як права доступу успішно перевірено, створюються умови для доступу суб'єкта до об'єкта (наприклад, процес одержує покажчик або відкривається порт доступу). Після цього суб'єкт вільно працює з об'єктом протягом визначеного часу або допоки його не буде закрито.

Але є системи, в яких права доступу перевіряються щоразу, коли здійснюється спроба доступу. Необхідність контролювати кожну спробу доступу пов'язана з тим, що можливість доступу визначається не лише четвіркою користувач процес-об'єкт-метод, а й тим, в якому стані знаходиться процес у поточний момент.

Стан процесу може бути змінено під час його функціонування залежно від того, наприклад, до яких об'єктів і за якими методами цим процесом уже було здійснено доступ. Таку модель керування доступом називають мандатним керуванням із контролем інформаційних потоків. Саме ця модель забезпечує найбільш надійний захист від витоку конфіденційної інформації, хоча й створює найбільше навантаження на систему.