16. Модель Белла и Лападула

Информационные ресурсы классифицируются по уровням безопасности, описывающих их чувствительность к нарушению секретности.

Здесь также есть категории.

Таким образом информация у нас описывается парой (<уровень_секретности>,<категория>).

Модель состоит из:

            Множества субъектов S

            Множества объектов O

            Решетки уровней секретности L с линейным отношением частичного порядка ">="

 

Введем отношение доминирования:

(L,C) dom (L',C'), если L<=L', C из C'.

В модели есть 2 правила:

NRU — no read up. Нет чтения вверх. S может читать O, если l_o<=l_s. То есть Вася может читать файл говно.txt, если уровень секретности файла меньше, чем у Васи.

В терминах доминирования получаем, что S читает O, если S dom O.

NWD — no write down. Нет записи вниз. S может писать в O, если  l_o=>l_s. То есть Вася может писать в файл моёговно.txt, если уровень секретности файла больше, чем у Васи.

В терминах доминирования получаем, что S пишет в O, если O dom S.

Модель Белла и Лападула.

Классической моделью, лежащей в основе построения многих систем мандатно­го контроля доступа, является модель Белла и Лападула. Они взяли свою модель из “бумажного мира”.

Эти ребята ввели:

1.       Уровни секретности для объектов и субъектов в системе

2.       Правило No Read Up. Сие правило означает, что для того, чтобы субъекту было разрешено чтение из объекта, необходимо, чтобы его уровень секретности превосходил или был равен уровню секретности объекта.

3.       Правило No Write Down. А сие правило означает, что для того, чтобы субъекту была разрешена запись в объект, необходимо, чтобы его уровень секретности был меньше либо равен уровня секретности объекта.

Благодаря правилу No Write Down разрешилась проблема троянских программ, т.к. запись на более низкие уровни секретности запрещена.

Формальное описание модели Белла и Лападула.

1. S - множество субъектов

2. О - множество объектов

3. L - решетка уровней безопасности с линейным отношением преобладания уровня секретности ≥.

4. F : S ∪ O → L - функция, применяемая к субъектам и объектам, данная функция определяет уровни безопасности своих аргументов в данном состоянии;

5. V - множество состояний - множество упорядоченных пар (F, M), где М - матрица доступа субъектов системы к объектам.

Система представляется начальным состоянием v₀, определенным множеством запросов к системе R и функцией переходов Т : (V×R) → V такой, что система переходит из состояния в состояние после исполнения запроса.

Основная теорема безопасности.

Определение 1. Состояние (F, M) безопасно по чтению (NRU) тогда и только тогда, когда для ∀ s ∈ S и для ∀ о ∈ О, read ∈ М[s, o] → F(s) ≥ F(o).

Определение 2. Состояние (F, M) безопасно по записи (NWD) тогда и только тогда, когда для ∀ s∈ S и для ∀ о ∈ О, write ∈ М[s,o]→F(o)≥ F(s).

Определение 3. Состояние безопасно тогда и только тогда, когда оно безопасно по чтению и записи.

Основная теорема безопасности. Система (v₀, R, T) безопасна тогда и только тогда, когда состояние v₀ безопасно и Т таково, что для любого состояния v, достижимого из v₀ после исполнения конечной последовательности запросов из R,  T(v, c) = v*, где v = (F, M) и v* = (F*, M*), переходы системы (Т) из состояния в состояние подчиняются следующим ограничениям для ∀ s ∈ S и для ∀ о ∈ О:

- если read ∈ M*[s, o] и read ∉ M[s, o], то F*(s)≥ F*(o);

- если read ∈ M[s, o] и F*(s)<F*(o), то read ∉ M*[s, o];

- если write ∈ M*[s, o] и write ∉ M[s, o], то F*(о)≥ F*(s);

- если write ∈ M[s, o] и F*(о)<F*(s), то write ∉ M*[s, o].