4.4.3.4. Вариант схемы мандатного доступа — мандаты доступа

не содержат определённых процедур

При таком варианте схемы в мандате доступа отсутствует набор разре­шённых процедур, а в средстве принятия решения о предоставлении доступа отсутствует название процедуры. В таком случае, если доступ инициатору раз­решён, то разрешены все процедуры доступа.

4.4.4. Схема на основе меток безопасности

4.4.4.1. Основные свойства

Основные свойства схемы УД на основе меток безопасности (УДМБ) следующие:

1. эта схема основана на применении меток безопасности, которые могут быть выделены инициаторам и целевым объектам, и данных, трансли­руемых между системами;

2. эта схема УД является наиболее приемлемой там, где имеет место много инициаторов, запрашивающих доступ ко многим целевым объектам, и там, где необходимо обеспечить УД к большим ССБ;

3. эта схема, при условии наличия определённых ограничений в соответст­вие с ПЛБ, может использоваться для управления потоком данных в рам­ках ССБ. Кроме того, метки безопасности могут быть вполне приемлемы для предоставления доступа между ССБ;

4. ВИУД, привязанная к инициатору или целевому объекту, не содержит в яв­ном виде наименования разрешённых процедур, но последние являются частью политики обеспечения безопасности.

(Примечание:

1. метки не обязательно имеют простые форматы (структуры);

2. когда инициатор является пользователем (или процесс инициатора, пред­ставляющего пользователя), то метка, «привязанная» к инициа­тору, часто именуется «разрешение».)

4.4.4.2. Виуд

ВИУД, привязанная к инициатору. ВИУД, привязанная к инициатору, представляет собой метку безопасности.

ВИУД, привязанная к целевому объекту. ВИУД, привязанная к целевому объекту, представляет собой метку безопасности.

(Примечание. Структура (формат) ВИУД, привязанной к инициатору, и ВИУД, привязанной к целевому объекту, обычно определяются средством и/или способом их обработки. Однако, одну и ту же структуру (формат) не обязательно использовать дважды. При передаче вспомогательной информации для обеспе­чения безопасности может использоваться другая структура (формат), которая рассматривается в Главе 2.)

ВИУД, привязанная к объекту процедуры. Объекты процедур в запросе доступа могут иметь метки, привязанные к ним. Объекты процедур с метками безопасности представляют собой частный случай помеченных данных.

Помеченные данные должны гарантированно обладать следующими двумя свойствами:

• целостность «привязки» метки к данным;

• право инициатора на формирование данных с такой меткой.

Применение меток безопасности, при условии наличия определённых ог­раничений в соответствие с ПЛБ, может использоваться для реализации единого УД к данным в границах ССБ или между такими сегмен­тами.

Примеры помеченных данных следующие:

• документы;

• сообщения;

• элементы данных при использовании ПИнО без установления соедине­ния;

• файлы в период их доставки.

4.4.4.3. Обеспечивающие способы

Для получения ВИУД, привязанной к инициатору или объекту проце­дуры, которая необходима для средства принятия решения о предоставлении доступа, могут использоваться следующие четыре способа:

1. использование СЕРТ|УД и маркеров УД. Инициатор получает СЕРТ|УД или маркер УД (или оба) с использованием средства запроса ВИУД. Та­кой СЕРТ|УД или маркер УД в дальнейшем является «привязкой» к за­просу доступа, сгенерированному инициатором с использованием сред­ства формирования ВИУД, привязанной к запросу доступа. И в заключе­нии, СЕРТ|УД или маркер УД проверяется ФПРР-модулем с использова­нием средства проверки привязанной ВИУД и извлечения ВИПР.

Доступность УЦ, указанного в СЕРТ|УД, или инициатора в случае мар­кера УД определяется в рамках процедуры проверки привязанной ВИУД и извлечения ВИПР;

2. использование аутентификации и поиск. ФПРР-модуль получает пара­метр подлинности аутентифицированного инициатора и использует его при поиска разрешения для этого инициатора;

3. использование помеченного канала. Разрешение, данное инициатору, или метка данных, может быть следствием метки канала, который использо­вался для доставки запроса доступа. Целостность «привязки» метки к ка­налу может быть гарантирована на основе привлечения службы обеспе­чения целостности. Гарантии того, что канал был предоставлен кор­ректно, могут быть обеспечены доверенным провайдером службы уста­новления соединений, и тем, что они могут быть проверены. Аналогично, гарантии могут быть обеспечены тем, что целевой объект был авторизо­ван для признания надёжности канала, который был предоставлен дове­ренным провайдером службы установления соединений, и тем, что авто­ризация целевого объекта может быть проверена перед установлением соединения;

4. использование помеченных данных. Разрешение, данное инициатору, мо­жет быть следствием меток объектов процедур (операндов), содержа­щихся в запросе доступа. Целостность «привязки» метки к данным может быть обеспечена, либо целостностью основного канала доставки, либо использованием кода проверки целостности или цифровой подписи, сформированной ЦБ ССБ по всей последовательности данных, включая метку безопасности.

Метка безопасности может использоваться как ВИУД о целевом объекте с целью защиты этого объекта. Правила доступа описывают полномочия (про­цедуры), предоставляемые инициатору его меткой безопасности и меткой безо­пасности, назначенной целевому объекту.

Если ПЛБ устанавливает, что содержащаяся в метке безопасности ВИУД использовалась в ВИУД о целевом объекте, то оба потока данных (входящий в целевой объект и исходящий от него) могут быть полностью контролируе­мыми. Отсюда следует, что оба потока данных (входящий в целевой объект и исходящий от него) могут анализироваться в ССБ, в которых применяется одна и та же ПЛБ.

Целевые объекты могут быть сформированы «внутри» других целевых объектов. Метка безопасности «внутреннего» целевого объекта ограничивает метки безопасности, которые могут быть назначены «внешнему» целевому объекту, в соответствие с правилами применяемой ПЛБ.

Примеры целевых объектов, в отношении которых могут использоваться метки, следующие:

• объекты N-уровня ЭМВОС или Интернет-архитектуры;

• объекты Службы единого каталога (Directory Service);

• файлы, находящиеся в хранилище файлов;

• записи в БД.