3.3.5. Разметка иерархических объектов доступа

Ранее объект доступа нами рассматривался как элемент, имеющий неиерархическую структуру. Вместе с тем, ряд объектов, например, файловые объекты, характеризуются иерархической структурой, например, объект доступа файл, может находиться в подкаталоге, который располагается в каталоге логического диска (или тома). Возникает вопрос, каким образом назначать метки безопасности иерархическому объекту, с учетом того, что не только включаемый элемент (например, каталог для логического диска, подкаталог для каталога и т.д.) является объектом доступа, но и каждый включающий элемент иерархии (например, логический диск для каталога, каталог для подкаталога и т.д.) также априори является объектом доступа, т.е. в соответствии с требованиями к корректности реализации мандатного механизма управления доступом метки безопасности должны устанавливаться всем объектам доступа, как включаемым, так и включающим. Напомним сказанное ранее, что современными универсальными ОС мандатный механизм управления доступом не реализуется, поэтому данная задача может решаться лишь средствами добавочной защиты.

Правила назначения меток безопасности иерархическим объектам доступа.

1. Метки безопасности из множества M = {M1, …, Mk}, используемого в полномочной модели управления доступом, присваиваются объектам доступа (без учета их иерархии), к которым следует разграничивать доступ. Процедура назначение меток безопасности начинается с разметки данных объектов.

2. Метки безопасности должны присваиваться всем включающим элементам иерархии, вплоть до элемента, являющегося объектом доступа (к которому разграничивается доступ). Для разметки включающих элементов, не являющихся непосредственно объектами доступа, к которым следует разграничить доступ, вводится метка Mk+1, причем для элементов множества M должно выполняться условие: M1 < M2 < M3<…<Mk < Mk+1.

3. Включаемому элементу может не присваиваться метка безопасности, тогда включаемый элемент наследует метку безопасности (имеет то же значение метки) включающего его элемента.

4. Вводится группа старших (корневых) элементов иерархии, включающих объекты доступа (элемент, к которому разграничивается доступ) Ok+1, данной группе объектов должна присваиваться метка безопасности Mk+1.

5. К группе старших (корневых) элементов иерархии Ok+1 при сопоставлении ей метки Mk+1 разрешается доступ по “чтению”.

Рассмотрим правила разграничения доступа для различных полномочных моделей управления доступом к иерархическим объектам.

1.Полномочная модель управления доступом с произвольным управлением виртуальными каналами взаимодействия субъектов доступа.

1. Для Объектов O1, …, Ok:

• Субъект С имеет доступ к объекту О в режиме “Чтения” в случае, если выполняется условие: Mc = Mo.

• Субъект С имеет доступ к объекту О в режиме “Записи” в случае, если выполняется условие: Mc = Mo.

• Субъект С имеет доступ к объекту О в режиме “Добавления” в случае, если выполняется условие: Mc > Mo.

2. Любой субъект С имеет доступ к объекту Оk+1 в режиме “Чтения”

2.Полномочная модель управления доступом с принудительным управлением виртуальными каналами взаимодействия субъектов доступа.

1. Для Объектов O1, …, Ok:

• Субъект С имеет доступ к объекту О в режиме “Чтения” в случае, если выполняется условие: Mc <, = Mo.

• Субъект С имеет доступ к объекту О в режиме “Записи” в случае, если выполняется условие: Mc = Mo.

2. Любой субъект С имеет доступ к объекту Оk+1 в режиме “Чтения”

3.Полномочная модель управления доступом с комбинированным управлением виртуальными каналами взаимодействия субъектов доступа.

1. Для Объектов O1, …, Ok:

• Субъект С имеет доступ к объекту О в режиме “Чтения” в случае, если выполняется условие: Mc <, = Mo.

• Субъект С имеет доступ к объекту О в режиме “Записи” в случае, если выполняется условие: Mc = Mo.

• Субъект С имеет доступ к объекту О в режиме “Добавления” в случае, если выполняется условие: Mc > Mo.

2. Любой субъект С имеет доступ к объекту Оk+1 в режиме “Чтения”

При использовании приведенных правил назначения меток безопасности в матрице доступа, описывающей полномочную модель управления доступом, появляется дополнительная строка, соответствующая группе объектов Ok+1, элементами которой будут «Чт» – операция «чтение».

Пример матрицы доступа D для полномочной модели управления доступом с комбинированным управлением виртуальными каналами взаимодействия субъектов доступа представлена ниже.

С1 С2….Ck-1 Ck

O1 Зп/Чт Д Д Д

O2 Чт Зп/Чт Д Д

……………………….……..………………………………

.

D = .

.

Ok-1 Чт Чт Зп/Чт Д

Ok Чт Чт Чт Зп/Чт

Ok+1 Чт Чт Чт Чт

Модель управления доступом формально может быть описана следующим образом - элемент (Dij) матрицы Dij = Зп/Чт, если i = j, иначе Dij = Чт, если k+1 > i > j, соотвественно Dij = Д, если i < j < k+1, и Dij = Чт, если i = k+1 где i - порядковый номер объекта (номер строки в матрице доступа), j - порядковый номер субъекта (номер столбца в матрице доступа).

Утверждение. Диспетчер доступа, осуществляющий разграничение доступа на основе представленных правил, реализует механизм мандатного управления доступом к иерархическим объектам доступа корректно.

Доказательство утверждения достаточно очевидно. Матрица доступа D дополняется строкой Ok+1, для которой создается виртуальный пассивный симплексный канал взаимодействия субъектов доступа – все элементы строки «Чт». Поэтому в объекты группы Ok+1 ни один субъект не может записать информацию, следовательно данный канал взаимодействия субъектов доступа не позволяет получить несанкционированного доступа к информации (несанкционированно переместить информацию), он необходим только для чтения структуры включающих элементов иерархии.

Замечание. Введение рассмотренных правил назначения меток безопасности иерархическим объектам доступа обусловливает необходимость противодействия доступу пользователей к остаточной информации (ранее отмечали, что основой данного противодействия является реализация механизма обеспечения замкнутости программной среды, в дополнение может осуществляться гарантированная очистка остаточной информации). Поясним необходимость сказанного. Пусть в объекте Ok+1 (таким образом разметили логический диск) находятся два файла (объекты Ok-m и Ok-l). Пусть данным объектам присвоены различные метки безопасности. Тогда при удалении одного из объектов, на диске сохраняется остаточная информация, к которой, штатными средствами доступ пользователи получить не могут, но при определенных условиях (средствами прямого доступа к диску), могут получить доступ вне рамок мандатного механизма управления доступом (остаточная информация не имеет признаков объекта, к ней не может разграничиваться доступ субъектам) пользователи, имеющие различные метки безопасности. Правда, ради справедливости, отметим, что подобными средствами (если их разрешить запускать на компьютере, пользователь может получить доступ не только к остаточной, но и к актуальной информации, т.к. они обращаются не к объекту, а напрямую к диску, т.е. минуя механизм управления доступом.

Рассмотрим примеры применения введенных правил.

Пример 1. Пусть на логическом диске D: вводится три каталога, соответственно, D:\2, D:\3, D:\4 (реализуется мандатный механизм управления доступа к этим каталогам) и пусть соответствующим образом назначаются метки безопасности каталогам – 2, 3, 4. В этом случае корневым включающим элементом является диск D (объект Ok+1), ему должна быть присвоена метка Mk+1=5. Иллюстрация назначаемых меток безопасности объектам доступа для рассматриваемого примера приведена в табл. 3.1.

Таблица 3.1

Пример назначения меток безопасности иерархическим

объектам доступа

Метка безопасности	Субъекты доступа	Объекты доступа
2		D:\2
3		D:\3
4		D:\4
5		D:

Пример 2. Рассмотрим более сложную иерархическую структуру. Пусть на логическом диске D: вводится два каталога, соответственно, D:\2, D:\3, в каталоге D:\2 расположен объект доступа – файл User 1, который должен иметь метку 2, и пусть в каталоге D:\3 присутствуют два объекта доступа – файлы User 2 и User 3, соответствующим образом размечаемые – имеют метки 3 и 4. В этом случае включающим корневым элементом является диск D (объект Ok+1) – ему присваивается метка Mk+1 = 5. Иллюстрация назначаемых меток безопасности для рассматриваемого примера приведена в табл. 3.2.

Таблица 3.2

Пример назначения меток безопасности иерархическим

объектам доступа

Метка безопасности	Субъекты доступа	Объекты доступа
2		D:\2
3		D:\3\User 2
4		D:\3\User 3
5		D:

Замечание. В примере разметки, изложенном в табл. 3.2, элемент D:\3 наследует метку включающего элемента D:, для файла User 1 достаточно назначить метку включающему его каталогу D:\2, которую он наследует.

Таким образом, настройка мандатного механизма управления доступом с иерархической структурой объектов доступа отличается следующим:

• Вводится дополнительная группа объектов (Ok+1), которую образуют корневые включающие объекты доступа элементы;

• Вводится дополнительная метка безопасности Mk+1 (причем M1 < M2 < M3<…<Mk < Mk+1), которая присваивается корневым включающим объекты доступа элементам (для файловой системы – логическим дискам или томам), образующим группу дополнительно вводимую группу объектов Ok+1;

• Метка Mk+1 наследуется всеми включаемыми элементами иерархии, вплоть до первого размеченного объекта в иерархии (которые уже, в свою очередь, должны размечаться метками безопасности из множества M).

Следствие. Рассмотренная реализация мандатного механизма управления доступом является универсальной в том смысле, что объектом доступа (ресурсом, к которому разграничивается доступ посредством назначения меток безопасности) может являться любой элемент иерархии (например, для файловой системы – логический диск, каталог, подкаталог, файл).

Замечание. Процедура создания группы объектов Ok+1 и назначение ей метки безопасности Mk+1 легко формализуется и может быть реализована диспетчером доступа автоматически. При такой реализации диспетчера доступа настройка мандатного механизма управления доступом (задание правил разграничения доступа в диспетчере доступа) с иерархическими объектами доступа не сложнее, чем с неиерархическими объектами доступа.

Вывод. Мандатный механизм управления доступом корректно реализован только в том случае, когда в доступе к ресурсу могут принимать участие только субъекты и объекты, которым присвоены метки безопасности. Всем субъектам и объектам, которым метки безопасности не присвоены, не должны получать каких-либо прав доступа. Введены универсальные правила назначения меток безопасности иерархическим объектам, используемые при иерархической структуре объекта доступа (например, файловые объекты), позволяющие присваивать метки безопасности объектам всех уровней иерархии (например, логический диск, каталог, подкаталог, файл), т.е. корректно реализовывать мандатный механизм для управления доступом к иерархическим объектам доступа.