Порядок выполнения работы

1. Получить доступ к набору служебных программ «Монитор безопасности»:

   • expert.exe (программа преобразования файла описания модели в ехе-файл);

   • security.exe (основная программа «Монитора безопасности»),

2. Создать файл описания модели невмешательства при помощи языка зада­ния. Исходные данные выдаются преподавателем. Особенности языка и правила описания модели приведены в Приложении 2.

3. Используя программу expert.exe, получить ехе-файл. Последовательность работы с утилитой expert.exe определена в Приложении 3.

4. Запустить программу security.exe. Описание ее возможностей приведено в Приложении 4.

5. Выбрать в меню FILE созданный ехе- файл.

6. Убедиться в возможности копирования низкоуровневым пользователем вы­сокоуровневого объекта в системе с реализованной моделью невмешатель­ства. Для этого использовать операции чтения, создания сущности и записи низкоуровневым пользователем на высоком уровне секретности.

7. Выйти из программы security.exe.

8. Создать файл определения модели невыводимости с целью проверки ут­верждения: «низкоуровневые пользователи не должны получить новой ин­формации, основываясь на видимом ими поведении системы (вводы/выводы), если на входе системы есть дополнительные высокоуровне­вые пользователи». Исходные данные выдаются преподавателем.

9. Примечание: использовать доступ по чтению, чтобы низкоуровневый пользо­ватель мог «видеть» состояние системы, и операцию создания для получе­ния дополнительных субъектов в системе.

10. Повторить выполнение пунктов 3-5.

11. Убедиться в наличии доступа к высокоуровневой информации в системе с реализованной моделью невыводимости и в том, что информация о системе, доступная низкоуровневому субъекту, не меняется при возникновении в сис­теме нового высокоуровневого субъекта.

12. Выйти из программы security.exe.

Содержание отчета

В отчете необходимо привести

1. Исходные данные:

• набор субъектов и объектов, а также соответствующие атрибуты,

• содержимое prefile и postfile, если они применялись.

2. Результаты, подтверждающие оба варианта обхода защиты.

3. Способ восстановления и результаты его применения.

4. Выводы по лабораторной работе.

Пример отчета

Модель невмешательства подразумевает полное разграничение потоков информации в системе от низко- и высокоуровневых пользователей, что доста­точно легко моделируется с помощью настройки файла инициализации. Копи­рование высокоуровневого объекта в высокоуровневый выполняется как по­следовательное создание объекта, чтение и запись. Остановимся на исследо­вании модели невыводимости как более сложной.

Предположим, что изначально в простейшей системе имеется два субъ­екта. Один - с высокой степенью доверия, другой - с низкой. Данные субъекты могут инициировать в системе потоки информации.

Модель невыводимости требует, чтобы низкоуровневые субъекты не по­лучали новой информации о состоянии системы, если на входе системы есть дополнительные высокоуровневые пользователи.

Для моделирования подобной ситуации используем операцию reads, считая, что она позволяет «прочитать» состояние системы. Соответственно ат­рибуты субъектов будут называться «наблюдаю работу первого субъекта», «наблюдаю работу второго субъекта» и «наблюдаю работу третьего субъекта». Пусть существует атрибут, позволяющий создавать второй субъект.

Рассмотрим модель невыводимости лишь относительно двух операции: reads (как чтение состояния субъекта) и creates (как создание субъекта).

Таким образом, в момент инициализации в системе определено два субъекта. Низкоуровневый субъект не может прочитать состояние второго субъекта и не может его создать. Первый субъект может создать другой субъ­ект.

По требованию безопасности для модели невыводимости низкоуровне­вый субъект не должен считать новую информацию при появлении на входе системы дополнительного субъекта, порожденного, например, первым субъек­том.

Тогда файл описания модели будет выглядеть следующим образом:

// info.ini

S(1, 1,1,1,1,0,0,0,0); //высокая степень доверия

S(3, 1,0,1,0,0,0,0,0); //низкая степень доверия

ATTRNAME watch_S1 IS ATTRS(1);

ATTRNAME watch_S2 IS ATTRS(2);

ATTRNAME watch_S3 IS ATTRS(3);

ATTRNAME can_create_S2 IS ATTRS(4);

RULES

READS IF(

(THISO==1 &&watch_S1[THISS])||

(THISO==2 && watch_S2[THISS]) ||

(THISO==3 &&watch_S3[THISS])

)

CREATES IF(can_create_S2[THISS])

ENDRULES

Prefile и postfile не использовались.