С точки зрения модели уполномоченных субъектов система (vo,r, Ta) считается безопасной в том случае, если:

1) начальное состояние v_o и все состояния, достижимые из него путем применения конечного числа запросов из R являются безопасными по критерию Белла-ЛаПадула;

2) функция перехода T^a является авторизованной функцией перехода согласно предложенному определению.

Отметим, что из этого определения следует только необходимое условие безопасности системы. В качестве достаточного условия может использоваться совокупность критерия авторизации функции перехода и критериев безопасного состояния Белла-ЛаПадула, либо критериев безопасности функции перехода Мак-Лина.

Модель совместного доступа

Практическое применение всех представленных формулировок мандатной модели безопасности ограничено еще одним фактором — они не учитывают широко распространенные в государственных учреждениях правила, согласно которым доступ к определенной информации или модификация ее уровня безопасности могут осуществляться только в результате совместных действий нескольких пользователей (так называемый групповой доступ). Например, может потребоваться, чтобы гриф секретности документа мог изменяться только с обоюдной санкции его владельца и администратора безопасности. В системе обработки информации это может быть реализовано либо как параллельное выполнение несколькими пользователями специальной программы, изменяющей уровень безопасности, либо последовательной обработкой запроса несколькими пользователями, каждый из которых должен санкционировать его выполнение. Однако на уровне политики безопасности механизм реализации не имеет значения, поскольку он никак не отражается на формальной модели системы.

Для того, чтобы мандатная модель предусматривала совместный доступ, необходимо модифицировать ее следующим образом.

Вместо множества субъектов системы s будем рассматривать множество непустых подмножеств S, которое обозначим как S=(S)\{}. Матрица прав доступа, отражающая текущее состояние доступа в системе, расширяется путем добавления в нее строк, содержащих права групповых субъектов, и обозначим ее как M. Кроме функции уровня безопасности F:SOL для групповых субъектов вводятся дополнительные функции: F^L:SL, такая, что F^L(s) есть наибольшая нижняя граница множества {F(s)|Ss} и F^H:SL, такая, что F^H(s) есть наименьшая верхняя граница множества {F(s) | Ss}.

Например, если xS и yS с уровнями безопасности сек­ретно и совершенно секретно соответственно, то для субъекта {x}S F^H({х})=F^L({х})=секретно, для субъекта {y}S F^H({y})=F^L({y})=совершенно секретно, но для группового субъекта {x,y}S значением F^L({x,y}) являет­ся секретно, а значением F^H({х,у}) — совершенно секретно.

Соответст­венно, если право write  M[x,o₁] и право write M[{x, y},o₂], то х имеет ин­дивидуальный доступ записи в o_1; а х и у имеют групповой доступ записи в o₂, т. е. х и у могут изменять o₂, но только в том случае, если они будут делать это совместно.

Критерии безопасности состояния для такой системы формулиру­ются следующим образом:

• состояние системы является безопасным по чтению тогда и только тогда, когда для каждого индивидуального или группового субъекта, имеющего в этом состоянии доступ чтения к объекту, наибольшая нижняя граница множества уровней безопасности этого субъекта до­минирует над уровнем безопасности этого объекта: sS, oO, readM[s,o]F^L(s)F(o).

• состояние системы является безопасным по записи тогда и только то­гда, когда для каждого индивидуального или группового субъекта, имеющего в этом состоянии доступ записи к объекту, уровень безо­пасности этого объекта доминирует над наименьшей верхней границей множества уровней безопасности этого субъекта: sS, oO, writeM[s,o]F(o)F^H(s).

Как и прежде состояние безопасно тогда и только тогда, когда оно одновременно безопасно и по чтению и по записи.

Благодаря тому, что множество уровней безопасности и отношение доминирования образуют решетку, удалось задать функции, определяю­щие границы множества уровней безопасности групповых субъектов, та­ким образом, что одни условия безопасности одновременно учитывают как индивидуальные, так и совместные доступы.

Переопределим функцию перехода, которая определяет следующее состояние системы после выполнения определенным субъектом некото­рого запроса, как T:(VR)V, где T(v, r)=v*, причем в описании состоя­ния v=((F, F^H, F^L),M) и v*=((F*, F*^H, F*^L)*, M*) участвуют три функции уров­ня безопасности: F - для объектов, F^H и F^L - наименьшая верхняя и наибольшая нижняя границы для групповых субъектов.

Тогда теорема Белла-ЛаПадула для совместного доступа формули­руется следующим образом:

Система (v_o, R, T) безопасна тогда и только тогда, когда:

а) начальное состояние v_o безопасно и

б) функция перехода Т такова, что для любого состояния v, достижимого из v_o путем применения конечной последовательности запросов из R, таких,

что Т(v, r)=v^, v=((F, F^H, F^L), M) и v^ =((F^, F^H, F^{ L}), M^)

для каждого s  S и o  O выполняются следующие условия:

1. если read  M^*[s, o] и read  M [s, o], то F^*L(s)  F^*(o);

2. если read  M [s, o] и F^*L(s)  F^*(o) , то read  M^*[s, o];

3. если write  M^*[s, o] и write  M [s, o], то F^*(o)  F^*H(s);

4. если write  M [s, o] и F^*(o)  F^*H(s) , то write  M^*[s, o].

Аналогичные рассуждения можно провести и в отно­шении множественного доступа к нескольким объектам сразу (групповым объектам), когда в ходе одной операции читаются или записываются сра­зу несколько объектов. В этом случае множество объектов и матрица прав доступа расширяются аналогичным образом за счет групповых объектов, для которых вводятся аналогичные функции верней и нижней границы уровня безопасности.

Безопасная функция перехода для модели совместного доступа

Общность методов применяемых при построении мандатных моде­лей безопасности и использование математического аппарата решеток позволяют комбинировать модели практически произвольным образом.

Тот же подход, на основании которого для модели совместного доступа были сформулированы критерии безопасности состояния Белла-ЛаПадула и основная теорема безопасности, позволяет сформулировать для нее критерии безопасного перехода и теорему Мак-Лина.

Для краткости будем использовать обозначение F_s для функции уровня безопасности индивидуальных субъектов.

Значения функций F^H и F^L границ множества уровней безопасности групповых субъектов однозначно определяются уровнями безопасности составляю­щих их индивидуальных субъектов. Поэтому если в результате

перехода из од­ного состояния в другое функция уровня безопасности индивидуальных субъектов F_s осталась без изменений, из этого следует, что значения функций F^H и F^L также не изменились. С учетом этого определения можно сформулировать критерии безопасного перехода для модели с множественным доступом.

Функция перехода Т для модели совместного доступа считается безопасной по чтению, если для любого перехода T(v, r)=v*, при котором v=((F, F^H, F^L), M) и v*=((F*, F*^H, F*^L)*,M*) выполняются следующие три ус­ловия:

(1) если read  M^[s, o] и read  M [s, o] то: F^L(s) F^_o(o) и F_s= F^_s, F_o= F^_o;

(2) если F_s F^_s то: M = M*, F_o= F^_o

для  s, o для которых F^L(s)  F^_o(o) read M [s, o];

(3) если F_o F^_o то: M = M^, F_s= F^_s

для  s, o для которых F^L(s) F^_o(o) read  M [s, o].

Функция перехода T считается безопасной по записи, если для лю­бого перехода T(v, r)=v*, выполняются следующие три условия:

(1) если write  M^[s, o] и write  M [s, o] то: F^(o)  F^H(s) и F_s= F^_s, F_o= F^_o;

(2) если F_s F^_s то: M = M^, F_o= F^_o

для  s, o для которых F^H(s)  F^_o(o) write  M [s, o];

(3) если F_oF^_o то: M = M^, F_s= F^_s

для s, o для которых F^H(s)  F^_o(o) write M [s, o].

Функция перехода является безопасной тогда и только тогда, когда она одновременно безопасна и по чтению и по записи.

Смысл введенных ограничений ничем не отличается от критериев безопасности перехода для классической постановки мандатной модели, но в них учитываются совместные доступы групповых субъектов.

Следовательно, теорема Мак-Лина о свойствах безопасной системы будет верна и для модели совместного доступа, с учетом сформулированного для нее критерия безопасного перехода.