Рассмотрим вопросы безопасности системы.

Все системы защиты должны строиться на основе определенных математических моделей, с помощью которых должно быть теоретически обосновано соответствие системы защиты требованиям заданной политики безопасности. И это является требованием большинства критериев оценки защищенности АС.

Очевидно, что необходим алгоритм, который бы осуществлял проверку соответствия системы защиты требованиям заданной политики безопасности.

Однако, как показывают результаты анализа модели HRU, задача построения алгоритма проверки безопасности сис­тем, реализующих дискреционную политику разграничения прав доступа, не может быть решена в общем случае.

Рассмотрим некоторые теоретические положения, подтверждающие необходимость отыскания такого алгоритма.

Определение 1. Будем считать, что возможна утечка права r R в результате выполнения команды с, если при переходе системы в состояние Q' выполняется примитивный оператор, вносящий г в элемент матрицы доступов М, до этого г не содержавший.

Определение 2. Начальное состояние Q₀ называется безопасным по отношению к некоторому праву г, если невозможен переход системы в такое состояние Q, в котором может возникнуть утечка права г.

Определение 3. Система называется монооперационной, если каж­дая команда выполняет один примитивный оператор.

Рассмотрим теорему о существовании некоторого алгоритма, проверяющего исходное состояние монооперационной системы и безопасность исходного состояния этой системы относительно права доступа r

Теорема 1. Существует алгоритм, который проверяет, является ли исходное состояние монооперационной системы безопасным для данного права r.

Приведем доказательство этого положения.

Для доказательства достаточно показать, что чис­ло последовательностей команд системы, которые следует проверить, ограничено.

В этом случае алгоритм проверки безопасности является алгоритмом тотального перебора всех последовательностей команд системы и проверки конечного состояния для каждой из них на отсутствие утечки права г.

Несколько замечаний:

1. Нет необходимости в последовательно­стях команд системы рассматривать команды "удалить" и "уничтожить", так как требуется, чтобы алгоритм проверял наличие права доступа r, а не его отсутствие.

2. Нет необ­ходимости рассматривать последовательности команд, содержащих бо­лее одного примитивного оператора "создать", так как все последовательности команд, которые проверяют или вносят права доступа в новые элементы матрицы доступов М, могут быть простой заменой параметров представлены последовательностями, которые действуют с существующими субъектами и объектами.

3. Надо сохранить одну ко­манду создания субъекта на случай, если начальное состояние системы Q_o=(S, О, М) и S =0.

В результате нам надо рассматривать только те последовательности команд, которые содержат только примитивные операторы “внести” и максимум один примитивный оператор “создать” субъект.

Число различных операторов "внести" равно n =|R|(|S_o|+1)(|O_o|+1).

Так как порядок операций "внести" в последовательности команд не важен, то с учетом одной операции "создать" число последовательностей команд ограничено величиной 2ⁿ⁺¹.

Теорема 2. Задача проверки безопасности произвольных систем алгоритмически неразрешима.

Для доказательства этой теоремы можно воспользоваться фак­том, доказанным в теории машин Тьюринга:

не существует алгоритма проверки для произвольной машины Тьюринга и произвольного начально­го слова остановится ли машина Тьюринга в конечном состоянии или нет.

Под машиной Тьюринга понимается способ переработки слов в ко­нечных алфавитах. Слова записываются на бесконечную в обе стороны ленту, разбитую на ячейки.

Обозначим элементы и команды машины Тьюринга:

A={a₀,a₁,...,a_m} - внешний алфавит, где а₀= -пустой символ;

Q={q₀,q₁,..., q_k}- внутренний алфавит, где q₁- начальное состояние,

q₀- конечное состояние;

D={r,l, e} - множество действий,

где: г- шаг вправо управляющей головки, l - шаг влево, е - управляющая головка не перемещается;

С: QAQAD - функция, задающая команды машины Тьюринга.

Например:

Запись С(q_i0,а_i0) = (q_i1, a_i1, d) означает, что когда машина находится в состоянии q_i0 и управляющая головка указывает на ячейку ленты, содер­жащую символ а_i0, то выполняется шаг машины, в результате которого в эту ячейку записывается символ а_i1, машина переходит в состояние q_i1, a управляющая головка смещается по ленте согласно действию d. .

Для того чтобы воспользоваться указанным выше фактом, необходимо предста­вить все элементы и команды машины Тьюринга в виде элементов и ко­манд модели HRU.

Пусть машина Тьюринга выполнила некоторое количество шагов.

Пронумеруем все ячейки, которые прошла считывающая головка (включая и те, в которые была изначально занесена информация)

Для нумерации ячеек используем числа от 1 до п.

Тогда (a_s1,..., a_sn) - заполнение ленты, где , a_si A, s_i {0,1,.... m}

для i=1,...,n.

Допустим, что считывающая головка указывает на ячейку с номером

i {1, ...,п}, содержащую символ а_it А, где i_t {0,1,.... m}, состояние машины в этом случае q_ij Q, где ij {1,..., k}, и должна быть выполнена команда

С(q_ij, а_it) = (q_ij, а_it, d),

где: q_ij Q, a_it A, i_t {0,1, ...,m}, i_j' {1,....k}, d D

Каждой ячейке ленты машины Тьюринга поставим в соответствие субъекта рассматриваемой нами модели HRU, при этом будем считать, что

О = S = {s _i,.... s_n}.

Зададим матрицу дос­тупов М в текущем состоянии.

Пусть:

множество прав доступа R = QA{own} и

в матрицу доступов внесены права:

• a_sj M[S_j, S_j] для j =1,....n - заполнение ленты;

• own М[s_j, s_/+i] для j =1,.... n-1 - упорядочивание субъектов,

соответ­ствующих ячейкам ленты;

• q_ij M[s_i, s_i,] - управляющая головка указывает на ячейку с номером i.

В результате, некоторому текущему состоянию машины Тьюринга будет соответствовать матрица доступов М модели HRU следующего вида:

S₁ S₂ S₃ ... S_i ... S_n-1 S_n

S1 S2 S3 ... Si ... Sn-1 Sn	as1	own
		as2	own
			as3
					asi ,qij
							asn-1	own
								asn

Для каждой команды машины Тьюринга C(q_ij, а_it) = (q_ij, а_it, d) зададим соответствующую ей команду cd (q_ij, a_it, q_ij; а_it) модели HRU.

Если d = е,

то command ce(q_ij, a_it, q_ij; а_it) ;

if (q_ij M[s, s]) and {а_it M[s, s]) then "удалить" право q_ij из M[s,s];

"удалить" право а_it из M[s, s];

"внести" право q_ij - в M[s,s];

"внести" право а_it в M[s, s];

end;

Если d=r, то необходимо указать две команды cr1(q_ij, а_it, q_ij', a_it)

и cr2(q_ij, а_it, q_ij', a_it),

где:

cr1(q_ij, а_it, q_ij', a_it) - считывающая головка не указывает на самую крайнюю правую ячейку ленты;

cr2(q_ij, а_it, q_ij', a_it) - считывающая головка указывает на самую крайнюю правую ячейку ленты.

Запишем теперь соответствующие этим командам машины Тьюринга команды модели HRU в следующем виде:

command cr1 (q_ij, а_it, q_ij', a_it)

if {q_ij M[s, s]) and (a_it M[s, s]) and (own M[s, s']) then

"удалить" право q_i,j из M[s,s];

"удалить" право а_it из M[s, s];

"внести" право а_it в M[s,s],

"внести" право q_ij в M[s',s'];

end;

command сг2(q_ij, а_it, q_ij', a_it)

if(q_ij M[s, s]) and (а_it M[s, s]) and (not ( s' S: own M[s, s])) then

"удалить" право q_ij из M[s, s];

"удалить" право а_it из M[s, s];

"внести" право а_it в M[s,s];

"создать" субъект s';

"внести" право own в M[s,s'];

"внести" право а_o в M[s',s'];

"внести" право q_ij в M[s',s'];

end;

Если d=l, то также указываются две команды:

- команда cl1(q_ij, а_it, q_ij, а_it.), - считывающая головка не указывает на самую крайнюю левую ячейку ленты;

- команда cl2 (q_ij, а_it, q_ij, а_it.) - считывающая головка не указывает на самую крайнюю левую ячейку ленты.

Запишем теперь соответствующие этим командам машины Тьюринга команды модели HRU аналогично командам:

command cr1 (q_ij, а_it, q_ij', a_it), command сг2(q_ij, а_it, q_ij', a_it).

Если машина Тьюринга останавливается в своем конечном состоя­нии q_o, то в соответствующей системе, построенной на основе модели HRU, происходит утечка права доступа q_o.

Из алгоритмической неразре­шимости задачи проверки - остановится ли машина Тьюринга в конечном состоянии, - следует аналогичный вывод для задачи проверки безопасно­сти соответствующей ей системы модели HRU.

Таким образом, в общем случае для систем дискреционного разграничения доступа, построенных на осно­ве модели HRU, задача проверки безопасности алгоритмически неразре­шима.

Рассмотренные выше теорема 1 и теорема 2 определяют два пути вы­бора систем защиты.

С одной стороны, общая модель HRU может выра­жать большое разнообразие политик дискреционного разграничения дос­тупа, но при этом не существует алгоритма проверки их безопасности.

С другой стороны, можно использовать монооперационные системы, для которых алгоритм проверки безопасности существует, но данный класс систем по мнению специалистов в области безопасности информации является слишком узким.

Очевидно, что монооперационные системы не могут выразить политику, дающую субъектам права на созданные ими объекты, так как не существует одной операции, которая и создает объект, и помечает его как принадлежащий создающему субъекту одновременно.

Дальнейшие исследования модели HRU велись в основном в на­правлении определения условий, которым должна удовлетворять систе­ма, чтобы для нее задача проверки безопасности была алгоритмически разрешима.

Так, в 1976 г. было доказано, что эта задача разрешима для систем, в которых нет операции "создать".

В 1978 г. Было показано, что таковыми могут быть системы монотонные и моноусловные, т.е. не со­держащие операторов "уничтожить" или "удалить" и имеющие только ко­манды, части условия которых имеют не более одного предложения.

В том же 1978 году было показано, что задача безопасности для систем с конеч­ным множеством субъектов разрешима, но вычислительно сложна.