3. Математические модели мандатной политики управления доступом

Мандатная модель управления доступом основана на правилах сек­ретного документооборота, принятых в государственных и правительст­венных учреждениях многих стран. Основным положением политики Белла-ЛаПадулы, взятым ими из реальной жизни, является назначение всем участникам процесса обработки защищаемой информации, и доку­ментам, в которых она содержится, специальной метки, например, сек­ретно, сов. секретно и т. д., получившей название уровня безопасности. Все уровни безопасности упорядочиваются с помощью установленного отношения доминирования, например, уровень сов. секретно считается более высоким чем уровень секретно, или доминирует над ним. Контроль доступа осуществляется в зависимости от уровней безопасности взаимо­действующих сторон на основании двух простых правил:

1. Уполномоченное лицо (субъект) имеет право читать только те документы, уровень безопасности которых не превышает его собственный уровень безопасности.

2. Уполномоченное лицо (субъект) имеет право заносить информа­цию только в те документы, уровень безопасности которых не ниже его собственного уровня безопасности.

Первое правило обеспечивает защиту информации, обрабатывае­мой более доверенными (высокоуровневыми) лицами, от доступа со сто­роны менее доверенных (низкоуровневых). Второе правило (далее становится очевидным, что оно более важное) предотвращает утечку информации (созна­тельную или несознательную) со стороны высокоуровневых участников процесса обработки информации к низкоуровневым.

Таким образом, если в дискреционных моделях управление досту­пом происходит путем наделения пользователей полномочиями осущест­влять определенные операции над определенными объектами, то мандат­ные модели управляют доступом неявным образом — с помощью назна­чения всем сущностям системы уровней безопасности, которые опреде­ляют все допустимые взаимодействия между ними. Следовательно, ман­датное управление доступом не различает сущностей, которым присвоен одинаковый уровень безопасности, и на их взаимодействия ограничения отсутствуют. Поэтому в тех ситуациях, когда управление доступом требу­ет более гибкого подхода, мандатная модель применяется совместно с какой-либо дискреционной, которая используется для контроля за взаи­модействиями между сущностями одного уровня и для установки допол­нительных ограничений, усиливающих мандатную модель.

Система в модели безопасности Белла-ЛаПадулы, как и в моде­ли Харрисона-Руззо-Ульмана, представляется в виде множеств субъектов S,

объектов О (множество объектов включает множество субъектов, S  O) и прав доступа геаd (чтение) и write (запись). В мандатной модели рас­сматриваются только эти два вида доступа, и, хотя она может быть рас­ширена введением дополнительных прав (например, правом на добавле­ние информации, выполнение программ и т.д.), все они будут отобра­жаться в базовые (чтение и запись). Использование такого жесткого подхо­да, который не позволяет осуществлять гибкое управление доступом, можно объяснить тем, что в мандатной модели контролируются не операции, осущест­вляемые субъектом над объектом, а потоки информации, которые могут быть только двух видов: либо от субъекта к объекту (запись), либо от объ­екта к субъекту (чтение).

Уровни безопасности субъектов и объектов задаются с помощью функции уровня безопасности F:SOL. Эта функция ставит в соответствие каждому объекту и субъекту уровень безопасности, принадлежащий мно­жеству уровней безопасности L, т.е. множеству, на котором определена решетка.

Решетка уровней безопасности.

Решетка уровней безопасности  - это формальная алгебра (L, , , ),

где L – базовое множество уровней безопасности, а оператор  определяет частичное нестрогое отношение порядка для элементов этого множества, т.е. оператор  - антисимметричен, транзитивен и рефлексивен.

Отношение оператора  на L:

1. рефлексивно, если  а  L: а  а;

2. антисимметрично, если  а₁, а₂  L: (а₁  а₂  а₂ а₁) а₁=а₂;

3. транзитивно, если а₁, а₂, а₃  L: (а₁а₂  а₂а₃) а₁ а₃.

Другое свойство решетки состоит в том, что для каждой пары а₁ и а₂ элементов множества L можно указать единственный элемент наименьшей верхней границы и единственный элемент наибольшей нижней границы.

Эти элементы также принадлежат L и обозначаются с помощью операторов  и  соответственно:

а₁  а₂ = а  а₁, а₂  а   а^{`</sup>  L: (а<sup>`} а)(а^{`</sup> а<sub>1</sub>  а<sup>`} а₂)

а₁  а₂ = a  a  а₁, а₂   а^{`</sup>  L: (а<sup>`} а₁  а^{`</sup> а<sub>2</sub>)(а<sup>`} а)

Смысл этих определений заключается в том, что для каждой пары элементов (или множества элементов, поскольку операторы  и  транзитивны) всегда можно указать единственный элемент, ограничивающий ее сверху или снизу таким образом, что между ними и этим элементом не будет других элементов.

Функция уровня безопасности F назначает каждому субъекту и объекту некоторый уровень безопасности из L, разбивая множество сущностей системы на классы, в пределах которых их свойства с точки зрения модели безопасности являются эквивалентными. Тогда оператор  определяет направление потоков информации, то есть, если F(A)  F(B), то информация может передаваться от элементов класса А элементам класса В.

Для описания отношения доминирования на множестве уровней безопасности в модели Белла-ЛаПадулы используется решетка.

Если информация может передаваться от сущностей класса А к сущностям класса В, а также от сущностей класса В к сущностям класса А, то классы А и В содержат одноуровневую информацию и с точки зрения безопасности эквивалентны одному классу (АВ).

Поэтому для удаления избыточных классов необходимо, чтобы отношение  было антисимметричным.

Если информация может передаваться от сущностей класса А сущностям класса В а также от сущностей класса В к сущностям класса С, то очевидно, что oна будет также передаваться от сущностей класса А к сущностям класса С. Таким образом, отношение  должно быть транзитивным.

Так как класс сущности определяет уровень безопасности содержащейся в ней информации, то все сущности одного и того же класса содержат с точки зрения безопасности одинаковую информацию. Следовательно, нет смысла запрещать потоки информации между сущностями одного и того же класса.

Более того, из чисто практических соображений нужно предусмотреть возможность для сущности передавать информацию самой себе. Следовательно, отношение  должно быть рефлексивным.

Можно показать, что для любого множества сущностей должны существовать единственная наименьшая верхняя и наибольшая нижняя границы множества соответствующих им уровней безопасности.

Для пары сущностей x и y, обладающих уровнями безопасности а и b соответственно, обозначим наибольший уровень безопасности их комбинации как (а  b), при этом а  (а  b) и b  (а  b).

Тогда, если существует некоторый уровень с такой что а  с и b c, то должно иметь место отношение (а  b)  с, так как (а  b) – это минимальный уровень субъекта, для которого доступна информация как из x так и из y.

Следовательно, (а  b) должен быть наименьшей верхней границей а и b. Аналогично обозначим наименьший уровень безопасности комбинации сущностей x и у как (аb), при этом (аb)  а и (аb)  b. Тогда, если существует некоторый уровень с такой, что cа и cb, то должно иметь место отношение с(аb), поскольку (аb) — это максимальный уровень субъекта, для которого разрешена передача информации как в х, так и в у. Следовательно, (аb) должен быть наибольшей нижней границей а и b.

Использование решетки для описания отношений между уровнями безопасности позволяет использовать в качестве атрибутов безопасности (элементов множества L) не только целые числа, для которых определено отношение "меньше или равно", но и более сложные составные элементы. Например, в государственных организациях достаточно часто в качестве атрибутов безопасности используется комбинация, состоящая из уровня безопасности, представляющего собой целое число, и набора категорий из некоторого множества. Такие атрибуты невозможно сравнивать с помо­щью арифметических операций, поэтому отношение доминирования  определяется как композиция отношения "меньше или равно" для уровней безопасности и отношения включения множеств  для наборов категорий. Причем сказывается на свойствах модели, поскольку отно­шения "меньше или равно" и "включение множеств" обладают свойства­ми антисимметричности, транзитивности и рефлексивности, и, следова­тельно, их композиция также будет обладать этими свойствами, образуя над множеством атрибутов безопасности решетку. Точно также можно использовать любые виды атрибутов и любое отношение частичного по­рядка, лишь бы их совокупность представляла собой решетку.