Учебно-методический комплекс теоретические основы компьютерной безопасности

2.1.3. Модели распространения прав доступа

В моделях распространения прав доступа проблема безопасности КС рассматривается с точки зрения анализа возможности или невозможности получения каким-либо субъектом определенных прав доступа к определенному объекту. Иначе говоря, анализируются, прежде всего, изменения прав доступа субъектов к объектам в результате некоторых обусловленных операций (переходов), а не сами процессы осуществления доступов субъектов к объектам.

2.1.3.1. Модель Харисона-Руззо-Ульмана (HRU-модель)

Основные положения модели сводятся к следующему.

1. 
   КС представляется тройкой сущностей:
   
   • 
     множеством исходных объектов O (o₁, o₂, …, o_M );
     
   • 
     множеством исходных субъектов S (s₁, s₂, …, s_N ) , при этом
     

S ⊆ O;

• 
  матрицей доступа A, каждая ячейка которой специфицирует права доступа к объектам из конечного набора прав доступа R
  

(r₁, r₂, …, r_K ), т. е. A[s, o] ⊆ R.
Права доступа r_i , размещаемые в ячейках матрицы доступа A[s, o], определяют совокупность допустимых (разрешенных) операций над объектом из полного набора возможных операций над объектами.
Заметим также, что модель HRU несколько отличается от рассмотренной в п. 1.3.2 субъектно-объектной модели КС, представляя субъектов доступа "активизированными" состояниями некоторого подмножества объектов системы (т. е. S ⊆ O), что, с одной стороны, огрубляет саму суть субъектов доступа, но, с другой стороны позволяет ввести понятие доступа субъекта к субъекту.

2. 
   Функционирование системы рассматривается исключительно с точки зрения изменений в матрице доступа. Возможные изменения определяются шестью примитивными операторами Op :
   
   • 
     Enter r into A[s,o] – ввести право r в ячейку A[s,o];
     
   • 
     Delete r from A[s,o] – удалить право r из ячейки A[s,o];
     
   • 
     Create subject s – создать субъект s (т. е. новую строку матрицы A);
     
   • 
     Create object o – создать объект o (т. е. новый столбец матрицы A);
     
   • 
     Destroy subject s – уничтожить субъект s; - Destroy object o – уничтожить объект o.
     

В результате выполнения примитивного оператора осуществляется переход КС из состояния Q = (S, O, A) в новое состояние Q'= (S',O',A').
В табл. 2.1 приведены условия и особенности изменения состояния системы под воздействием примитивных операторов.

3. 
   Состояния системы изменяются под воздействием запросов на модификацию матрицы доступа в виде команд следующего формата: