Учебно-методический комплекс теоретические основы компьютерной безопасности

FС: S ∪ O → P (S) называется отображение множества сущностей КС (субъектов и объектов) на подмножество уполномоченных субъектов.
Заметим, что в общем виде функция FС задается не однозначным отображением¹ и определяет тем самым в системе с уполномоченными субъектами для каждого объекта или субъекта одного или нескольких субъектов, которым разрешено изменять уровни безопасности соответствующих сущностей.
Реализация системы с уполномоченными субъектами требует изменения также и функции перехода системы, а именно, ее авторизации.
Определение 2.2.12. Функция перехода FT ^А : (S x V x Q) → V в системе с уполномоченными субъектами Σ(v₀ , Q, FT^А) называется авторизованной тогда и только тогда, когда для каждого перехода t^А(s, v, q) = v*, при котором v = (FT, A) и v* = (FT*, A*), выполняется следующее условие:
∀ x ∈ S ∪O : если F_L*(x) ≠ F_L(x), то x ∈ P (S) .
Аппарат уполномоченных субъектов на основе определений 2.2.10, 2.2.11 и 2.2.12 разрешает неопределенность процессов изменения уровней безопасности сущностей системы в абстрактной модели Белла-ЛаПадулы и позволяет разработчикам специфицировать и строить реальные КС с мандатным принципом разграничения доступа.
Вместе с тем, введение уполномоченных субъектов не обеспечивает автоматически всех условий и ограничений безопасности, а только лишь специфицирует процесс изменения уровней безопасности сущностей системы. Следовательно, вопросы безопасности функционирования системы с уполномоченными субъектами должны в достаточном отношении рассматриваться с точки зрения дополнительных условий, определяемых ОТБ и теоремой МакЛина (по безопасной функции перехода).
Более того, внимательный анализ идеологии уполномоченных субъектов показывает наличие внесения в процессы безопасности субъективного фактора. Доверенные субъекты, изменяя уровни безопасности субъектов и объектов системы, должны действовать корректно, к примеру, снижать гриф секретности объекта, когда из него удалена вся информация более высокого уровня и т. п.
Очевидно, как некая альтернатива уполномоченным субъектам, избавляющая процессы безопасности от субъективного фактора, была предложена мандатная модель Low-Waterмark (LWM).
Неформальное выражение существа модели LWM сводится к следующему. Если по определенным соображениям субъектам нельзя отказывать в доступе write к любым объектам системы, то для исключения опасных информационных потоков "сверху вниз", т. е. от сущностей с высоким уровнем безопасности к сущностям с более низким уровнем безопасности, необходимо дополнить определенными правилами операцию write и ввести дополнительную операцию reset.
Если субъекту требуется внести информацию в объект с более низким, чем у субъекта, уровнем безопасности (что запрещено правилом NWD), то субъект может подать команду reset, в результате которой уровень безопасности объекта автоматически повышается до максимального уровня безопасности в системе. В результате операции reset объект согласно правилу NWD становится доступным по записи (в том числе и для всех других субъектов системы). При этом, однако, опасности перетекания информации "сверху вниз" не создается, так как по чтению система как прежде, так и в дальнейшем руководствуется безопасным правилом NRU.
Нетрудно увидеть, что данный порядок порождает тенденцию деградации (огрубления) системы разграничения доступа, при которой все объекты через какое-то время могут получить высшие грифы секретности и, соответственно, стать недоступными по чтению для всех субъектов, не обладающих высшим уровнем доверия. Поэтому в модели LWM операция write дополняется следующим условием. Если в результате операции write в объект реально вносится информация и уровень безопасности объекта строго выше уровня безопасности субъекта, то перед внесением в объект информации вся прежняя информация из него удаляется (стирается), а по окончании операции записи уровень безопасности объекта автоматически понижается до уровня безопасности субъекта.
В модели LWM доказывается, что введение операции reset и видоизмененной операции write оставляет систему безопасной в смысле критерия безопасности Белла-ЛаПадулы.
От себя заметим, что более логичным, но в определенном смысле зеркальным по отношению к модели LWM, мог бы быть подход, при котором субъектам разрешается производить запись в объекты с более низким уровнем безопасности при условии того, что при завершении операции уровень безопасности объекта автоматически повышается до уровня безопасности субъекта. При этом возможность опасных потоков "сверху вниз" также как и в модели LWM нейтрализуется.
Еще однимрасширением модели Белла-ЛаПадулы, имеющим важное прикладное значение, является введение методологии и техники совместного (группового) доступа.
Как уже отмечалось, политика и, соответственно, модели мандатного доступа основываются на принципах, заимствованных из правил и системы секретного делопроизводства, принятых во многих странах, в частности в США. Одним из таких правил, является то, что некоторые наиболее критичные с точки зрения безопасности процессы, например, изменение уровня конфиденциальности документов, осуществляются путем совместных действий (одновременных или последовательных) нескольких работников – исполнителя (владельца) документа и руководителя (администратора).
Подобные приемы усиления безопасности применяются и в других сферах, например в бухгалтерии, где критичные операции приема/выдачи финансовых средств осуществляются совместными действиями кассира и контроллера, каждый из которых подписывает или заверяет соответствующий платежный документ. Еще одним из подобных правил является порядок доступа к индивидуальным ячейкам-хранилищам клиентов банков, когда для их открытия требуется одновременно два ключа – один от клиента, другой от служащего (администратора) банка.
Для реализации технологии совместного доступа в мандатной модели добавляется функция группового доступа.
Определение 2.2.13. Функцией группового доступа FG: S → P (S) \ ∅ называется отображение множества субъектов КС S на множество непустых подмножеств субъектов S_G = P (S) \ ∅, каждое из которых образует групповой субъект доступа s_G ∈ S_G.
На этой основе в матрице доступа A[s,o] системы добавляются строки, соответствующие субъектам группового доступа.
Помимо дополнения матрицы доступа системы групповыми субъектами, требуется также разработка механизмов реализации для них правил мандатного доступа, т. е. правил NRU и NWD, имея ввиду то, что в состав подмножества субъектов, образующих субъект группового доступа, могут входить субъекты с различным уровнем безопасности. С этой целью вводятся дополнительные функции уровней безопасности субъектов группового доступа.
Определение 2.2.14. Функцией уровня безопасности F_L^L: S_G→ L называется однозначное отображение множества субъектов группового множества S_G во множество уровней безопасности L решетки Λ такое, что F_L^L(s_G) является наибольшей нижней границей уровней безопасностей для множества субъектов s, входящих в s_G .
Определение 2.2.15. Функцией уровня безопасности F_L^H: S_G→ L называется однозначное отображение множества субъектов группового множества S_G во множество уровней безопасности L решетки Λ такое, что F_L^H(s_G) является наименьшей верхней границей уровней безопасностей для множества субъектов s, входящих в s_G .
Введение функций F_L^L и F_L^H дает возможность переопределить критерий безопасности (определения 2.2.4, 2.2.5 и 2.2.6) исходной модели мандатного доступа Белла-ЛаПадулы.
Определение 2.2.16. Состояние системы называется безопасным по чтению тогда и только тогда, когда для каждого индивидуального или группового субъекта, осуществляющего в этом состоянии доступ чтения к объекту, уровень безопасности, задаваемый функцией F_L для индивидуального субъекта или функцией F_L^L для группового субъекта, доминирует над уровнем безопасности объекта.
Определение 2.2.17. Состояние системы называется безопасным по записи тогда и только тогда, когда для каждого индивидуального или группового субъекта, осуществляющего в этом состоянии доступ записи к объекту, уровень безопасности объекта доминирует над уровнем безопасности субъекта, задаваемого функцией F_L для индивидуального субъекта или функцией F_L^H для группового субъекта.
Иными словами, доступ по чтению для групповых субъектов безопасен тогда, когда самый низший уровень безопасности из множества индивидуальных субъектов, образующих групповой субъект, выше или равен уровню безопасности объекта чтения. Доступ по записи для групповых объектов безопасен тогда, когда самый высокий уровень безопасности из всех индивидуальных субъектов, входящих в групповой субъект, ниже или равен уровню безопасности объекта записи.
Остальные условия безопасного функционирования системы с субъектами группового доступа задаются условиями соответствующих теорем (ОТБ или теоремы МакЛина).
Таким образом, расширения модели Белла-ЛаПадулы обеспечивают устранение многих недостатков исходной модели, и, кроме того, могут комбинироваться для обеспечения более реализуемых на практике спецификаций политики мандатного доступа в реальных КС.
Тем не менее, расширения модели Белла-ЛаПадулы не снимают всех недостатков мандатного доступа. В частности, как уже указывалось, мандатный доступ снимает проблему "троянских программ", но только с точки зрения опасных потоков "сверху вниз". Однако в пределах одного класса безопасности, вопросы доступа решаются, как и в дискреционных моделях, на основе матрицы доступа, и, следовательно, для полного устранения проблемы "троянских программ" и в системах мандатного доступа требуется более тщательный и детализированный контроль информационных потоков, в том числе механизмов ИПС.