Учебно-методический комплекс теоретические основы компьютерной безопасности

p(l_t|h_{t -1}) = p(l_t ) , (2.5.5) p(h_t|l_{t -1}) = p(h_t ) , (2.5.6)
где h_t, l_t – переменные, характеризующие состояния высокоуровневых и низкоуровневых объектов в момент времени t.
Неформальная интерпретация соотношений (2.5.5) и (2.5.6) заключается в том, что на состояние высокоуровневых объектов p(h_t ) в текущий момент времени не влияет состояние (и, следовательно, информация) низкоуровневых объектов в предшествующий момент времени p(l_t ), и наоборот. Иначе говоря, разноуровневые объекты не имеют возможности влиять на последующие состояния объектов другого (не своего) уровня. Вместе с тем, анализ процессов функционирования КС показывает, что соотношения (2.5.5) и (2.5.6) являются также чрезвычайно жесткими, фактически совпадающими с требованиями полной изоляции разноуровневых сущностей. Выполнение соотношений (2.5.5) и (2.5.6) может вступать в определенных ситуациях в противоречие с требованиями обеспечения безопасности информации не только в смысле конфиденциальности, но и в смысле ее законной доступности, сохранности. В частности, для обеспечения сохранности информации в КС может использоваться журнал фиксации текущих изменений всех объектов системы с целью обеспечения возможностей восстановления информации при сбоях и разрушениях. Ясно, что данный объект должен быть высокоуровневым, а его состояние должно зависеть от информации в предшествующий момент времени как высокоуровневых, так и низкоуровневых объектов. Более того, из данного примера видно, что с точки зрения безопасности информации могут быть обоснованными и обратные ситуации, когда значение низкоуровневого объекта в текущий момент времени определено значением высокоуровневого объекта в предыдущий момент времени, в частности, при восстановлении из высокоуровневого журнала изменений КС значения низкоуровневого файла после сбоя или разрушения последнего.
Поэтому определение 2.5.5 опасных потоков в смысле информационного невмешательства смягчается более приемлемым, как с точки зрения безопасности, так и с точки зрения реальностей по обеспечению функциональности КС, следующим определением.
Определение 2.5.6. В системе присутствует информационный поток от высокоуровневых объектов к низкоуровневым, если имеется возможность накопления информации в низкоуровневых объектах о значениях высокоуровневых объектов.
С формальной стороны определение 2.5.6 означает то, что совместный анализ значений состояний низкоуровневого объекта в текущий момент времени l_t и в предшествующий l_{t -1} не давал бы никакой новой информации о состоянии высокоуровневого объекта в предыдущий момент времени h_{t -1}:
p(l_t|h_{t -1}, l_{t -1}) = p(l_t|l_{t -1}) . (2.5.7)
Нетрудно показать, что из соотношения (2.5.7) вытекает следующее равносильное соотношение:
p(h_{t -1}|l_t, l_{t -1}) = p(h_{t -1}|l_{t -1}) , (2.5.8)
которое выражает запрет обратных информационных потоков из l_t в h_{t - 1}, но и незапрещенность потоков из l_t в h_{t + 1}.
Таким образом, высокоуровневые объекты могут принимать информацию о состоянии низкоуровневых объектов в предыдущие моменты времени, что обеспечивает существенно более широкие возможности для построения функциональных КС.
На основе понятия информационных потоков в смысле информационного невмешательства по определению 2.5.6 вводится следующий критерий безопасности.
Определение 2.5.7. Система безопасна в смысле информационного невмешательства, если в ней отсутствуют информационные потоки вида, задаваемого определением 2.5.5, т. е. выполняется следующее соотношение:
p(l_t|h_t', l_t')= p(l_t|l_t') , (2.5.9)
где t, t' = 0,1,2,…, и t'< t.
Таким образом, модели информационного невмешательства и информационной невыводимости обеспечивают теоретико-методологическую базу для поиска и разработки программно-технических решений, в частности, в системах представления информации и интерфейса КС для нейтрализации скрытых каналов утечки информации.