- •Теоретические основы компьютерной безопасности
- •Оглавление
- •Введение
- •Раздел 1. Вспомогательные структуры (модели), используемые в защите информации
- •1.1. Язык, объекты, субъекты
- •1.2. Иерархические модели и модель взаимодействия открытых систем (osi/iso)
- •Модель osi/iso
- •1.3. Информационный поток
- •1.4. Ценность информации
- •Mls решетка
- •1.5. Реляционные базы данных
- •Функциональная зависимость (fd)
- •Целостность в рм
- •Реляционные операторы (ро)
- •1.6. Многоуровневые реляционные базы данных
- •Классификационные ограничения
- •Состоятельность
- •Полнота классификационных ограничений
- •Проблема полиинстантинации
- •Декомпозиция mls r в стандартные базовые отношения реляционной модели
- •Раздел 2. Угрозы информации
- •2.1. Угрозы секретности
- •2.2. Угрозы целостности
- •Раздел 3. Политика безопасности
- •3.1. Определение политики безопасности
- •3.2. Дискреционная политика
- •3.3. Политика mls
- •Раздел 4. Классификация систем защиты
- •4.1. Доказательный подход к системам защиты. Системы гарантированной защиты
- •4.2. Пример гарантированно защищенной системы обработки информации
- •4.3. "Оранжевая книга"(ок)
- •Политика
- •Подотчетность
- •Гарантии
- •Политика обеспечения безопасности
- •Идентификация и аутентификация
- •4.4. О выборе класса защиты
- •Раздел 5. Математические методы анализа политики безопасности
- •5.1. Модель "take-grant"
- •5.2. Модель Белла-Лападула (б-л)
- •5.3. Модель Low-Water-Mark (lwm)
- •5.4. Модели j. Goguen, j. Meseguer (g-m)
- •5.5. Модель выявления нарушения безопасности
- •Раздел 6. Гарантированно защищенные распределенные системы
- •6.1. Синтез и декомпозиция защиты в распределенных системах
- •6.2. Анализ компонент распределенной системы
- •Раздел 7. Проблема построения гарантированно защищенных баз данных
- •7.1. Иерархический метод построения защиты
- •7.2. Гарантированно защищенные базы данных
- •Заключение
- •394026 Воронеж, Московский просп., 14.
5.3. Модель Low-Water-Mark (lwm)
Данная модель является конкретизацией модели Б-Л, а также дает пример того, что происходит, когда изменения уровня секретности объекта возможны. Политика безопасности прежняя: все объекты системы классифицированы по узлам решетки ценностей (MLS) и поток информации разрешен только "снизу вверх".
В рассматриваемой системе один объект (неактивный), три операции с объектом, включающие запросы на доступ:
read,
write,
reset.
Эти операции используются несколькими субъектами (процессами), имеющими фиксированные уровни секретности (для простоты - классы секретности образуют линейный порядок). Напомним формальное требование политики о том, что информация может двигаться только "снизу вверх". Поток информации возможен тогда и только тогда, когда реализуется доступ субъекта к объекту вида w или r. При помощи r поток считается разрешенным, если fs(S)>fo(0).
При команде w поток считается разрешенным, если субъект S не может прочитать информацию в объекте уровня fs(S)<f0(0) и записать в объект, для которого fs(S)>f0(O), причем хотя бы в одном из этих соотношений неравенство строгое (напомним, что по условию текущие уровни субъектов fc(S)=fs(S) для любого S). Из этих свойств следует, что в системе должны выполняться условия ss и *. Условие ds автоматически выполняется, так как нет ограничений на доступ кроме перечисленных.
Таким образом, условия ss в данной системе выглядят стандартно: если X=w или r, то могут быть разрешены доступы (S, 0, X) при выполнении fs(S)>f0(0).
Условие *:
если X=w, то fs(S)=f0(0),
если X=r, то fs(S)>fo(0).
Опишем функционирование системы и докажем, что выполняются условия ss и *. Уровень объекта О в LWM может меняться: при команде write может снизиться, а при команде reset подняться следующим образом. По команде reset класс объекта поднимается и становится максимальным в линейном порядке. После этого все субъекты приобретают право w, но read имеют право только субъекты, находящие на максимальном уровне решетки. При команде write гриф объекта снижается до уровня субъекта, давшего команду w. При снижении уровня секретности объекта вся прежняя информация в объекте стирается и записывается информация процессом, вызвавшем команду write. Право write имеет любой субъект, у которого fs(S)<fo(0), где f0(О) - текущий уровень объекта. Право reset имеет только тот субъект, который не имеет право write. Право read имеет любой субъект, для которого fs(S)>fo(0).Суммируем вышесказанное в следующей таблице.
Таблица 6
Операция |
Организация доступа |
Результат операции |
Read |
fs(S)>fo(0) |
Процесс S получает содержимое объекта O |
Write (данные) |
fs(S)<fo(0) |
Уровень объекта становится равным уровню S. Данные от S записываются в O. |
Reset |
fs(S)>fo(0) |
Уровень объекта устанавливается выше всех уровней процессов. |
Лемма. Для любого состояния системы LWMвыполнены условия ss и *.
Доказательство. Если fs(S)>fo(0), то r доступ S к О разрешен. Если fs(S)=fo(0), то w доступ S к О разрешен. Таким образом ss и * выполнены. Что и требовалось доказать.
Однако все рассуждения останутся теми же, если отказаться от условия, что при команде write в случае снижения уровня объекта все стирается. То есть здесь также будут выполняться условия * и ss, но ясно, что в этом случае возможна утечка информации. В самом деле, любой процесс нижнего уровня, запросив объект для записи, снижает гриф объекта, а получив доступ w, получает возможность r. Возникает канал утечки (w, r), при этом в предыдущей модели свойство * выбрано для закрытия канала ( r, w). Данный пример показывает, что определение безопасного состояния в модели Б-Л неполное и смысл этой модели только в перекрытии каналов указанных видов. Если "доверенный" процесс снижения грифа объекта работает неправильно, то система перестает быть безопасной.