22. Модель Кларка-Вилсона: область применения, цели, описание. Сравнение модели Кларка-Вилсона и модели Биба, композиция моделей.

Созданию этой модели, которая известна как КВМ, способствовал анализ методов управления коммерческими организациями целостностью своих бумажных ресурсов в неавтоматизированном офисе, то есть был рассмотрен ряд хорошо известных методов учета и сделана попытка распространения их на случай компьютерных приложений. Получившаяся модель целостности представляет собой руководство разработчикам и проектировщикам компьютерных систем для обеспечения целостности определенных вычислительных ресурсов.

Модель Кларка—Вилсона можно применять при проектировании защищенных систем для спецификации поведения пользовательских приложений.

Основой для модели являются транзакции, состоящие из последовательности операций, переводящих систему из состояния в состояние. Было замечено, что для обеспечения корректности работы системы надо поручать выполнение операций, составляющих транзакцию, нескольким субъектам, поддерживая за счет этого принцип разделения обязанностей.

Объекты в модели представлены в виде конечного множества D (данных), которое включает все наборы данных в компьютерной системе.

Чтобы различать данные, обладающие и не обладающие целостностью, разделили D на два непересекающиеся подмножества:

1. ограниченные элементы данных (constrained data items, CDI), целостность которых контролируется

2. неограниченные элементы данных (unconstrained data items, UDI), целостность которых не контролируется.

При этом:

D = CDI ∪  UDI;

CDI ∩ UDI = Ø.

Субъекты включены в модель как множество компонентов, которые могут инициировать правильно сформированные транзакции, так называемые процедуры преобразования (transformation procedure, TP).  TP – любая ненулевая последовательность элементарных действий субъекта над данными.

В модели также определено понятие процедуры утверждения целостности (integrity verification procedure, IVP). IVP – средство доказательства целостности CDI.

Модель Кларка—Вилсона – набор из девяти правил.

1.       В системе должны иметься IVP, подтверждающие целостность любого CDI.

2.       Применение любой TP к любому CDI должно сохранять целостность этого CDI.

3.       Только TP может вносить изменения в CDI.

4.       Субъекты могут инициировать только определенные TP над определенными CDI.

5.       КВМ - тройки ((s,t,d), s - субъект, может применить TP t к CDI d) должны проводить политику разделения обязанностей субъектов.

6.       Некоторые специальные TP могут превращать UDI в CDI.

7.       Каждое применение TP должно регистрироваться в специальном CDI, в который может производиться только добавление информации, достаточной для восстановления картины о работе системы.

8.       Система должна распознавать субъекты, пытающиеся инициировать TP.

9.       Система должна разрешать производить изменения в списках авторизации только специальным субъектам (например, админам).

Сравнение модели Кларка-Вилсона и модели Биба.

В сравнении с моделью Биба модель Кларка—Вилсона имеет два уровня целостности — уровень CDI и уровень UDI для объектов, и уровень, использующий TP и не использующий TP для субъектов. В модели Кларка—Вилсона, в отличие от модели Биба, определены процедуры подтверждения целостности объектов и процедур повышения целостности объектов (в модели Биба это может быть определено только с использованием доверенных субъектов).

Объединение моделей безопасности.

Есть два подхода к этому вопросу.

1. Различные модели могут быть выражены одной универсальной структурой так, что их правила работают в пределах одной модели безопасности. Обычно для этого требуется создание весьма общей структуры, которая будет достаточно полна для описания всех концепций различных моделей. Так, например, если модель Белла и Лападула и модель Биба используются при разработке одной системы, то первым шагом будет объединение этих двух моделей в одну новую модель, которая будет охватывать их необходимые элементы.

2. Модели могут использоваться отдельно, и может быть проведен неформальный анализ соответствующих подходов к реализации каждой модели. Это позволит сохранять независимость между отдельными моделями и произвольно объединять модели в зависимости от различных требований системы. Так, например, если модели Белла и Лападула и модель Биба используются при разработке одной системы, необходимо рассмотреть соответствующие реализации этих моделей, чтобы определить возможность их объединения.

Модель Биба + Модель Кларка-Вилсона

Модель Биба защищает высокоуровневые данные от низкоуровневых субъектов, но не защищает от атак в пределах уровня целостности=> дополним механизмами защиты из модели К-В. Будем рассматривать каждый уровень целостности, как уровень, состоящий из субъектов и объектов, интерпретируемых как CDI=>для субъектов определяем отношения КВМ-троек, TP и CDI в пределах каждого уровня целостности.