4.4.2. Схема уд на основе списков доступа

4.4.2.1. Основные свойства

Основные свойства схемы УД на основе списков доступа (УДСД) сле­дующие:

1. УД обеспечивается с помощью перечня (списка) пар (определитель инициа­тора, определитель процедуры), являющегося ВИУД, привязанной к целевому объекту, и с помощью идентификаторов пользователя, группы или ролевого объекта, являющихся ВИУД, привязанной к инициатору;

2. этот класс схем УД является наиболее приемлемым там, где требуется очень точная детализация УД;

3. этот класс схем УД является наиболее приемлемым там, где имеет место не­сколько инициаторов или групп инициаторов;

4. этот класс схем УД является наиболее приемлемым для аннулируемого дос­тупа к целевому объекту или группе целевых объектов;

5. этот класс схем УД является наиболее приемлемым там, где обеспечение УД осуществляется скорее на основе модели обеспечения доступа к каж­дому целевому объекту, чем на основе модели предоставления доступа каждому инициатору;

6. этот класс схем УД является не приемлемым там, где совокупность пользо­вателей или группы инициаторов изменяются очень часто, но наи­более приемлем там, где группы целевых объектов являются динамиче­скими.

4.4.2.2. Виуд

ВИУД, привязанная к инициатору. Основой ВИУД, привязанной к ини­циатору, в УДСД является идентификатор пользователя, группы или ролевого объекта.

ВИУД, привязанная к целевому объекту. Основой ВИУД, привязанной к целевому объекту, в УДСД является список (перечень) УД. Список (перечень) УД представляет собой набор или последовательность записей. Каждая запись содержит два поля:

1. определитель инициатора. В простом списке УД определитель представ­ляет собой УИД инициатора, для которого представлен определитель операции (процедуры). Однако, определитель инициатора может быть менее специфическим и представлять собой более общую ВИУД об ини­циаторе, например, его роль или членство в группе;

2. определитель операции (процедуры). Он определяет процедуры или классы процедур (в запросе доступа), которые разрешены или запрещены для конкретного определителя инициатора.

(Примечание. Кроме процедур или классов процедур могут налагаться ог­раничения на параметры объекта процедуры (операнда) с целью уточнения усло­вий предоставления доступа.)

4.4.2.3. Способы обеспечения

Для получения ВИУД, привязанной к инициатору, из которой в дальней­шем извлекается необходимая для средства принятия решения о предоставле­нии доступа ВИПР могут использоваться следующие два способа:

1. использование аутентификации. Если УД основано на параметре подлинно­сти инициатора (пользователя), то подлинность такого пара­метра может быть подтверждена с помощью процедуры аутентификации, либо непосредственно, либо косвенно.

Если УД основано на групповом параметре подлинности или параметре подлинности ролевого объекта, то аутентифицированным параметром подлинности является параметр, содержащийся в средстве запроса ВИУД, привязанной к инициатору, которое используется для получения достоверных данных о группе или ролевом объекте;

2. использование СЕРТ|УД или маркеров УД. Инициатор получает СЕРТ|УД или маркер УД (или оба) с использованием средства запроса ВИУД. Такой СЕРТ|УД или маркер УД в дальнейшем является «привяз­кой» к запросу доступа, сгенерированному инициатором с использова­нием средства формирования ВИУД, привязанной к запросу доступа. И в заключении, СЕРТ|УД или маркер УД проверяется ФПРР-модулем с ис­пользованием средства проверки привязанной ВИУД и извлечения ВИПР.

Доступность УЦ, указанного в СЕРТ|УД, или инициатора в случае мар­кера УД определяется в рамках процедуры проверки привязанной ВИУД и извлечения ВИПР.

ВИПР об инициаторе (например, идентификаторы пользователей, групп пользователей или ролевых объектов), ВИПР о запросе доступа и ВИПР о целе­вом объекте (например, определитель запроса доступа) являются параметрами, используемыми средством принятия решения о предоставлении доступа. Ис­пользуя приемлемый алгоритм сравнения, извлечённые из запроса доступа ВИПР об инициаторе и тип процедуры (операции) сравниваются с каждой за­писью (определитель инициатора, определитель запроса доступа) в списке (пе­речне) УД. Решение о предоставлении доступа принимается на основе резуль­татов сравнения. Если обнаружено, что доступ запрещён, или сравнение вы­явило несовпадение, то принятое решение указывает на то, что в доступе отка­зано. В противном случае, принятое решение указывает на то, что доступ мо­жет быть предоставлен.