Теоретические сведения

Модель, основанная на типизированной матрице доступа

Безопасности систем использующих Модель Харрисона-Руззо-Ульма­на серьезно ограничена уязвимостью дискреционного управления доступом для троянских коней. Это обстоятельство привело к созданию модели, осно­ванной на типизированной матрице доступа (ТАМ - Type Access Matrix). Суть нововведения - дополнение модели Харрисона - Руззо - Ульмана сильной ор­ганизацией типов, которая обеспечивает определенную защиту от подобных угроз.

Ключевым понятием ТАМ являются типы безопасности (или типы). Каждый элемент ТАМ (т.е. субъект или объект) создается с конкретным типом, который впоследствии не меняется. Это и называют сильной организацией типов субъектов и объектов.

Первым этапом в определении системы ТАМ является определение прав доступа и типов:

Определение 1. Существует конечное множество R прав доступа.

Определение 2. Существует конечное множество Т типов объекта. Суще­ствует множество T_s типов субъекта, T_s Т.

Типы и права определяются при инициализации системы, и в дальней­шем Т и R не изменяются. Например, T={user, so, file} указывает, что в системе существует три типа: «пользователь», «служащий безопасности» и «файл», и, скажем, Т_s = {user, so). Примером прав будет R={r, w, e, о}, соответственно обо­значающие «чтение», «запись», «выполнение» и «владение».

В ТАМ распределение прав в системе реализуется с помощью матрицы доступа. Матрица имеет строку для каждого субъекта и столбец для каждого объекта. Ячейка [X, У] содержит права, которыми субъект X обладает относи­тельно объекта У.

Это позволяет ввести в рассмотрение понятие защищенного состояния системы.

Определение 3. Защищенным состоянием системы называется четверка (SUB, OBJ, t, AM), где:

• SUB - множество субъектов;

• OBJ -множество объектов (SUSOSJ);

• t:OBJSUBТ- функция типа, сопоставляющая тип каждому объекту или объекту;

• AM - матрица доступа. Обозначим содержимое ячейки (S, О) матрицы AM как [S, О], [S, O]R.

Модель Харрисона - Руззо - Ульмана является частным случаем ТАМ, в котором имеется только два типа, скажем, subject и object. Каждый субъект из SUB имеет тип subject, а объект - object.

Защищенное состояние системы изменяется с помощью команд, опре­деленных ниже.

Определение 4. Команда ТАМ имеет формат:

command (X₁: t₁, X₂: t₂ ..., X_k :t_k)

if [X_s1 ,X_o1]  r₂ [X_s2,X_o2 ]  …  r_m [X_sm,X_om ]

then op₁ ; op₂ , ..., ор_n

end

где  - имя команды; Х₁ , Х₂, ..., Х_k - формальные параметры, имеющие соот­ветственно типы t₁ , t₂, ..., t_k,; r₁, r₂, ..., r_m - праваR; s₁ ,s₂, ..., s_m и o₁ ,o₂, ..., o_m - це­лые числа между 1 и k. Каждое ор_i - одна из элементарных операций:

enter r into [X_s, Х₀],

create subject Х_s of type t_s;

create object X₀ of type t₀;

delete r from [X_s, X₀ ];

destroy subject X_s;

destroy object X₀.

Предикат, следующий за частью if, называется условием команды a, a последовательность операций op₁; ор₂; ...; ор_п - телом команды . Если усло­вие опускается, то говорят, что команда является безусловной командой, в противном случае говорят, что команда является условной командой.

Команда ТАМ вызывается подстановкой фактических параметров подхо­дящего типа вместо формальных параметров. В ТАМ не имеет значения, кто именно инициирует команду. Это согласуется с анализом безопасности наи­худшего случая. Условная часть команды оценивается в соответствии с ее фактическими параметрами. Тело выполняется только в том случае, если ус­ловие является истинным. Команды выполняются последовательно.

Модель монотонной типизированной матрицы доступа (МТАМ) иден­тична ТАМ за исключением того, что в ней опущены элементарные операции delete, destroy subject и destroy object. Такая модель не может реализовать некоторые желательные немонотонные аспекты управления доступом. Напри­мер, в монотонной модели не может быть представлена следующая команда передачи:

command transfer-r(S₁ : s, S₂ : s, O : о)

if r [S₁ , O]then

enter r in [S₂, O];

delete r from [S₁ , O];

end

Общая неразрешимость безопасности МТАМ следует из результатов не­разрешимости монотонной модели Харрисона - Руззо - Ульмана.

Однако, для МТАМ существуют разрешимые случаи безопасности, опре­деляемые на основе типов субъектов и объектов, участвующих в операциях создания. Эти случаи нельзя сформулировать в рамках модели Харрисона - Руззо - Ульмана, поскольку в ней отсутствует организация типов.

Недостатки модели, построенной на типизированной матрице доступа

Среди недостатков отметим следующее:

• отсутствие контроля типов и, как следствие:

• возможность косвенного получения доступа к конфиденциальной ин­формации

• возможность создания субъекта, наделенного большими полномочия­ми, чем его создатель.

Оценивая наихудшие ситуации распространения прав, рассмотрим по­литику контролируемого источника, реализующую контроль информации в документах в качестве примера политики военного сектора (которая трудно во­площается в рамках классической модели Белл-ЛаПадула).

Политика контролируемого источника требует, чтобы создатель (источ­ник) документа поддерживал контроль за доступом к этому документу. Напри­мер, субъект S₁ , является создателем документа, и он разрешает субъекту S₂ его чтение. Политика контролируемого источника требует, чтобы S₂ не мог пе­редать информацию кому-то еще, скажем, субъекту S₃: ни прямо, разрешая S₃ доступ чтения документа, ни косвенно, разрешая S₃ доступ чтения копии доку­мента.

Решение проблемы контролируемого источника основано на том, что в ТАМ несколько предков могут совместно создавать дочерний субъект. Поэтому наделение правами и создание копий должно происходить совместно двумя субъектами: S₂ запрещается работа, выходящая за рамки собственного типа (тип S₂ разрешает только чтение), без получения на то согласия S₁ как созда­теля документа.

Еще одна проблема возникает в том случае, когда субъект-родитель (как создатель) наделяет субъекта-потомка большими полномочиями, чем имеет сам. С целью компенсации данного недостатка можно ввести запрет на опера­ции подобного рода, что приводит к ослаблению выразительных свойств ТАМ.