- 66 -
Рис. 2. Схема взаимодействия МРЗФ с МБО И МБС
Открытым интерфейсом (ОИ) МРЗФ назовем детальное специфицирование функций, реализованных в МРЗФ, позволяющее организовать исполнение этих функций из внешних субъектов.
“Открытость” интерфейса понимается как его полное описание для использования реализуемых в МРЗФ функций внешними субъектами. Для проектирования схем информационных потоков КС, в том числе имеющих отношение к обеспечению безопасности, такое описание имеет ключевую роль.
Рассмотрим схему функционирования МРЗФ (рис. 2). Пусть имеется вызывающий субъект Si и его ассоциированные объекты: Ok (объект для передачи информации к МРЗФ) и Of (объект возврата информации от МРЗФ после ее преобразования). Для субъекта МРЗФ выделим ассоциированные объекты: Om для приема информации от вызывающего модуля и Or для размещения информации перед ее транспортировкой к вызвавшему субъекту Si.
2.6. Понятие и свойства модуля реализации защитных функций
Заметим, что МРЗФ является участником межсубъектного взаимодействия в КС.
Сформулируем некоторые свойства МРЗФ.
1. Существует хотя бы один из потоков Stream(Sx,(Ok))->Om и Stream(Sx, Or)->Of. Первый поток описывает передачу информации для обработки в МРЗФ, второй - возврат результата преобразования к ассоциированным объектам
- 67 -
вызвавшего субъекта. Обозначим через F функцию преобразования ассоциированных объектов МРЗФ, обобщая в ней все функции логической защиты, реализуемые конкретным субъектом МРЗФ.
Субъект Sx в данном случае может быть тождественен либо Si, либо МРЗФ и, по определению потока, устанавливает субъект, инициирующий поток.
Возможно четыре ситуации инициирования входного и выходного потока.
1.Поток передачи информации инициируется МРЗФ (процесс субъекта Si устанавливает адрес объекта Ok и активизирует прямо или опосредованно (через субъект запуска задач или загрузки библиотек - обычно, субъект-ядро
ОС) субъект МРЗФ, передавая адрес объекта Ok). Субъект МРЗФ организует поток от Ok к своим ассоциированным объектам Om. В данном случае потоков, влияющих на ассоциированные объекты Si, не возникает.
2.Поток передачи информации инициируется Si (как правило, в случае ждущего режима работы МРЗФ, который фиксирует создание или изменение
объекта Om). В данном случае за счет существования потока Stream(Si,Ok)-> Or существует возможность нарушения корректности межсубъектного взаимодействия за счет влияния на ассоциированные объекты МРЗФ.
3.Поток возврата инициируется Si. После выполнения логического преобразования F(Ok)->Or МРЗФ передает управление вызвавшему субъекту Si. Вызвавший субъект инициирует поток Stream(Si,Or)->Of. Угрозы корректности межсубъектному взаимодействию нет.
4.Поток возврата инициируется МРЗФ. Существует угроза корректности. Из рассмотренных четырех возможностей две ситуации безопасны с точки
зрения взаимной корректности субъектов, а две опасны. Легко видеть, что опасность некорректного взаимодействия возникает в случае, когда передача информации к субъекту производится другим субъектом (ситуации 2 и 4).
С точки зрения передачи и возврата параметров наилучший случай, когда поток передачи параметров инициируется МРЗФ (на практике так обычно и бывает), а поток возврата инициируется вызывающим субъектом Si (обычно это реализовано не так: вызывающий субъект передает адрес объекта Of как своего ассоциированного объекта Of (объекты Or и Of могут совпадать) и одновременно с вычислением результата F(Ok)->Or инициируется поток к ассоциированному объекту Si). В данном случае обеспечение корректного возврата результата может быть обеспечено двумя путями:
-свойствами самого МРЗФ (должен быть обеспечен возврат результата именно в объект Of),
-возвратом вызвавшему субъекту адреса объекта Or и инициированием потока Stream(Si,Or)->Of уже вызвавшим субъектом, что не несет угрозу корректности.
Формализуем изложенные положения в нескольких определениях. Определение 1. Корректным преобразованием информации в МРЗФ в
период времени T называется такой порядок существования субъекта МРЗФ в КС, при котором функция преобразования ассоциированных объектов F соответствует описанию ОИ и не изменяется в течение всего времени T.
- 68 -
Определение 2. Корректным вызовом МРЗФ называется такой порядок реализации потока Stream (Sx, Ok)->Om, где Om ассоциированный объект МРЗФ, когда объекты Ok и Om тождественны.
Определение 3. Корректным возвратом результата от МРЗФ называется такой порядок реализации потока Stream (Sx, Or)-> Of, при котором объекты Or и Of тождественны.
Определение 4. Корректной работой МРЗФ в КС в период времени Т назовем такой порядок его использования, при котором обеспечивается корректное преобразование, корректный вызов и корректный возврат результата.
Покажем, что в общем случае всегда существует субъект, относительно которого происходит некорректный возврат результата.
Утверждение 6 (о потенциальной возможности некорректного возврата результата из МРЗФ)
Относительно любого МРЗФ всегда существует субъект, относительно ассоциированных объектов которого происходит некорректный возврат результата.
Доказательство Для доказательства утверждения необходимо описать хотя бы один
субъект, имеющий свойство преобразования ассоциированного объекта Of, относительно которого происходит возврат результата преобразования: Stream(МРЗФ, Or)->Of. Таким субъектом будет любой Si, который определяет Of либо как неассоциированный с самим собой объект, либо выполняет над объектом Оf дополнительное преобразование, не равное тождественному отображению.
Из данного утверждения следует, что:
-субъект, вызывающий МРЗФ должен содержать в себе корректную реализацию получения результата,
-корректная реализация вызова должна поддерживаться в течение заданного времени T промежутка активности КС.
Аналогичное утверждение можно сформулировать и для операции вызова МРЗФ.
Утверждение 7 (о потенциально возможном некорректном вызове МРЗФ)
Относительно любого МРЗФ всегда существует субъект, относительно ассоциированных объектов которого происходит некорректный вызов МРЗФ.
Доказательство
Аналогично предыдущему утверждению, необходимо описать субъект Si, для которого Stream(Sx, Ok)->Om. Таким субъектом будет любой Si, который определяет Om как неассоциированный с МРЗФ объект. При этом очевидно, что объекты Ok и Om будут в общем случае нетождественны, это означает, что происходит отображение объектов, не равное тождественному отображению.