- 70 -

Create(Si,Объект МРЗФ[t2-1])->МРЗФ[t2] порождает тождественные субъекты МРЗФ[t1] и MРЗФ[t2].

Поскольку все субъекты КС по условию изолированности как минимум попарно корректны и корректны относительно МРЗФ, то отсутствуют потоки к ассоциированным объектам МРЗФ, которые могли бы изменить функцию F.

Следовательно, корректность функционирования МРЗФ доказана. Докажем второе положение.

Поскольку любой субъект обеспечивает корректный вызов и возможно порождение только тождественных субъектов в различные моменты времени, то поток Stream(Si,Ok)->Om есть тождественное отображение, если не существует потоков к объектам Ok или Om от других субъектов. Отсутствие потоков к Ok гарантируется корректностью субъектов. Поток к Om может быть инициирован как вызов МРЗФ со стороны иного субъекта, однако это запрещено по условию теоремы.

Аналогично доказывается третье (корректный возврат результата). Утверждение доказано.

Условие невозможности изменения ассоциированных объектов МРЗФ, доступных для передачи параметров (т.е. запрет вызова МРЗФ до завершения операций с вызвавшим субъектом), может реализоваться двумя путями.

Первый путь заключается в порождении при вызове каждым субъектом нового субъекта МРЗФ (реализован в механизме загрузки динамических библиотек - DLL).

Второй путь заключается в блокировании потока от любого субъекта до завершения операции с МРЗФ, т.е. до завершения потока возврата результата.

Относительно некоторого множества субъектов, использующих МРЗФ, можно говорить о полноте функций МРЗФ. При этом удобнее оперировать с формально описанными функциями ОИ (которые однозначно соответствуют функциям МРЗФ), поэтому далее будем говорить о полноте функций ОИ. Полнота функций ОИ может быть функциональной и параметрической.

Функциональная полнота ОИ - свойство, заключающееся в реализации всех функций защиты, инициируемых фиксированным набором субъектов КС.

Из данного определения следует, что функциональная полнота понимается относительно заданного множества программ, использующих функции ОИ.

Параметрическая полнота ОИ - свойство, заключающееся в возможности инициирования всех функций ОИ со стороны фиксированного множества субъектов с некоторым набором параметров, не приводящих к отказу в выполнении запрошенной функции.

Как о функциональной, так и о параметрической полноте можно говорить относительно конечного множества субъектов, следовательно, понятие полноты ОИ также, как и корректное использование МРЗФ, имеет смысл только в ИПС.

2.8. Передача параметров при составном потоке

Остановимся теперь на ситуации составного потока передачи и возврата управления. Рассмотрим ситуацию, когда существует объект Op такой, что:

-71 -

1.Stream(Sx,Ok)->Op и Stream(Sx, Op)->Om

2.Op не ассоциирован ни с Si, ни с МРЗФ,

когда в потоке участвует некоторый неассоциированный с Si и МРЗФ объект.

При этом данный субъект может быть ассоциирован с каким-либо другим субъектом. Практически данная ситуация повсеместно возникает в реальной КС в случае передачи параметров через внешнюю память (файл), либо при взаимодействии вызывающего субъекта и МРЗФ через сетевую транспортную среду (необходимо уточнить, что в этом случае ситуация усложняется тем, что существует не один объект Op, а, как минимум, два территориально несовпадающих объекта Op1 и Op2, между которыми существуют потоки

Stream(Sx, Ok)->Op1, Stream(Sl, Op1)->Op2 и Stream(Sy,Op2)->Om (и аналогично при возврате результата). Для простоты рассмотрения будем говорить только об одном объекте, включенном в поток, поскольку можно говорить, об одном объекте Op, но измененном субъектом Sl.

В приводимой таблице рассмотрим свойства подсистемы КС, состоящей из объектов Ok, Op, Om и субъектов Si, Sl и МРЗФ.

Будем учитывать свойство по инициированию потока Stream (Sx,Ok)->Op и Stream(Sx, Op)->Om, а также функцию F(Op)->Op преобразования объекта Op, локализованную в Sl, и существование потоков Stream(Sl,Op)->Oy, где Oy - некоторый объект. Рассматриваемые свойства взаимодействия отражают все возможные ситуации, возникающие при участии субъекта Sl в потоке:

1.Свойства по преобразованию проходящей информации.

2.Свойства по отображению проходящей информации в другой объект. Действительно, с точки зрения опосредованного НСД возможны либо

изменения состояния объекта, либо отображение его содержания в другой объект. Учитывая то, что ранее рассматривалось тождественное отображение объектов при передаче параметров и возврате результата, будем рассматривать функцию F либо как тождественное отображение, либо как нетождественное. В таблицу введен также существенный параметр - каким субъектом порожден поток к промежуточному объекту - вызывающим субъектов (Si), либо МРЗФ (обозначения Sx=Si означает, что субъектом Sx является вызывающий субъект).

Таблица 4. (Свойства составного потока при использовании МРЗФ)

	Sx = Si	Sx = МРЗФ	Отображен	Существует	Примечание
			ие F	поток
				Stream(Sl,Op)
				->Oy
0	Нет	Нет	~E	Нет	Не
					рассматривается
1	Нет	Нет	~E	Да	Не
					рассматривается
2	Нет	Нет	E	Нет	Не
					рассматривается

- 72 -

3	Нет	Нет	E	Да	Не
					рассматривается
4	Нет	Да	~E	Нет	Искажение
					промежуточного
					объекта
5	Нет	Да	~E	Да	Искажение
					промежуточного
					объекта и поток к
					постороннему
					объекту
6	Нет	Да	E	Нет	Корректная
					передача,
					инициированная
					МРЗФ
7	Нет	Да	E	Да	Корректная
					передача, но с
					организацией
					постороннего
					потока
8	Да	Нет	~E	Нет	Аналогично 4
9	Да	Нет	~E	Да	Аналогично 5
10	Да	Нет	E	Нет	Аналогично 6
11	Да	Нет	E	Да	Аналогично 7
12	Да	Да	~E	Нет	Некорректное
					использование
					промежуточного
					объекта
13	Да	Да	~E	Да	Некорректное
					использование
					промежуточного
					объекта
14	Да	Да	E	Нет	Некорректное
					использование
					промежуточного
					объекта
15	Да	Да	E	Да	Некорректное
					использование
					промежуточного
					объекта

Случаи 0-3 не рассматриваются, поскольку участвующие в сложном потоке субъекты не совпадают, ни с вызывающим субъектом, ни с МРЗФ. Априорно можно также считать некорректными случаи 12-15, поскольку