- 82 -

Определение корректного управления выполнено в таком случае с момента активизации МБО. Утверждение доказано.

Смысл данного утверждения состоит в том, что условия, описывающие гарантии произвольной политики безопасности, и условия корректного управления как достаточные условия совпадают. Дополнительные требования для корректного управления корректируют политику безопасности КС (в части необходимости доступа на запись к ОУ только субъекту управления). Если ОУ является однотипным с другими объектами, рассматриваемыми МБО, то коррекция ПБ производится на этапе параметрических установок (например, запись в файл объекта управления разрешена только управляющему субъекту).

Важно описать также и условия нарушения корректности управления, которые связаны в ИПС с порождением некоторого произвольного субъекта, который имеет доступ к ОУ (поток типа “запись”).

Сформулируем другое важное утверждение.

Утверждение 2 (условия нарушения корректности управления).

При существовании ИПС с контролем неизменности объектов-источников и наличии корректного управления, нарушение ИПС (как возможность инициирования произвольного субъекта) возможно только при включении в ОУ МБС объекта-источника, порождающего указанный субъект.

Доказательство От противного. Пусть при управлении не происходит включения объекта-

источника для порождения некорректного субъекта, тогда порождение некорректного субъекта по условию и утверждениям части 1 невозможно. Противоречие.

Это достаточно очевидное утверждение, тем не менее, говорит о том, что “размыкание” гарантирующей выполнение ПБ программной среды в случае корректного управления может произойти только при включении администратором некорректного субъекта в состав программной среды (включение некорректного субъекта во множество субъектов эквивалентно включению в ОУ объекта-источника для данного субъекта). Следовательно, гарантии управления безопасностью (как гарантии поддержания ПБ в процессе управления) могут быть выполнены лишь частично (в смысле того, что в рамках рассматриваемой модели не описаны критерии включения субъектов в ИПС - данный вопрос решается администратором), если существует возможность дополнения множества субъектов.

С другой стороны, если администратор не имеет возможности дополнять ИПС новыми субъектами, то гарантии управления выполнены.

Если ИПС создает эксплуатационные гарантии политики безопасности, то при рассмотрении вопросов управления целесообразно говорить о гарантиях управления, которые описываются как достаточные условия приведенным выше утверждением.

Определение 3. КС с генерацией ИПС и контролем неизменности объектов-источников называется корректно управляемой в строгом смысле,

- 83 -

если невозможно размыкание ИПС (появление любого субъекта, не входящего в состав ИПС).

Следствие. В ИПС, содержащей СУ без возможности изменения ОУ МБС, выполнены условия корректного управления в строгом смысле.

Вполне очевидно, что в реальных КС практически невозможно поддержать условия корректного управления в строгом смысле, поскольку постоянно требуется дополнять субъекты к ИПС. С другой стороны, дополнение некорректного субъекта разрушает ИПС и противоречит задаче поддержания гарантий заданной ПБ (поскольку требуется дополнять только субъект, корректный относительно существующих в ИПС). В связи с этим в подтверждение тезиса о том, что достаточные условия ИПС и корректного управления в строгом смысле совпадают, сформулируем еще одно следствие.

Следствие. При корректном управлении дополнение корректного субъекта не нарушает ИПС.

Итак, сформулированы основные условия поддержания ИПС в процессе управления. Обратимся теперь к необходимым дополнениям политики безопасности для различных конфигураций управляемой КС. При этом будем рассматривать схему с разделением на локальный и внешний сегменты КС.

Введем понятие технологии управления.

Определение 4. Технология управления защитой в КС - порядок формирования ОУ и применения управляющего субъекта в КС, находящийся в рамках понятий корректного управления и зависящий от локализации управляющего субъекта и объектов управления в КС и методики формирования исходной информации для его работы.

Очевидно, что субъект управления должен в общем случае иметь доступ к объектам КС на чтение (это достаточно и для вычисления функций КЦ в части управления ОУ для МБС). В случае преобразования содержимого объектов доступ необходим также и на запись. Рассмотрим разделение КС на локальный сегмент (ЛС КС) и внешний сегмент (ниже используются термины “удаленные субъекты и объекты”, соответствующие внешним субъектам и объектам).