15.5. Обязательное управление доступом

Методы обязательного управления доступом применяются к базам данных, в которых данные имеют достаточно статичную или жесткую структуру, свойственную, например, правительственным или военным организациям. Как уже отмечалось, основная идея за­ключается в том, что каждый объект данных имеет некоторый уровень классификации, например: секретно, совершенно секретно, для служебного пользования и т.д., а каждый пользователь имеет уровень допуска с такими же градациями, что и в уровне классифи­кации. Предполагается, что эти уровни образуют строгий иерархический порядок, напри­мер: совершенно секретно > секретно > для служебного пользования и т.д. Тогда на осно­ве этих сведений можно сформулировать два очень простых правила безопасности.

1. Пользователь i имеет доступ к объекту j, только если его уровень допуска больше или равен уровню классификации объекта.

2. Пользователь i может модифицировать объект j, только если его уровень допуска равен уровню классификации объекта j.

Правило 1 достаточно очевидно, а правило 2 требует дополнительных разъясне­ний. Прежде всего, следует отметить, что по-другому второе правило можно сформу­лировать так: любая информация, записанная пользователем i, автоматически приоб­ретает уровень, равный уровню классификации i. Такое правило необходимо, напри­мер, для того, чтобы предотвратить запись секретных данных, выполняемую пользователем с уровнем допуска "секретно", в файл с меньшим уровнем классифи­кации, что нарушает всю систему секретности.

В последнее время методы обязательного управления доступом получили широ­кое распространение. Дело в том, что согласно требованиям министерства обороны США (U.S. Department of Defense — DoD) в любой используемой в этом ведомстве системе должно поддерживаться обязательное управление доступом. Поэтому разра­ботчикам и поставщикам СУБД пришлось вступить в соперничество за разработку методов такого управления. Сами требования к такому управлению изложены в двух важных публикациях министерства, которые неформально называются "оранжевой" книгой (Orange Book) [15.1] и "розовой" книгой (Lavender Book) [15.2]. В "оранжевой" книге перечислен набор требований к безопасности для некой "надежной вычислительной базы" (Trusted Computing Base— ТСВ), а в "розовой" книге дается интерпретация этих требований для систем управления базами данных.

Заданные в [15.1, 15.2] методы управления обязательным доступом на самом деле являются частью более общей классификации уровней безопасности, которые будут изложены здесь в очень краткой форме. Прежде всего, в этих документах определяет­ся четыре класса безопасности (security classes) — D, С, В и А. Среди них класс D наименее безопасный, класс С — более безопасный, чем класс D, и т.д. Говорят, что класс D обеспечивает минимальную защиту, класс С— избирательную, класс В— обязательную, а класс А — проверенную защиту.

• Избирательная защита. Класс С делится на два подкласса— С1 и С2 (где подкласс С1 менее безопасен, чем подкласс С2), которые поддерживают избирательное управ­ление доступом в том смысле, что управление доступом осуществляется по усмотре­нию владельца данных (точно так же, как это было описано выше в этой главе).

• Согласно требованиям класса С1 необходимо разделение данных и пользователя, т.е. наряду с поддержкой концепции взаимного доступа к данным здесь возможно также организовать раздельное использование данных пользователями.

• Согласно требованиям класса С2 необходимо дополнительно организовать учет на основе процедур входа в систему, аудита и изоляции ресурсов.

• Обязательная защита. Класс В содержит требования к методам обязательного управления доступом и делится на три подкласса — В1, В2 и ВЗ (где В1 является наименее, а ВЗ — наиболее безопасным подклассом).

• Согласно требованиям класса В1 необходимо обеспечить "отмеченную защиту" (это значит, что каждый объект данных должен содержать отметку о его уровне классификации, например: секретно, для служебного пользования и т.д.), а также неформальное сообщение о действующей стратегии безопасности.

• Согласно требованиям класса В2 необходимо дополнительно обеспечить фор­мальное утверждение о действующей стратегии безопасности, а также обнару­жить и исключить плохо защищенные каналы передачи информации. (Подробнее вопросы управления выводом обсуждаются в комментариях к [15.6].)

• Согласно требованиям класса ВЗ необходимо дополнительно обеспечить под­держку аудита и восстановления данных, а также назначение администратора режима безопасности.

• Проверенная защита. Класс А является наиболее безопасным и согласно его требо­ваниям необходимо математическое доказательство того, что данный метод обеспече­ния безопасности совместимый и адекватен заданной стратегии безопасности (!).

Хотя некоторые коммерческие СУБД обеспечивают обязательную защиту на уровне класса В1, обычно они обеспечивают избирательное управление на уровне класса С2.

Терминология. СУБД, в которых поддерживаются методы обязательной защиты, часто называются системами с многоуровневой защитой [15.12, 15.15], а также на­дежными системами [15.17].