Матрица установления полномочий
Матрица установления полномочий представляет собой двумерную таблицу, каждый элемент Aij определяет права i-го рексурса по отношению к j-му ресурсу. Пример матрицы установления полномочий приведен в следующей таблице.
Таблица 4.1
Пример матрицы установления полномочий
Элемент данных
Терминал |
ФИО |
Адрес |
Рег. номер |
Квалификация |
Оклад |
Личное транспортное средство |
Отдел кадров |
11 |
11 |
11 |
11 |
11 |
11 |
Касса |
01 |
00 |
01 |
00 |
11 |
00 |
Отдел снабжения |
00 |
00 |
00 |
00 |
00 |
00 |
Исследовательский отдел |
00 |
00 |
01 |
00 |
00 |
00 |
Стоянка автомобилей |
00 |
00 |
00 |
00 |
00 |
11 |
Здесь “01” означает право читать элемент данных; “10” – записывать; “11” – читать и записывать; “00” – доступ запрещен.
Элементы матрицы установления полномочий обычно содержат биты, соответствующие действиям, которые могут быть выполнены с терминала при обращении к элементу данных. Однако, если это требуется, элементы матрицы могут содержать указатели на процедуры. Эти процедуры исполняются при каждой попытке доступа с данного терминала к заданному элементу данных и могут принимать те решения о доступе, которые зависят от информации, представленной не столь очевидно, как в простой матице доступа, приведенной выше. Приведем следующие примеры.
Разрешение о доступе основывается на истории доступов других ресурсов. Пользователь А может записывать данные в файл F только в том случае, если он не читал файл G.
Решение о доступе основывается на динамическом состоянии системы. Пользователь В может открыть файл H только в то время, когда база данных, в которой размещен файл, открыта.
Решение о доступе принимается на основе предписанного использования ресурса.
Решение о доступе основывается на текущем значении ресурса.
Решение о доступе основывается на значении определенных системных переменных (например, времени дня или даты).
Матрица установления полномочий является в действительности “сердцем” системы обеспечения безопасности. За счет включения большего или меньшего количества информации в матрицу можно варьировать сложность контрольных проверок.
Обычно матрица установления полномочий хранится как отдельный зашифрованный файл и его строки помещаются в оперативную память только в случае необходимости. В качестве строк матрицы установления полномочий могут фигурировать пользователи или группы пользователей, а также программы или подсистемы. Колонками могут быть типы запросов.