7.2.2.3. Безопасность повторного использования объектов

Компьютерная система в целом, устройства оперативной и внешней (дисковой) памяти в частности, являются классичес­ким примером среды многократного повторного информаци­онного использования. Технологии обеспечения безопасности повторного использования объектовнаправлены на предотв­ращениеугроз безопасностиот случайного или преднамеренногоизвлечения интересующей злоумышленника информации по следам предшествующей деятельности или из технологи­ческого «мусора».

Часть этих технологий реализуются на уровне операцион­ных систем, а часть являются специфическими функциями, осуществляемыми в автоматизированных информационных системах СУБД. Данные технологии условно можно разделить на три группы:

• изоляция процессов;

• очистка памяти после завершения процессов;

• перекрытие косвенных каналов утечки информации.

Изоляция процессовявляется стандартным принципом и приемом обеспечения надежности многопользовательских (многопроцессных) систем и предусматривает выделение каж­дому процессу своих непересекающихся с другими вычисли­тельных ресурсов, прежде всего областей оперативной памя­ти. В СУБД данные задачи решаются мониторами транзакций, рассмотренными в п. 5.2.5.

Очистка памяти после завершения процессовнаправле­на непосредственно на предотвращение несанкционированно­го доступа к конфиденциальной информации после заверше­ния работы процессов с конфиденциальными данными упол­номоченными пользователями. Так же как и изоляция процессов, чаще всего данная функция выполняется операци­онными системами. Кроме того, следует отметить, что очистке подлежат не только собственно участки оперативной памяти, где во время выполнения процессов размещались конфиденци­альные данные, но и участки дисковой памяти, используемые в системах виртуальной памяти, в которых или операционная си­стема, или сама СУБД АИС временно размещает данные во время их обработки. Ввиду этого функции очистки дисковой памяти после завершения выполнения отдельных транзакций, запросов, процедур могут входить в перечень обязательных фун­кций самой СУБД в части ее надстройки над возможностями операционной системы по организации размещения данных и доступу к данным на внешней и в оперативной памяти (см. п. 2.1).

Как уже отмечалось, при реализации систем разграниче­ния доступа возможны косвенные каналы утечки информации. Помимо проблем с разграничением доступа на уровне полей, источниками косвенных каналов утечки информации являют­ся еще и ряд технологических аспектов, связанных с характе­ристиками процессов обработки данных. В этом плане разли­чают косвенные каналы«временные»*и«по памяти».

* Ударение на последнем слоге.

В первом случае некоторые элементы конфиденциальной информации или, во всяком случае, подозрение на наличие та­кой информации, неуполномоченный пользователь получает на основе анализа времени выполнения отдельных процессов упол­номоченными пользователями (скажем, по неправдоподобно большому времени для очевидно простой или какой-либо ти­повой операции).

Во втором случае соответственно «подозрение» вызывает занимаемый объем некоторых объектов (файлов, таблиц и т. п.), объем содержимого которых, с точки зрения того, что «видит» пользователь, явно не соответствует их фактическому объему.

Специфический косвенный канал утечки информации, от­носящийся именно к СУБД, в том числе и при использовании техники «представлений», связан с агрегатными (статистичес­кими) функциями обработки данных, который можно пояснить на следующем примере. Предположим, пользователь в своем «представлении» базы данных видит не всю таблицу «Сотруд­ники», а только записи, непосредственно относящиеся к его подразделению. Тем не менее, формируя и выполняя запрос на выборку данных с вычисляемым полем «МахОклад» при ис­пользовании соответствующей агрегатной статистической фун­кции«Мах()>>, пользователь может получить хоть и в обезли­ченном виде, но не предназначенные для него данные, в том случае, если процессор и оптимизатор запросов не «сливает» сам запрос с соответствующим «представлением» базы данных.

Иначе говоря, все операции обработки данных должны выпол­няться строго над той выборкой данных, которая соответствует «представлению» пользователя.

Приведенный пример иллюстрирует также то, что мони­тор безопасности СУБД должен реализовываться на нулевом уровне, т. е. на уровне ядра системы, являясь органичной со­ставной частью компонент представления данных и доступа к данным (см. рис. 7.2).

В наиболее критичных сточки зрения безопасности инфор­мации случаях применяют еще один, наиболее жесткий вари­ант — технологию разрешенных процедур. В этом случае пользователям системы разрешается работать с базой данныхисключительно через запуск разрешенных процедур.

Данный подход основывается на также уже рассмотренной технике хранимых (stored) процедур.Администратором сис­темы для каждого пользователя формируется набор процедур обработки данных в соответствии с полномочиями и функция­ми пользователя. Для безопасности хранимые процедуры в файле данныхшифруются.

Ядро СУБД после идентификации и аутентификации пользователя при его входе в систему предъявляет ему разре­шенный набор процедур. Непосредственного доступа к самим данным пользователь не имеет и работает только с результата­ми их обработки по соответствующим процедурам.

Данные АИС размещаются в файлах данных,структура которых может быть известна нарушителю. Поэтому еще однойугрозой безопасностиданных АИС является возможностьнесанкционированного доступа к файлам данных вне программ­ного обеспечения АИС (СУБД) средствами операционной сис­темы или дисковых редакторов.Длянейтрализацииэтой уг­розы применяются методы и средства криптозащиты.В большинстве случаев криптографические средства защиты встраиваются непосредственно в программное обеспечение СУБД. Файл (файлы) базы данных* при размещении на устройствах дисковой памяти шифруется. Соответственно, криптографическая подсистема при открытии файла данных его дешиф­рует. Специфической особенностью СУБД является особый порядок работы с файлами базы данных через организацию специальной буферизации страниц в оперативной памяти. По­этому криптографическая подсистема встраивается в ядро СУБД, перехватывая все операции считывания страниц в опе­ративную память и, соответственно их дешифрируя, и все опе­рации обратного «выталкивания» страниц из оперативной па­мяти на диски и, соответственно, шифруя данные.

* В том числе с авторизованными хранимыми процедурами и запросами пред­ставлений.

В развитых СУБД имеется возможность выборочного шифрования объектов базы данных исходя из уровня их конфиден­циальности, вплоть до шифрования отдельных полей записей.