Модели разграничения доступа к информации

Большинство моделей разграничения доступа основывается на представлении КС как совокупности субъектов и объектов доступа. Приведем основные положения модели.

1. В КС действует дискретное время.

2. В каждый фиксированный момент времени t_k КС представляет собой конечное множество элементов, разделяемых на два подмножества:

 подмножество субъектов доступа S;

 подмножество объектов доступа О.

Определение 10.2. Под субъектом доступа понимается активная сущность КС, которая может изменять состояние системы через порождение процессов над объектами, в том числе, порождать новые объекты и инициализировать порождение новых субъектов.

Определение 10.3. Под объектом доступа понимается пассивная сущность КС, процессы над которой могут в определенных случаях быть источником порождения новых субъектов.

В модели предполагается наличие априорно безошибочною механизма различения активных и пассивных сущностей (т.е. субъектов и объектов) по свойству активности, что можно проиллюстрировать интуитивно понятными различиями между файлом с кодом программы и исполняемой (запущенной) программой, порождающей процессы над объектами системы.

Кроме того, предполагается также, что в любой момент вре­мени t_k, в том числе и в начальный, множество субъектов доступа не пусто.

Пользователи КС представлены одним или некоторой совокупностью субъектов доступа, действующих от имени конкретного пользователя.

Определение 10.4. Под пользователем КС понимается лицо, внешний фактор, аутентифицируемый некоторой информацией, и управляющий одним или несколькими субъектами, воспринимающий объекты и получающий информацию о состоянии КС через субъекты, которыми он управляет.

Таким образом, в субъектно-объектной модели понятия субъектов доступа и пользователей не тождественны. Предполагается также, что пользовательские управляющие воздействия не могут изменить свойств самих субъектов доступа, что в общем случае не соответствует реальным КС, в которых пользователи могут изменять свойства субъектов, через изменение программ (исполняемых файлов). Однако подобная идеализация позволяет построить четкую схему процессов и механизмов доступа, а угрозы безопасности, возникающие вследствие подобных реалий, рассматривать в контексте гарантий выполнения политики безопасности (политики разграничения доступа) через механизмы неизменности свойств КС (т. н. изолированная программная среда).

Субъекты КС могут быть порождены из объектов только активной сущностью (другим субъектом).

Определение 10.5. Объект о_i называется источником для субъекта s_m если существует субъект s_j, в результате воздействия которого на объект о_i возникает субъект s_m.

Соответственно, субъект s_j, называется активизирующим для субъекта s_m.

Для описания процессов порождения субъектов доступа вводится следующее обозначение:

Create (s_j , о_i)→s_m – "из объекта о_i порожден субъект s_m при активизирующем воздействии субъекта s_j".

Create называют операцией порождения субъектов. Отметим также, что ввиду того, что в КС действует дискретное время, то под воздействием активизирующего субъекта в момент времени t_k, новый субъект порождается в момент времени t_{k + 1}.

Результат операции Create зависит как от свойств активизирующего субъекта, так и от свойств объекта-источника. К при меру, субъект пользователя в виде работающего текстового редактора при открытии файла в формате другого текстового редактора может быть не способным активизировать находящиеся там процедуры обработки данных, а в лучшем случае быть способным только их прочитать. Другой пример – командный ин­терпретатор ОС по команде пользователя не может запустить на исполнение текстовый файл и создать таким образом субъект пользователя. В таких случаях (s_j , о_i) →Ø.

Анализ архитектуры вычислительной системы фон Неймана, на базе которой функционируют КС, показывает, что введенное понятие субъекта доступа и процесса его порождения требует связывания субъекта с определенным объектом (объектами), отражающим состояние действующего субъекта в различные моменты времени.

Определение 10.6. Объект o_i в момент времени t_k ассоциирован с субъектом s_m , если состояние объекта повлияю на состояние субъекта в следующий момент времени t_k+1 (т. е. субъект s_m использует информацию, содержащуюся в объекте о_i).

Из определения 10.6. следует, что объект-источник в момент порождения субъекта является ассоциированным с ним, а в по­следующие моменты времени может перестать быть или остаться ассоциированным с ним. К примеру, исполняемые файлы программявляются ассоциированными с субъектом только в момент его порождения, так как в процессе инициализации (запуска) код программы из исполняемого файла копируется в специальную область памяти (сегмент кода), откуда впоследствии собственно и извлекаются команды-инструкции выполнения программы. Следовательно, файл на диске с исполняемым кодом программы после ее запуска перестает быть ассоциированным с субъектом, порожденным запуском программы. Напротив, в некоторых СУБД со встроенными системами программирования интерпретаторского типа команды-инструкции по обработке данных в каждый момент времени могут извлекаться непосредственно из файлов базы данных, располагаемых на диске. В этом случае, соответственно, файл базы данных продолжает оставаться ассоциированным с субъектом, порожденным открытием (запуском) соответствующего файла базы данных.

Активная сущность субъектов доступа заключается вих возможности осуществлять определенные действия над объектами, что объективно приводит к возникновению потоков информации. Исходя из этого, центральным положением субъектно-объектной модели является следующее.

Все процессы безопасности в КС описываются доступами субъектов к объектам, вызывающими потоки информации.

Определение 10.7. Потоком информации между объектом о_i и объектом o_j называется произвольная операция над объектом o_j, реализуемая в субъекте s_m и зависящая от объекта о_i.

Для описания потоков вводят следующее обозначение: Stream(s_m, о_i) → o_j "поток информации от объекта о_i(o_j) к объекту о_j(o_i) в субъекте s_m (через субъект s_m )"

Поток может осуществляться в виде различных операций над объектами – чтение, изменение, удаление, создание и т. д. Объекты о_i и o_j участвующие в потоке, могут быть как источниками, так и приемниками информации, могут быть как ассоциированными с субъектом, так и неассоциированными,а также могут быть пустыми (Ø) объектами (например, при создании или удалениифайлов). Следует особо подчеркнуть, что согласно определению 10.7.потоки информации могут быть только между объектами, а не между субъектом и объектом, в виду того, что субъект это активная сущность, т. е. действия, процессы и т. д., а информация – пассивная сущность, которая может размещаться, извлекаться, порождаться, изменяться и т. д. только в объектах. Активная роль субъекта заключается в самой реализации потока, в его локализации в субъекте (через субъект), в том числе, через задействование в потоке ассоциированных с субъектом объектов (например, буферов оперативной памяти). В этом отношении более детальный анализ понятия субъектов доступа, определений 10.5. и 10.6.показывает, что ассоциированные объекты могут быть разделены на два вида:

• функционально-ассоциированные объекты;

• ассоциированные объекты-данные.

Функционально-ассоциированные объекты влияют (определяют) на сами процессы субъекта (например, состояние сегмента кода определяет свойства субъекта в следующий момент времени). Ассоциированные объекты-данные выступают в роли аргументов в операциях, порождающих потоки информации (например, буферы оперативной памяти, в которых помещается для отображения на экране информация при чтении файла). Таким образом, если на первый взгляд в потоке участвует только один (одни) субъект(ы), то, как правило, при более пристальном взгляде можно увидеть, что в данной операции участвуют еще и ассо­циированные с субъектом доступа объекты.

Определение 10.8. Доступом субъекта s_m к объекту o_j называется порождение субъектом s_m потока информации между объектом о_j и некоторым(и) объектом o_i (в т. ч,, но не обязательно, объект о_i ассоциирован с субъектом s_m).

Формальное определение 10.8.понятия доступа дает возможность средствами субъектно-объектной модели перейти непосредственно к описанию процессов безопасности информации в защищенных КС. С этой целью вводится множество потоков Р для всей совокупности фиксированных декомпозиций КС на субъекты и объекты во все моменты времени (множество Р является объединением потоков по всем моментам времени функционирования КС).

С точки зрения процессов безопасности, трактуемой как состояние защищенности информации в КС, множество потоков Р разбивается на два непересекающихся подмножества Р_N и P_L:

P=P_L P_N

P_L P_N=Ø

где P_L – множество потоков, вызываемых легальными (безопасными) доступами;

P_N - множество опасных, нарушающих состояние защи­щенности информации (конфиденциальность, целостность и доступность информации) потоков в КС.

На основе множества потоков дается следующее понятие, составляющее основу формализации политики разграничения доступа в моделях безопасности.

Определение 10.9.Правиларазграничения доступа субъектов к объектам есть формально описанные потоки, принадлежа­щие множеству P_L .

Определение 10.9. завершает основные положения субъектно-объектной модели КС, на методологическом фундаменте которой строится большинство моделей разграничения доступа, выражающих, собственно, подходы, принципы и механизмы правил разграничения доступа (политику разграничения доступа), а также формальные их спецификации (сами модели разграничения доступа). Ввиду того, что определение 10.9.не конкретизирует и не детализирует конкретных механизмов фильтрации потоков на опасные и безопасные, то можно говорить, что субъектно-объектная модель КС инвариантна относительно любой принимаемой в КС политики безопасности.

Добавим, кроме того, что во многих источниках и, в особенности, в нормативных документах по защите информации в КС, основываясь на понятии правил разграничения доступа, вводят производные термины в виде санкционированных и несанкционированных доступов.