11.5.2. Осуществление доступа субъекта к объекту

Последовательность операций по доступу субъекта к объекту похожа на последовательность при создании объекта. Субъект не может самостоятельно осуществить доступ, все запросы перехва­тывает АРД (А*).

1. CommOS,) Щ >Q_/.

2. Authentic)-* S_t.

3. Если результат положительный, то Quest ^^.(А^) -» А_л-

5. Если ответ положительный, то Comm(S,)-----■-----*O_h

Назовем активным объект, способный порождать субъекты. Такие объекты могли бы самостоятельно контролировать доступ к себе, но это противоречит предлагаемой модели безопасности (все контролирует АРД). В таком случае АРД просто должен со­общить объекту о разрешении к нему доступа субъекта.

11.5.3. Взаимодействие с внешними сетями

Пусть субъект желает передать свои данные в другую локаль­ную сеть.

1. Co/ww(5,)—4"^2—>Л,> где А„ - ABC.

2. AuthentiArf) ^> S_t.

3. Если результат положительный, то Quest _SiAit(A„j) -» A_d.

5. Если ответ положительный, то Comm(Sj)-----^—*А_т.

Таким образом, при посредничестве АРД и АУД субъект полу-)

чил доступ к ABC. Теперь он начинает взаимодействовать с этим администратором. АУД уже сообщил ABC права и атрибуты без-, опасности субъекта. Атрибуты безопасности нужны для того, что­бы ABC самостоятельно выполнил аутентификацию, иначе суще­ствует опасность атаки с перехватом сессии после аутентифика­ции.

6. Quest(A„)-*Si.

7. Rpl(Sj) -> A_vs\ Quest(£,)—*"■* >Л_И (одновременно с отве­том на запрос аутентификации субъект посылает запрос на вы­полнение действий).

266

?

8. Если результат аутентификации положительный и запрос субъекта соответствует его правам, то ABC дает разрешение на выполнение передачи данных (или, например, на доступ к серве­ру электронной почты):

9. ф/(Д„)->5;.

Если пользователь желает передать данные в другую локаль­ную сеть, то перед этим ABC устанавливает безопасное соедине­ние с ABC другой локальной сети, которую запросил пользова­тель. При этом выполняется протокол взаимной аутентификации, возможно, с выработкой сессионного ключа, который здесь не рассматривается.

10. ABC передает ABC другой сети адрес вызываемого субъекта:

IP_addr{A_vs) -> A_Vh.

11. ABC другой сети находит в своей базе нужного пользовате­ля, устанавливает с ним связь, аутентифицирует его и дает под­тверждение ABC «нашей» сети о готовности к приему данных:

Rplip.j,ddr(A_m) -> /Ц.

12. Пользователь посылает данные ABC, a ABC —по зашифро­ванному каналу ABC другой сети. ABC другой сети расшифровы­вает данные и пересылает их пользователю. В обратную сторону идут квитанции, подтверждающие прием пакетов сообщения.

Примерно так же происходит прием сообщений из внешней сети. Вначале аутентифицируется ABC другой сети (без участия АУД, АРД), затем проверяется субъект «нашей сети» (с участием АРД, АУД), устанавливаются защищенные соединения и прини­маются данные.

11.5.4. Удаление субъекта — объекта

При удалении может не происходить полного уничтожения субъекта и объекта, записи о них переносятся в резервную об­ласть памяти, где хранятся в течение обусловленного времени. Конечно, чаще всего фактически выполняется удаление только субъекта или только объекта, но и эти случаи можно рассматри­вать как удаление пары субъект —объект.

Опишем сценарий удаления субъекта, который является по существу обратным последовательности его создания.

I. Вначале выполняется уничтожение объектов, ассоциирован­ных только с этим субъектом и не являющихся нужными другим. Например, таким объектом может стать личная папка (файлы) пользователя. Данная операция осуществляется под управлением администратора сети Modify(A_s) -» 0, где 0 означает пустой объект.

267

2. Удаление у субъекта атрибутов информационной безопасно­сти и прав доступа осуществляет АУД после получения управле­ния от администратора сети, подтверждающего факт обнуления

объе кта: DelAttribs [A _d) —&-

->5_;.

3. Удаление «нулевой» пары субъект—объект (модификация базы данных АУД) производится АУД:

ModifitA,) -» О_и.

С помощью введенных формальных операций можно описать поведение АС в соответствии с разработанной политикой без­опасности. При выполнении требований обеспечения информа­ционной безопасности, предъявляемых к объектам и субъектам, а также к процедурам взаимодействия с ними, АС будет находиться в безопасном состоянии, в рамках выполнения описанного набо­ра операций. В итоге использования модели удается сформулиро­вать набор априорно неочевидных требований к компонентам сети и системе защиты. Совокупности этих требований должны отве­чать компоненты сети и проектируемая система защиты.

Гл а в а 12

Технологическое и организационное построение КСЗИ