Модель Low-Water-Mark
Модель Low-Water-Mark (LWM) представляет близкий к модели БЛ подход к определению свойств системы безопасности, реализующей мандатную (полномочную) политику безопасности. В модели LWM предлагается порядок безопасного функционирования системы в случае, когда по запросу субъекта ему всегда необходимо предоставлять доступ на запись в объект. Описание модели LWM дадим по [1].
Пусть определены конечные множества: S-множество субъектов системы; О-множество объектов системы; R = {read, write} – множество видов доступа субъектов из S к объектам из О.
Обозначим:
– множество возможных множеств текущих
доступов в системе; L-множество
уровней секретности;
– двойка функций (fs,
fo),
определяющих: fs:
S→L
– уровень допуска субъекта и fo:
O→L
– уровень секретности объекта;
– множество состояний системы;
– множество действий системы, где тройка
означает, что система в результате
выполнения операции ор е ОР перешла из
состояния
в состояние
.
Множество ОР содержит операции Read, Write, Reset, описанные в табл. 4.3.
Таблица 4.3
Операция |
Условие выполнения |
Результат выполнения операции |
Read (s,o) |
|
|
Write (s,o) |
|
|
Reset (s,o) |
|
|
В результате выполнения операции Write уровень секретности объекта снижается до уровня доступа субъекта. Если это снижение реально происходит, то вся информация в объекте стирается. В результате выполнения операции Reset уровень секретности объекта становится максимально возможным в системе.
Дадим определения ss-свойства и *-свойства для модели LWM.
Определение 24. Доступ
обладает ss-свойством относительно
,
если
и
.
Определение 25. Доступ обладает ss-свойством относительно , если он удовлетворяет одному из условий:
• r = read и ;
• r = write и .
143
Определение 26. Состояние системы
обладает ss-свойством (*-свойством),
если каждый элемент
обладает ss-свойством (*-свойством)
относительно f.
Определение 27. Состояние системы называется безопасным, если оно обладает ss-свойством и '-свойством одновременно.
Утверждение 1. Операции Read, Write, Reset переводят систему из безопасного состояния в безопасное состояние.
Доказательство. Из описания операций Read, Write, Reset следует, что в результате их выполнения новое состояние системы обладает ss-свойством и *-свойством. •
Заметим, что условие стирания информации при выполнении операции Write является существенным. Хотя при его отсутствии утверждение 1 формально останется истинным. Однако в этом случае с позиций здравого смысла система не будет безопасной, так как возможно возникновение канала утечки информации. Субъект, запрашивая доступ на запись в объект, понижает его уровень секретности, после чего он может запросить доступ на чтение из этого объекта (рис. 4.11).
Данный пример еще раз демонстрирует уязвимость определения безопасности в модели БЛ.
Рис. 4.11. Канал утечки информации