Логическая схема разграничения доступа по классу
При использовании этого механизма уменьшается объем информации для принятия решения (по сравнению с методом разграничения доступа по списку). Недостаток - снижение гибкости разграничения доступа, поэтому разграничение по классам целесообразно применять в системах, где присутствует четкое разделение ОРД по независимым классификационным группам.
Разграничение доступа по уровню
В качестве определения значения предиката Р(Х) = 1 («истина») используется высказывание - “уровень ОРД не больше уровня инициатора”. |
Тогда:
X уровень → некоторая характеристика ОРД, устанавливающая иерархическую упорядоченность ОРД с точки зрения защиты. Уровень инициатора - максимальный уровень ОРД, к которому разрешен доступ этому инициатору.
Принятие решения осуществляется путём сравнения уровня инициатора доступа и уровня запрашиваемого ОРД:
Данный метод позволяет отслеживать простые иерархические зависимости между инициаторами, поскольку выделяемые подмножества ОРД являются вложенными:
ОРД, входящие в {OА} доступны инициаторам A, B и C; ОРД {OВ\OА} доступны только инициаторам B и C; ОРД {OС\OВ} доступны только инициатору C. |
Логическая схема разграничения доступа по уровню
Разграничение доступа по коду доступа
Права инициатора доступа могут включать, кроме собственных прав, права других инициаторов, находящихся в подчинении (административном, функциональном, тематическом и пр.). Включение прав доступа нескольких инициаторов в права доступа некоторого другого инициатора осуществляется по коду доступа. |
Код доступа - сложная позиционная характеристика (показатель), позволяющая выделить подмножество доступных инициатору ОРД в зависимости от места в “дереве полномочий”, каждой вершине которого присваивается код доступа.
ОРД, имеющий определенный код доступа, доступен инициатору, а также всем инициаторам, расположенным на более высоком уровне в “дереве полномочий”. Ситуация отражается соответствующими значениями позиций кода доступа инициатора и кода доступа ОРД |
«Дерево полномочий» при разграничении доступа по коду доступа
Используя этот механизм разграничения доступа, возможно построение сложных иерархических зависимостей.
Подходы к реализации разграничения доступа, связанные с реальными возможностями АС и ситуациями, возникающими при функционировании системы как следствие политики разграничения доступа.
Контекстное разграничение доступа
Разграничение доступа основывается на анализе смыслового содержания самих информационных объектов, входящих в текст законченного в смысловом отношении информационного ресурса (документа, именованного массива информации и т.д.). Информационный объект является либо лексическим элементом документа, массива информации, либо числовым элементом. Для анализа и принятия решения о доступе используются подходы, аналогичные методам разграничения доступа по классу и уровню.
|
Методы разграничения доступа по классу и уровню основаны на логических операциях сравнения характеристик ОРД и инициатора, соответственно “=” (по классу) и “<” (по уровню). Использование операций требует специальные средства для присвоения класса или уровня ОРД и реализации механизма разграничения доступа.
При контекстном разграничении доступа для назначения класса и уровня, реализации операций не обязательно создавать специальный логический инструмент, хранить значения классов и уровней в специальных разделах памяти. В этом случае используется тот факт, что в тексте имеется некоторый информационный объект, который сам несёт в себе эти характеристики.
Примеры:
1. В документальных АИС слово, например, «Москва» может быть не только релевантным информационным объектом при поисковом запросе пользователя, но и ОРД, определяющим возможность доступа данного пользователя к запрашиваемой информации - реализация класса доступа.
2. В фактографических кадровых или финансовых АС, работающих со структурированной информацией, доступ к информационному объекту «заработная плата», как к ОРД, разрешается только в том случае, если текущее значение объекта “заработная плата” больше некоторой определенной для данного инициатора суммы (числа), например, его собственной заработной платы – реализация уровня доступа.
Разграничение доступа к сложным ОРД
Сложным ОРД является функционально связанная в технологическом процессе обработки или передачи информации последовательность (цепочка) простых ОРД.
|
Например:
Пользователю разрешено работать с некоторым массивом данных в рамках определённой функциональной задачи только с помощью определенной программы, но запрещено обрабатывать эту информацию с помощью любой иной программы (хотя эта программа доступна ему для обработки другой информации).
Возникает разрешённая цепочка отношений (сложный ОРД):
«инициатор доступа – функциональная задача – именованная программа – именованный массив данных»
|
В этом случае при обращении к именованному массиву данных необходима проверка показателей доступа, которые формировались на предыдущих этапах процесса.
Необходимо определить:
• какой пользователь (инициатор доступа) →
• в рамках какой функциональной задачи →
• применяя какую программу → обращается к именованному массиву данных.
Эта процедура потребует прослеживать историю обработки задания и за счет наследования необходимых данных строить соответствующую цепочку ОРД, которая затем оценивается с точки зрения прав инициатора доступа в сложившейся ситуации.