Модель безопасности БеллЛа Падула (1975)
Одна из первых мандатных моделей безопасности - и впоследствии наиболее часто используемой - была разработана Дэвидом Беллом и Леонардо Ла Падула для моделирования работы компьютера. Модель включает в себя понятие безопасного (с точки зрения политики) состояния и перехода. Для принятия решения на разрешение доступа производится сравнение метки критичности объекта с уровнем прозрачности и текущим уровнем безопасности субъекта. Результат сравнения определяется двумя правилами: простым условием защиты (simple security condition) и свойством ограничения (restriction security condition).
Рассмотрим систему из двух файлов и двух процессов. Один файл и один процесс являются несекретными, другой файл и процесс - секретными.
Секретный
файл
Несекретный
файл
Секретный процесс
чтение
запись
Несекретный процесс
чтение
чтение
прямая утечка косвенная утечка
Простое условие защиты предотвращает чтение секретного файла несекретным процессом – то есть запрещена прямая утечка.
Однако легко может произойти нарушение правил управления доступом, если секретный процесс считает информацию из секретного файла и запишет ее в несекретный файл. Это эквивалентно неавторизованному уменьшению класса доступа информации, хотя при этом не изменяется класс доступа ни одного файла.
Когда процесс записывает информацию в файл, класс доступа которого меньше, чем класс доступа процесса, имеет место процесс записи вниз - косвенная утечка. Ограничение, направленное на исключение нисходящей записи получило в модели БеллЛа Падула название свойства ограничения.
Таким образом, мандатная модель безопасности имеет два основных свойства:
простое условие защиты: субъект может читать объект, если класс доступа субъекта доминирует над классом доступа объекта - субъект может читать "вниз", но не может читать "вверх";
свойство ограничения: субъект может записать в объект, если класс доступа субъекта не превосходит класс доступа объекта, таким образом, субъект не может записать "вниз".
Процесс не может ни читать объект с высшим классом доступа (свойство простой безопасности), ни записать объект с низшим классом доступа (свойство ограничения).
Модель БеллЛа Падула определяет структуру класса доступа и устанавливает упорядочивание отношений между ними (доминирование). Кроме того, определяются два уникальных класса доступа: SYSTEM HIGH, который превосходит все остальные классы доступа, и SYSTEM LOW, который превосходят все другие классы. Изменения классов доступа в рамках модели БеллЛа Падула не допускаются.
Состояние системы считается безопасным, если соотношения между уровнями защиты объектов и субъектов удовлетворяют как простому условию защиты, так и условию-свойству ограничения.
Управление доступом в модели БеллЛа Падула может происходить как с использованием матрицы управления доступом, так и с использованием меток безопасности и ранее приведенных правил простой безопасности и свойства ограничения.
В дополнение к имеющимся режимам доступа чтения и записи, матрица управления доступом включает режимы добавления, исполнения и управления - причем последний определяет, может ли субъект передавать другим субъектам права доступа, которыми он обладает по отношению к объекту. Использование меток безопасности усиливает ограничение предоставляемого доступа.
В модели БеллЛа Падула определено около двадцати функций (правил операций), выполняемых при модификации компонентов матрицы доступа, при запросе и получении доступа к объекту (например, при открытии файла), создании и удалении объектов; при этом для каждой функции доказывается сохранение ею, в соответствии с определением, безопасного состояния. Лишь немногие разработки безопасных систем использовали функции, предложенные Белл и Ла Падула, чаще использовались собственные функции, разработанные на основе функций модели БеллЛа Падула. Поэтому в настоящее время, когда говорят о модели БеллЛа Падула, имеют в виду только простое условие безопасности и свойство ограничения, а не функции, составляющие основу модели, и их доказательства.
Монитор обработки 11 запросов на основе модели БеллЛа Падула был реализован в виде программно-аппаратного ядра защиты ОС Multics (предшественник UNIX), а также семейства ОС VAX.
Атрибутные схемы (смешанная модель) ABAC
Атрибутные способы задания матрицы доступа основаны на присвоении субъектам и/или объектам определенных меток, содержащих значения атрибутов. режим доступа, которым обладает субъект по отношению к объекту, определяется при сравнении их меток безопасности.
Наиболее известным примером неявного задания матрицы доступа является реализация атрибутной схемы в операционной системе unix.
Основными достоинствами этих схем являются:
экономия памяти, так как элементы матрицы не хранятся, а динамически вычисляются при попытке доступа для конкретной пары субъект-объект на основе их меток или атрибутов;
удобство корректировки базы данных защиты, то есть модификации меток и атрибутов;
удобство отслеживания ограничений и зависимостей по наследованию полномочий субъектов, так как они не хранятся в явном виде, а формируются динамически;
отсутствие потенциальной противоречивости.
Недостатки:
затраты времени на динамическое вычисление значений элементов матрицы при каждом обращении любого субъекта к любому объекту.
Дополнительные средства управления доступом
Удобной надстройкой над средствами логического управления доступом является ограничивающий интерфейс, когда пользователя лишают самой возможности попытаться совершить несанкционированные действия, а только те, на которые он имеет право. Подобный подход обычно реализуют в рамках системы меню (пользователю предоставляют лишь допустимые варианты выбора) или посредством ограничивающих оболочек, таких как restricted shell в ОС UNIX.
Безопасность повторного использования объектов – важное дополнение средств управления доступом любого типа, предохраняющее от случайного или преднамеренного извлечения конфиденциальной информации из “мусора” (trash). Безопасность повторного использования должна гарантироваться для областей оперативной памяти (например, буфер с образом экрана), для дисковых блоков и магнитных носителей в целом.