Мандатные политики безопасности
Мандатные модели управления доступом были созданы по результатам анализа правил секретного документооборота, принятых в государственных и правительственных учреждениях многих стран.
Исходная мандатная политика безопасности строится на базе следующей совокупности аксиом, определяющих правила разграничения доступа субъектов к обрабатываемой информации:
1. Вводится множество атрибутов (уровней) безопасности A, элементы которого упорядочены с помощью установленного отношения доминирования. Например, для России характерно использование следующего множества уровней безопасности A={открыто (О), конфиденциально (К), секретно (С), совершенно секретно (СС), особая важность (ОВ)}.
2. Каждому объекту
компьютерной системы ставится в
соответствие атрибут безопасности
,
который соответствует ценности объекта
и называется его уровнем
(грифом) конфиденциальности.
3. Каждому субъекту
компьютерной системы ставится в
соответствие атрибут безопасности
,
который называется уровнем
допуска
субъекта и равен максимальному из
уровней конфиденциальности объектов,
к которым субъект
будет иметь допуск.
4. Если субъект
имеет уровень допуска
,
а объект
имеет уровень конфиденциальности
,
то
будет иметь допуск к
тогда и только тогда, когда
.
Формально данное правило можно записать
в виде:
.
Основным недостатком исходной мандатной политики безопасности является то, что в ней не различаются типы доступа на «чтение» и «запись». Это создает потенциальную возможность утечки информации сверху вниз, например, путем запуска в компьютерной системе программной закладки с максимальным уровнем допуска, способной записывать информацию из объектов с верхних уровней конфиденциальности в объекты с более низкими уровнями, откуда она может быть прочитана субъектами с низким уровнем допуска.
Пример 1.
Пример подготовить и рассмотреть в интерактивном режиме, предварительно выбрав из числа студентов четырех человек: администратора (формирует множество атрибутов безопасности (О, К, С, СС, ОВ), задает множество объектов, присваивает им уровни конфиденциальности, задает уровни доступа себе (ОВ) и остальным пользователям), первого, второго пользователя и гостя (втроем смотрят и радуются).
Пусть для компьютерной системы задано 4 субъекта доступа S={Administrator, User1, User2, Guest} и 5 объектов O={FILE1.DAT, FILE2.TXT, FILE3.TXT, CD-ROM, FDD}. Множество атрибутов безопасности определено как A={NONCONFIDENTIAL, CONFIDENTIAL, SECRET, TOP SECRET}.
Пусть уровни конфиденциальности объектов определены следующим образом:
FDD – NONCONFIDENTIAL.
CD-ROM – CONFIDENTIAL.
FILE1.DAT – SECRET.
FILE2.TXT – SECRET.
FILE3.TXT – TOP SECRET.
Пусть уровни допуска субъектов определены следующим образом:
Administrator – TOP SECRET.
User1 – SECRET.
User2 – CONFIDENTIAL.
Guest – NONCONFIDENTIAL.
Тогда, согласно правилам исходной мандатной модели:
- субъект Administrator будет иметь допуск ко всем объектам;
- субъект User1 будет иметь допуск к объектам FDD, CD-ROM, FILE1.DAT, FILE2.TXT;
- субъект User2 будет иметь допуск к объектам FDD, CD-ROM;
- субъект Guest будет иметь допуск только к объекту FDD.
Однако, злоумышленник, в качестве которого возьмем субъекта Guest (в этот момент Guest с нескрываемой радостью улыбается!), завербовав пользователя User1 (тоже улыбается), сможет получить доступ к информации из объекта File1.dat, если User1 запишет эту информацию в объект FDD, что будет ему разрешено.
Политика безопасности Белла-ЛаПадулы (БЛМ) устраняет данный недостаток исходной мандатной политики безопасности и осуществляет контроль доступа субъектов к объектам компьютерной системы в зависимости от уровня допуска субъекта и уровня конфиденциальности объекта на основании двух следующих правил:
Правило NRU (нет чтения сверху). Согласно данному правилу субъект с уровнем допуска может читать информацию из объекта с уровнем конфиденциальности
тогда и только тогда, когда
.
Формально данное правило можно записать
как
(см. рис. 4).Правило NWD (нет записи вниз). Согласно данному правилу субъект с уровнем допуска может записывать информацию в объект с уровнем конфиденциальности
тогда и только тогда, когда
.
Формально данное правило можно записать
как
(см. рис. 4).
Рис. 4. Демонстрация правил политики безопасности Белла-ЛаПадулы
Введение свойства NWD разрешает проблему программных закладок, так как угроза записи информации на более низкий уровень, типичная для них, запрещена.
Пример 2.
Рассмотрим пример компьютерной системы, введенной в примере 1. При ее реализации в рамках политики БЛМ возможно выполнение следующих операций.
1. Субъект Administrator будет иметь допуск по чтению из всех объектов, и допуск по записи в объект FILE3.TXT;
2. Субъект User1 будет иметь допуск по чтению из объектов FDD, CD-ROM, FILE1.DAT, FILE2.TXT и допуск по записи в объекты FILE1.DAT, FILE2.TXT, FILE3.TXT;
3. Субъект User2 будет иметь допуск по чтению из объектов CD-ROM, FDD и допуск по записи в объекты FILE1.DAT, FILE2.TXT, FILE3.TXT, CD-ROM;
4. Субъект Guest будет иметь допуск по чтению из объекта FDD и допуск по записи во все объекты.