Специализированная модель MMS

С целью устранения обозначенных недостатков Лендвером и Мак-Лином в модели передачи военных сообщений (MMS - military message system) были предложены определения; сформулированы и доказаны формальная и неформальная модели MMS.

Определение 1

Классификация - обозначение, накладываемое на информацию, от­ражающее ущерб, который может быть причинен неавторизованным дос­тупом, включающим уровни: Secret, Top secret, и метки Crypto, Nuclear и т.д. Множество классификаций и отношений между ними образуют ре­шетки.

Определение 2

Степень доверия пользователю - уровень благонадежности персоны. Каждый пользователь имеет степень доверия, и операции, производимые системой для данного пользователя, могут проверить степень доверия пользователю и классификацию объекта, с которыми он оперирует.

Определение 3

Пользовательский идентификатор - строка символов, используемая для того, чтобы отметить пользователя системы. Чтобы использовать сис­тему, пользователь должен предъявить ей пользовательский идентифика­тор, а система должна провести его аутентификацию. Данная процедура называется логин. Каждый пользователь должен иметь уникальный логин.

Пользователь - это персона, уполномоченная для использования системы.

Определение 4

Роль - это работа, исполняемая пользователем. Пользователь всегда ассоциирован как минимум с одной ролью в некоторый момент времени. Он может менять роль в течение сессии. Для действий в данной роли пользователь должен быть уполномочен. Некоторые роли могут быть свя­заны только с одним пользователем в данный момент времени.

Определение 5

Объект - это одноуровневый блок информации. Это минимальный блок информации в системе, который имеет классификацию, т.е. объект не содержит других объектов и он не многоуровневый.

Определение 6

Контейнер - многоуровневая информационная структура. Имеет классификацию и может содержать объекты, каждый со своей классифи­кацией, и/или другие контейнеры. Пример контейнера - файл.

Определение 7

Сущность - это объект или контейнер.

Определение 8

Требования степени доверия контейнеров - атрибут некоторых кон­тейнеров. Для некоторых контейнеров важно требовать минимум степени доверия, т.е. пользователь, не имеющий соответствующий уровень благо­надежности, не может просматривать содержимое контейнера. Такие кон­тейнеры помечаются соответствующим атрибутом - CCR. Если у нас есть пользователь со степенью доверия «confidential», то он не может просмат­ривать параграф сообщения «confidential» из документа «top secret», если этот документ находится в CCR-контейнере. Если нужно это разрешить -документ необходимо извлечь из контейнера.

Определение 9

Идентификатор (ID) - имя сущности без ссылки на другие сущности. Пример - имя файла является идентификатором файла. Обычно все сущ­ности имеют идентификатор.

Определение 10

Ссылка на сущность является прямой, если это идентификатор сущ­ности.

Определение 11

Ссылка на сущность является косвенной, если это последователь­ность двух или более имен сущностей, из которых только первое - иден­тификатор.

Определение 12

Операция - функция, которая может быть применена к сущности. Она может позволять просматривать или модифицировать сущность. Не­которые операции могут использовать более одной сущности (например, копирование).

Определение 13

Множество доступа - множество троек (пользовательский иденти­фикатор или роль, операция, индекс операнда), которые связаны с сущно­стью.

Определение 14

Сообщение - особый тип, реализуемый в данной модели. Является контейнером. Включает поля «куда», «откуда», «время», «предмет», «текст», «автор». Чертежные сообщения включают поле чертежа.

Неформальная модель MMS

Пользователь получает доступ к системе только после прохождения процедуры login. Для этого пользователь предоставляет системе пользова­тельский идентификатор, и система производит аутентификацию, исполь­зуя пароли, отпечатки пальцев или другую адекватную технику. После ус­пешного прохождения аутентификации пользователь запрашивает у сис­темы операции для использования функций системы. Операции, которые пользователь может запросить у системы, зависят от его Id или роли, для которой он авторизован.

С использованием операций пользователь может просматривать или модифицировать объекты или контейнеры. При этом система реализует следующие ограничения:

1) Предположение безопасности:

А1: офицер безопасности системы присваивает уровни доверия, производит классификацию устройств и создает множество ролей корректно;

А2: пользователь вводит корректную классификацию, когда из­меняет, объединяет и переклассифицирует информацию; A3: пользователь классифицирует сообщения и определяет мно­жество доступа для сущностей, которые он создает так, что толь­ко пользователь с требуемой благонадежностью может просмат­ривать информацию;

А4: пользователь должным образом контролирует информацию объектов, требующих благонадежности;

2) Ограничение безопасности (относятся к компьютерной системе):
В1: Авторизация. Пользователь может запрашивать операции над
сущностями, только если пользовательский идентификатор или
текущая роль присутствуют во множестве доступа сущности вме­
сте с этой операцией и со значением индекса, соответствующим
позиции операнда, в которой сущность относят к требуемой опе­
рации.

В2: Классификационная иерархия. Классификация контейнера всегда больше или равна классификации сущностей, которые он содержит.

ВЗ: Изменение объектов. Информация, переносимая из объекта, всегда наследует классификацию данного объекта. Информация, вставляемая в объект, должна иметь классификацию ниже клас­сификации этого объекта.

В4: Просмотр. Пользователь может просматривать только сущно­сти с классификацией меньше, чем классификация устройства вывода и степень доверия к пользователю.

В5: Доступ к контейнерам, требующим степени доверия. Пользо­ватель может получить доступ к косвенно адресованной сущности

внутри контейнера, требующего степени доверия, только если его степень доверия не ниже классификации контейнера. В6: Преобразование косвенных ссылок. Пользовательский иден­тификатор признается законным для сущности, к которой он об­ратился косвенно, только если он авторизован для просмотра этой сущности через ссылку.

В7: Требование меток. Сущности, просмотренные пользователем, должны быть помечены его степенью доверия. В8: Установка степеней доверия, ролей, классификации уст­ройств. Только пользователь с ролью офицера безопасности сис­темы может устанавливать данные значения. Текущее множество ролей пользователя может быть изменено офицером безопасности или самим пользователем.

В9: Понижение классификации информации. Никакая классифи­цированная информация не может быть понижена в уровне своей классификации, за исключением случая, когда эту операцию вы­полняет пользователь с ролью «пользователь, уменьшающий классификацию информации».

В10: Уничтожение информации. Эта операции проводится только пользователем с ролью «пользователь, уничтожающий информа­цию».

Формальная модель MMS

Разработаем формальную модель MMS, соответствующую нефор­мальным спецификациям, данным выше.

Предполагая существование множества возможных пользователей и множества возможных сущностей, можно определить состояние системы, включая ее безопасное состояние. Далее определяется система и ее исто­рия, вводятся ограничения на переход из одного состояния в другое. Сис­тема, все переходы которой удовлетворяют данным ограничениям, безо­пасна для переходов. В заключение определяется безопасная история и безопасность системы.

Основной идеей проведения формализации является взгляд на ком­пьютерную систему как на взаимоотношения между состояниями системы и самой системой. Предполагается, что состояние системы состоит из сущностей и их отношений, и система добавляет к данным отношениям пользователей и пользовательские операции над сущностями. Следова­тельно, все ограничения на свойства пользователей включены в определе­ние безопасности системы. Данный взгляд разделяет состояние системы и саму систему в терминах статики в противоположность динамическим свойствам. Статические свойства - свойства, которые сохраняются для всех состояний системы, и, следовательно, могут быть проверены для изолированного состояния системы; динамические состояния - те, кото-

рые нуждаются в исследовании взаимоотношений между состояниями безопасности, и, следовательно, могут быть проверены только исследова­нием двух или более состояний. В определение безопасности состояния включены только статические свойства.

Принципиальной трудностью, возникающей при формализации мо­дели, является интерпретация «копирования», «просмотра», «вывода сис­темы» и «авторизованной операции». Информация считается копируемой не только тогда, когда она непосредственно переносится из одной сущно­сти в другую, но и когда она дает потенциальный вклад в другую сущ­ность. Например, если операция сканирует файл сообщений А и копирует сообщения, выбранные фильтром Ф в файл сообщений Б, то и А, и Ф яв­ляются потенциальным вкладом в модификацию Б (и, следовательно, субъектом для ограничений, вызванных безопасностью копирования и CCR безопасностью), даже если и А, и Ф - пусты. Семантика для про­смотра - проста: сущность может быть просмотрена, если операция делает ее членом выходного контейнера.

В формализации вывод системы интерпретируется как множество контейнеров; другие сущности, части сущностей, ссылки и классифика­ции, которые видны пользователю, интерпретируются как копирующиеся в контейнер выхода.

Семантика авторизованных операций неспецифицирована. Можно только сказать, что неавторизованные операции не должны изменять со­стояние системы, исключая сообщения об ошибке.

6.2.3. Достоинства и недостатки моделей предоставления прав

Достоинства:

1) Интуитивная понятность.

2) Возможность реализации с высокой степенью точности.

Недостатки:

1) Возможность образования скрытых каналов утечки информации. Скрытые каналы утечки информации обнаружить несложно, но лишь в процессе эксплуатации системы, поэтому их сложно ликвидировать.