Основные проблемы компьютерной безопасности

Оглавление

компьютерный угроза криптология аутентификация

Введение

. Угроза безопасности. Нарушители. Политика безопасности

Основные проблемы компьютерной безопасности

Способы перечисления угроз

Нарушители

Модель нарушителя

Описание политики безопасности

Модели и механизмы безопасности

Мониторы безопасности пересылок

Принципы разработки Trusted computer Base (ТСВ)

3. Модели секретности

Модель Харисона, Рузо и Ульмана

Управление доступом

Реализация дискреционного контроля доступа

Мандатное управление доступом

Модель китайской стены

Модель целостности Кларка Вильсона

3.7 Модель Липкера

. Идентификация и аутентификация

4.1 Реализация подсистемы идентификации /аутентификации в Windows 2000

. Аудит

Реализация подсистемы аудита Windows 2000

6. Уязвимость

Ошибки, приводящие к уязвимости

Поиск уязвимостей в процессе разработки и анализа систем

Сканеры уязвимостей

. Атаки и вторжения

Идентификация вторжений

Метод анализа динамики развития атак. Система Авгур

. Криптографические методы

Элементы теории чисел

Основные понятия криптологии

Способы создания симметричных криптосистем

Идеальный шифр

. Криптографическая система DES и ее модификация

9.1 Криптографическая система ГОСТ 28.147-89

10. Шифр Ривеста-Шамира-Алдемана

Шифр ЭльГамаля

Открытое распределение ключей

Цифровая подпись

Доказательство при нулевом знании

Литература

 

Введение

В современном мире время, благополучие и даже жизнь многих людей зависят от обеспечения информационной безопасности. В соответствии с определением безопасность информации - состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних и внешних угроз.

Везде, где информация обрабатывается с помощью компьютеров, теоретически можно говорить о компьютерной безопасности. При этом можно отметить значительные проблемы в обеспечении компьютерной безопасности, подтверждаемые постоянными публикациями об успешных атаках на вычислительные системы. Такое положение дел связано со следующими причинами.

Обеспечение компьютерной безопасности не дает никакого вклада в повышение эффективности вычислительного процесса организации, а наоборот, создает ограничение в работе пользователей и отнимает вычислительные ресурсы.

Компьютерная безопасность всего лишь гарантирует то, что не случится неприятностей вследствие нарушения в конфиденциальности, целостности или доступности информации.

Проблема обеспечения компьютерной безопасности является сложной задачей в связи с тем, что она должна решаться комплексно. При этом сложность решения этой задачи растет вместе с ростом сложности вычислительной системы, а чаще всего и с внедрением новых информационных технологий.

В большинстве реальных вычислительных систем обеспечение компьютерной безопасности является процессом. Можно представить вычислительную систему, безопасность которой математически доказана и которая не меняет своих свойств в процессе своей работы. И такую систему действительно можно создать, однако она будет очень дорога и неудобна. В используемых в реальной жизни вычислительных системах чаще всего функционирует программное обеспечение общего назначения, безопасность которого отнюдь не гарантирована. Кроме того, в процессе работы вычислительной системы постоянно изменяются выполняемые функции, так и состав используемого программного обеспечения. Таким образом, обеспечение компьютерной безопасности является не однократным действием, постоянным процессом.

 

1. Угроза безопасности. Нарушители. Политика безопасности

 

Основные проблемы компьютерной безопасности

 

Основные проблемы компьютерной безопасности (КБ)

1. от чего необходимо защищать информацию,

2. от кого защищать,

.   как защищать.

Угроза безопасности - это информация, совокупность условий и факторов, создающих потенциальную и реальною существующую опасность, связанную с утечкой информации и/или несанкционированным и/или непреднамеренным воздействием на нее.

Выделяют три типа угроз безопасности:

1. относящиеся к нарушению конфиденциальности информации,

2. относящиеся к нарушению целостности информации,

.   относящиеся к нарушению к доступности информации.

Угроза нарушения конфиденциальности информации заключается в том, что информация становится известной не полномочному на это лицу. Иногда это называется утечкой информации. Особенностью конфиденциальности является то, что иногда важна не сама информация, а важен факт ее существование.

Угроза нарушения целостности включает в себя любую возможность несанкционированного доступа изменения информации, хранящейся в системе или передаваемой из одной системы в другую.

Угроза нарушения доступности - возможность блокирования доступа к некоторому ресурсу. Вычислительная система (ВС), которая может быть реализована в результате умышленных действий, так и в совокупности случайных факторов. Угроза нарушения доступности связана со свойством надежности системы.

Конфиденциальность информации - свойство, позволяющее не давать право на доступ к информации или не раскрывать ее не полномочным лицам, логическим объектам и процессам.

Средства вычислительной техники (СВТ) или автоматизированная система (АС) обеспечивает неизменность информации в условиях случайного или преднамеренного искажения.

Доступность - это свойство быть доступным по запросу со стороны уполномоченного объекта.

Угрозами безопасности может быть:

·   противоправный сбор и использование информации;

·   внедрение в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные документацией на эти изделия;

·   уничтожение, повреждение, радиоэлектронное подавление;

·   воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации;

·   компрометация ключей и средств криптографической защиты;

·   утечка информации по техническим каналам;

·   внедрение элементарных устройств для перехвата информации;

·   уничтожение, повреждение носителей информации;

·   перехват информации в сетях передачи данных;

·   использование не сертифицированных информационных технологий, средств защиты;

·   несанкционированный доступ информации находящейся в банках.

 

Способы перечисления угроз

 

1.      Произвольный список,

2. составление деревьев угроз,

.   угрозы с защитой.

Наиболее эффективна третья форма, поскольку сразу определяется область и механизм защиты. При выборе механизма защиты обычно не учитываются вычислительные ресурсы, и перечисление угроз с определенным механизмом защиты определяется автономно. При этом может оказаться, что механизм защиты информации потребует дополнительные вычислительные ресурсы. Поэтому иногда рассчитываются потери ресурсов и потери угроз.

По разнице потерь определяется выбор механизма защиты информации.

 

Нарушители

 

Нарушитель - это лицо, предпринявшее попытку выполнения запрещенных операций по ошибке, незнанию, осознанно (в корыстных интересах) или без такового (ради игры, развлечения, с целью самоутверждения) и возможностью испытания различных методов и средств.

Нарушителей можно классифицировать следующим образом:

1.  по уровню знаний об автоматизированной системе (АС);

2. по уровню возможностей;

.   по времени действия;

.   по месту действия.

Первая категория знает функциональные особенности АС, формирование массивов данных, потоков, запросов. Испытывает штатные средства, обладает высоким опытом работы с техническими средствами. Обладает высоким уровнем программирования, знает структуру, функции и механизм защиты информации, их сильные и слабые стороны.

Вторая категория применяет методы инженерии, пассивные средства без модификации компонент, применяют средства активного воздействия и специальных инструментальных и технологичных программ.

Третья группа: как в процессе функционирования, так и в не рабочее время.

Четвертая группа: без доступа на контролируемую территорию; с контролируемой территории без доступа к зданиям; внутри помещения, но без доступа к техническим средствам; с рабочих мест пользователей; с доступом в зону данных; с доступом в зону управления средствами обеспечения безопасности.

Модель нарушителя

 

Нарушители классифицируются по уровню возможностей, представляемых их штатными средствами. Выделяют четыре уровня этих возможностей:

1.  запуск задач из фиксированного набора, заранее предусмотренных функций по обработки информации;

2. запуск собственных программ с новыми функциями, обрабатывающими информации;

.   по возможности управления функционированием автоматизированной системы (АС);

.   определяется всем объемом возможностей лиц, осуществляющих проектирование или реализующих ремонт АС.

Под политикой безопасности понимается набор правовых и организационно-технических мер принятых в конкретной организации. Политика описывает множество условий, при которых пользователи системы могут получить доступ к ресурсам операционной системе (О.С.) без потери безопасности этой системы.

Информационная политика оформляется в виде специальных документов.

С 1 уровня высшего начинается процесс разработки политики безопасности: руководство - инженер безопасности (уровень требований политики) - инженер безопасности (описывающий ограничения на операции рабочим);

второй уровень: инженер безопасности (формальные спецификации);

третий уровень: низкоуровневые формальные спецификации - разработчики - программные и аппаратные реализации.

 

Принципы разработки Trusted computer Base (ТСВ)

 

Существует две технологии проектирования доверенного программного обеспечения (ПО):

·   иерархическое проектирование основано на принципе: "механизм защиты должен быть простым, единым и находится на самом низком уровне системы". При чем иерархическое проектирование может поддерживать многослойную иерархическую структуру подсистем защиты. Такая структура имеет следующие преимущества:

1.  Упрощается структура доверенного программного обеспечения

2. Верификация безопасности более высокого иерархического уровня системы может опираться на верификацию безопасности более низких уровней иерархии.

В качестве уровня можно рассматривать программы приложения, где помещаются программы сервисы приложений пользователя не являющихся частью операционной системы (О.С);

Уровень О.С., где располагаются компоненты О.С.;

Уровень аппаратного обеспечения помещается ПО в строенное в аппаратное обеспечение.

·   Модульное или горизонтальное проектирование, как правило, облегчает декомпозицию системы в ходе ее анализа. В современных системах доверенное программное обеспечение представляет собой множество отдельных взаимосвязанных модулей, выполняющих различные функции. Совокупность таких моделей, образующих доверенное программное обеспечение, определяет так называемый периметр защиты. Модули включают в периметр защиты, если функциональность компоненты влияет на доказательство безопасности системы. Кроме описанных выше, можно выделить следующие дополнительные принципы:

.   Принцип наименьших привилегий. Субъекту даны только те привилегии, которые необходимы для решения задач. При выделении дополнительных привилегий они изымаются после выполнения задачи.

2. Принцип безопасных умолчаний. Данный принцип говорит о том, что по умолчанию доступа к объектам системы не должно быть. Все права доступа должны быть определены явно.

.   Принцип простоты разработки. Для уменьшения вероятности ошибок, обеспечения процесса верификации, тестирования механизмов безопасности.

.   Принцип полного контроля доступа. Контроль выполняется не только при первом доступе, но при каждой последующей операции доступа.

.   Принцип открытой разработки. Безопасность системы не должна быть основана на секретности разработки.

Системы, основанные на секретности разработки, не обеспечивают эффективной защиты от квалифицированных пользователей.

6. Принцип разделения привилегий. Механизмы, предоставляющие доступ к ресурсам системы, не должны принимать решения о доступе, базируясь на единичном условии.

7. Принцип минимального количества разделяемых механизмов. Механизмы, предоставляющие доступ к ресурсам системы, не должны быть разделяемыми. О.С. реализуют этот принцип за счет технологии виртуальных машин.

.   Принцип психологической преемственности. Механизмы не должны требовать значительных вычислительных ресурсов, должны быть легко конфигурируемы и представлять пользователям информацию в удобной форме. Не должны провоцировать собственные отключения.

 

3. Модели секретности

 

В моделях секретности рассматривают два механизма:

. дискреционный (произвольный) контроль и управление доступом.

. мандатный подход

Дискреционное управление доступом представляет разграничения доступа между поименованными субъектами и поименованными объектами.

Передача прав доступа к объектам определяется на основании правил конкретной дискреционной модели. Основой в дискреционной модели доступа к объектам является матрица доступа, которая является концептуальной моделью со спецификацией прав доступа.

 

Матрица дискреционного контроля доступа

	Файл1	Файл2	Файл3	Процесс1	Процесс2
Процесс1		R		RWOX
Процесс2		RW	R	RW	RWOX
Процесс3					RW
Процесс4

RW- право доступа пользователя на чтениеправо доступа пользователя по чтению

О- управление доступа к файлу для других пользователей

Х- право на выполнение процесса (execute)

 

Индивидуальное разрешение, которые могут быть представлены индивидуальными правами, могут иметь следующие функции: reade, write, execute, delete, change Permission, take owner ship.

 

Модель Харисона, Рузо и Ульмана

 

Пусть имеется конечный набор прав R={r1..rn}, конечный набор субъектов S0, конечный набор объектов Оn. Субъект может быть одновременно и объектом, команда, х- формальные элементы (параметры) указывающие на объект. Элементы матрицы доступа являются правами доступа. Состояние системы изменяется при изменении матрицы М. Запросы к системе можно выразить в форме if.

Ввести новые права:r into (s,o) - внесение права r в ячейку (s,o) матрицы доступа

При этом новая

 

=S, =O, [s, o]= [s, o]

x S y O(x, y) (s, o)

[x,y]= [x,y]

 

Удаление субъекта delete:

 

Delete r from (s, o)

=S, =O, [s, o]= [s, o]-r

x S y O(x, y) (s, o)

[x, y]= [x, y]

 

Создание субъекта create:

 

Create subject S

=S {S}, =O {S},

y [s, y]=

x [x, s]=

x S, y O [x, y]= [x, y]

 

Создание объекта:

 

Create object O

=S, =O {S}

y [o, y]=

y [x, o]=

x S, y O [x, y]= [x, y]

 

Убрать субъект:

subject S= -{S}, O= -{O}

y [s, y]=

x [x, y]= [x,y]

x S, y O [x, y]= [x, y]

 

Убрать объект:

object O

=S, =O-{O}

x [x, o]=

x S, y O [x, y]= [x, y]

 

Take(t) grant(G) - модель создается для иллюстрации и доступа. Модель является представлением системы в виде направленного графа, в котором вершинами являются субъекты, объекты представляют окружность. Направленные дуги графа обозначают права, которые имеет объект по отношению к другому. Кроме обычных прав К добавляются еще два права take (t) и grant (g) изменяющих права доступа. Модель обеспечивает множество правил переписания графа, позволяющих изучить изменения графа вследствие передачи прав и изменения состояния системы. Изменение состояния системы выполняется с использованием правил переписания графа. Пусть имеется х обладает правом t по отношению z, а z обладает правом b по отношению к у. Тогда правило Take определяет новый граф. Правило b от х к субъекту у, то есть х берет право b по отношению у от х.

 

 

Правило Grant: пусть в этом случае z является субъектом. Субъект z имеет право g по отношению х и b по отношению к у. z задает право b по отношению к у для х.

 

 

Правило Create представляет или определяет новый граф, который позволяет добавить еще одну вершину с правом b по отношению к х.

 

 

Правило Remove: пусть х и у вершины графа. Х является субъектом. Пусть имеется некоторое право , которое является частью или входом в b.

 

 

3.2 Управление доступом

 

Контроль полномочий доступа подразумевает передачу полномочий другим субъектам. Эта передача соответствует праву own, а методы передачи могут быть:

·   Иерархический

·   Концепция владельца

·   Концепция laissez - faire

·   Центральный

Иерархический метод основан на действиях администратора, который контролирует все полномочия по всем объектам в системе. Передача полномочий доступа осуществляется делегированием полномочий отдельным субъектам.

Преимущество иерархической структуры заключается в том, что все полномочия контролируются доверенным единым пользователем. Концепция владельца ассоциируется с единственным пользователем, имеющим полномочия контроля с объектом. Владелец всегда полностью контролирует, созданный им объект и не может передать полномочия контроля другому объекту. Но он может изменить право доступа к объекту в любой момент.

Концепция владельца рассматривается как иерархия с двумя уровнями:

1.  контроля права доступа

2. безусловным контролем полномочий

 

Реализация дискреционного контроля доступа

 

Дискреционный контроль доступа предполагает выполнение следующих требований:

·   все субъекты и объекты должны быть однозначно идентифицированы

·   для любого объекта должен быть определен пользователь владелец

·   владелец объекта должен обладать правом, определяющим право доступа к объекту со стороны любых субъектов

·   должен существовать привилегированный пользователь, обладающий правом полного доступа к любому объекту. Это свойство определяет невозможность существования потенциально недоступных объектов, владелец, которых отсутствует. Но реализация права полного доступа к любому объекту по средствам назначения себя и его владельцем не позволяет привилегированному пользователю использовать свои полномочия незаметно для реального владельца.

Дискреционное управление доступом реализуется в виде матрицы доступа.

Достоинства:

. простая реализация

. хорошая изученность

. реализуемость в О.С.

Недостатки:

. статичность разграничений доступа, т.е невозможность изменения права доступа к открытому объекту.

. не обеспечивает защиту от утечки конфиденциальной информации

 

S	CO	PO
LU	O, R, W	W
NU	--	O, R, W

CO - объект с конфиденциальной информацией, владелец которого является хороший пользователь- объект с исходным кодом программы, содержит закладку ("троянский конь"), владелец которой нехороший пользователь- нарушитель

 

Нарушитель NU создает ситуацию, при которой владелец объекта с конфиденциальной информацией запускает программу из объекта PO, активируя тем самым закладку, которая имеет в этом случае права доступа NU, читает информацию PO, после этого NU читает информацию конфиденциальную из РО.

 

Мандатное управление доступом

 

Мандатный подход требует ограничения:

1. все объекты и субъекты должны быть однозначно идентифицированы;

2. должен существовать линейно упорядоченный набор меток конфиденциальности и соответствующие им степени доступа;

.   каждому объекту должна быть присвоена метка конфиденциальности;

.   каждому субъекту должна быть присвоена степень доступа;

.   в процессе своего существования каждый субъект должен иметь свой уровень конфиденциальности объектов, в котором данный субъект получил доступ;

.   должен существовать привилегированный пользователь, имеющий полномочия на удаление любого объекта в системе;

.   понизить метку конфиденциальности объекта может только субъект, имеющий доступ к объекту и обладающий специальной привилегией;

.   право на чтение информации из объекта получает только тот субъект, степень допуска которого не больше метки конфиденциальности данного объекта;

.   право на запись информации в объект получает только тот субъект, уровень конфиденциальности которого не меньше метки конфиденциальности данного объекта;

Основной целью мандатного правления является предотвращение утечки информации. Для мандатного подхода характерно, если начальное состояние системы было безопасно и все переходы в системе из одного состояния в другое не нарушают правило разграничения доступа, то любое состояние системы безопасно.

Достоинства:

· высокая надежность работы системы, так как разграничение доступом к объектам контролируется,

·   простота правил определения разграничения доступом.

Недостатки:

·   сложность программной реализации, которая увеличивает вероятность внесения ошибки и появление каналов утечки информации,

·   снижение эффективности, так как проверка прав доступа субъекта к объекту выполняется не только при открытии объекта, но и перед выполнением любой операции,

·   создаются дополнительные неудобства, связанные с невозможностью изменением информации в не конфиденциальном объекте, если тот процесс использует не конфиденциальную информацию.

В оранжевой книге выделено 2 класса защищенности, в которых реализовано дискреционное управление, и 3 в которых мандатное.

Мандатное управление доступом основано на метках конфиденциальности информации и офисном разрешении допуска субъектов. Под уровнем секретности будет пониматься атрибут, который может быть ассоциирован с сущностью системы, может быть ассоциирован степенью критичности в смысле безопасности. Этот атрибут может обозначать степень ущерба от нарушителя безопасности или чувствительность, которая определяет ценность ресурса или важность или может учитывать его уязвимость. Совокупность линейно упорядоченных уровней системы секретности образует классификацию:

·   по уровню общедоступности для служебного использования,

·   степень доверия определяющей уровень секретности функции, отражающие объекты и субъекты на уровне секретности, можно определить на множестве субъектов и объектов.

Кроме уровня секретности вводится множество категорий, которые определяют тип информации. Например, категория для прессы ядерный, стратегический.

Множество уровней секретности образует решетку по отношению к операции упорядочивания.- множество уровней секретности

- операция упорядочивания элементов на этом множестве уровней элементов. Это отношение рефлексивно, транзитивно и ассиметрично. При этом для каждого множества SC существует верхняя граница над этим уровнем.

с=мах (А,В)

1. А С и В С

2. А В и B D C D D SC

 

Классической моделью мандатного управления доступом является модель Белла и Лападула. В основе модели Белла и Лападула лежит работа с документами в правительстве США.

Субъектам с низким уровнем секретности не позволяют читать информацию из объектов с высоким уровнем секретности. Субъектам не позволяют размещать информацию имеющую более низкий уровень секретности.

Второе правило размещения "троянского коня", т.е. запись на более низкий уровень секретности запрещается. На одинаковом уровне секретности субъектам доступна соответствующая информация.

Пусть S - множество субъектов, О - множество объектов, L- решетка уровней секретности.

 

ОS - будут характеризоваться множеством, - множество состоит из упорядоченных пар [F,M]. М - матрица доступа субъектов к объектам.определяет уровни секретности аргументов или субъектов, объектов. Множество запросов R состоит из переходов Т(V R) V. Будут определяться декартовым произведением предыдущего состояния на запрос и переход на новое состояние.

Недостатки модели Белла - Лападула устраняются за счет дополнительного обеспечения, что приводит к усложнению программ, и как правило к дополнительному контролю за скрытыми каналами утечки информации, которые характерны для MAC контроля доступом.

 

Модель китайской стены

 

Выражает динамическое изменение прав доступа. Модель построена следующим образом: сначала определено понятие "китайской стены", а затем множество правил, декларирующих то, что ни один субъект не может получить доступ к данным по некорректную сторону стены.

Основной политикой является утверждение о том, что субъект может получить доступ к информации, не входящей в конфликт с любой информацией, к которой он имел доступ до этого. Пусть существует 3 класса конфликтов интересов: (a,b,c),(d,e,f),(g,h,i). Изначально субъект имеет доступ к любому множеству от a до i, но если субъект получил доступ к множеству e, то согласно второму классу конфликтов интересов ему запрещен доступ к множеству d и f. Формально это правило может быть выражено следующим образом à пусть S-множество субъектов, О - множество объектов, CD - множество объектов, принадлежащих одной компании, COI - класс, описывающий конфликт интересов, PR(S) -множество объектов к которым S имел доступ по чтению. Тогда правило безопасности для китайской стены имеет вид:

S может читать О, если и только если существует О1, для которого SO` CD(O`)=CD(O);

для всех О1 со свойством О1 принадлежащих PR(S) следует COI(O`)=COI(O);

O содержит общедоступную информацию, т.е. доступ по чтению предоставляется субъекту, если доступ к запрашиваемому ресурсу был предоставлен и он не входит в конфликт с запрашиваемым классом. По записи доступ разрешен, если он разрешен простым правилом безопасности и не существует объекта, который может быть прочитан из множества данных, отличного от того, в которое производиться запись и содержащего не общедоступную информацию.

При создании мандатной модели категории целостности, которая так же как в модели Белла-Лападула образует решетку. Модель целостности Биба аналогично модели Белла-Лападула имеет аналогичные правила. Например, целостности записи наверх может представлять угрозу в том случае, если субъект с низким уровнем целостности искажает или уничтожает данные, лежащие на более высоком уровне целостности. Это может быть сформулировано следующими примерами:

нет чтения снизу (no read down);

нет записи наверх (no write up);

По направлению эти правила являются противоположными правилам Белла-Лападула.

Достоинства:

наследует те положительные характеристики модели Белла-Лападула, включая простоту, интуитивность, доходчивость модели при проектировании;

модель Биба также подразумевает монотонное изменение уровней целостности, т.е. уровни остаются неизменными или снижаются, модель не предусматривает повышение целостности.

 

Модель целостности Кларка Вильсона

 

Модель основана на анализе методов управления документооборотом в неавтоматизированном офисе коммерческой организации. Основой для модели являются транзакции, состоящие из последовательности операций, переводящих систему из одного состояния в другое.

Объекты в модели представлены в виде конечного множества данных -D, данные разделяются на два множества: одно- обладает целостностью (контролируется целостность) -CDI (constrained data items); второе- данные не контролируются на целостность - UDI (unconstrained data items);

 

CDI U UDI= D,∩ UDI=Ø.

 

Субъекты включены в модель как множество компонентов, которые могут инициировать транзакцииàTP (transformation procedure). В модели так же определена процедура утверждения целостности àIVP (integrity verification procedure).

Модель Кларка Вильсона можно рассматривать как набор из девяти правил:

1) в системе должны иметься IVP, подтверждающие целостность любой CDI/ Простейшим методом подтверждения целостности является проверка контрольной суммы CDI;

2) применение любой TP к любому CDI должно сохранять целостность этого CDI;

)   только TP могут вносить изменения в CDI; процедуры и действия, не являющиеся TP не могут изменяться CDI;

)   субъекты могут инициализировать только определенные TP над определёнными CDI. Это правило предполагает, что система должна определять и поддерживать некоторые отношения между TP и CDI, так называемые KBM - тройки, которые имеют аргумент(s,t,d), это обозначает, что субъекту S разрешается применить к TP по имени - t, к CDI- d, если это правило не определено, то процедура невозможна! Это правило гарантирует, что всегда можно определить, кто может изменить CDI и как это изменение может произойти;

)   КВМ - тройки должна проводить политику разделения обязанностей субъектов;

)   специальные TP могут превращать UDI в CDI, т.е. повышать целостность данных (специальные TP);

)   каждое применение TP должно регистрироваться в специальном CDI, доступным только для добавления информации. В данной CDI необходимо записывать информацию, достаточную для восстановления работы системы, это правило требует введения специального регистрационного журнала, который храниться в определенном CDI;

)   система должна распознавать субъекты, пытающиеся инициализировать TP. Этот механизм помогает определить атаки подмены;

)   система должна разрешать производить изменения в списке авторизации только специальным субъектам. Это правило гарантирует, что основная защита, определяемая КВМ тройкой, не будет обойдена злоумышленником, пытающимся изменить содержание такого списка.

Эти 9 правил определяют: как может быть проверена целостность, как и кем, могут изменяться CDI, и как UDI могут быть превращены в CDI.

 

3.7 Модель Липкера

 

Модель Липкера представляет собой объединение моделей Белла-Лападула с моделью Биба и представляет собой реализацию требований к разработке программного обеспечения и последующего его использования.

Правила:

) пользователи не имеют права на раз