Н.В. Курмышев, С.В. Попов

Назначение модели
Описание дискреционных и ролевых схем организации прав доступа.
Анализ характеристик схем и систем прав доступа.
позволять описывать различные дискреционные и ролевые схемы, определяющие права доступа пользователей к ресурсам;
охватывать максимально возможное количество схем назначения прав доступа;
позволять анализировать следующие характеристики схем:
Назначение модели:
Требования к модели:
сложность администрирования;
вычислительная сложность;
сложность реализации;
избыточность;
превышение доступа.

Общий вид модели
Модель представляется в виде ориентированного графа, объединяющего множества субъектов, ресурсов и прав доступа. При этом дуги графа обозначают передачу прав доступа от одного элемента системы другому.

Пример маршрута доступа
Пример маршрута доступа из субъекта si к праву aj. Если такой маршрут существует, пользователь si имеет доступ aj к ресурсу rk

Пример представления табличной схемы
Табличная схема предполагает отсутствие наследования по всем множествам.

Пример представления схемы с наследованием по ресурсам
Наиболее популярная схема для простых веб-приложений.
Позволяет наследовать права по иерархии ресурсов.

Схема IBM WebSphere Portal
Схема, применяемая в WebSphere Portal является одной из наиболее универсальных из представленных на рынке.
Позволяет наследовать права по иерархии пользователей, ресурсов и прав внутри ресурсов. Также позволяет блокировать наследование определенной роли по иерархии ресурсов.

Сложность реализации
Сложность реализации – трудозатраты на программную реализацию схемы.
Сложность реализации имеет значение при реализации относительно небольших проектов, где на первое место ставится простота и быстродействие. Эта характеристика применима только к схемам, но не к конечным системам, поскольку именно схема определяет программный код.
Среализации ~
K1*наличие схемы прав доступа +
K2*наличие групп +
K3*наличие связей между группами +
K4*наличие наследования ресурсов +
K5*наличие ролей

Сложность администрирования
Сложность администрирования – трудозатраты на администрирование системы, построенной по заданной схеме.
Сложность администрирования возрастает с увеличением количества администрируемых объектов.
Будем рассматривать сложность администрирования как количество узлов и дуг графа, создаваемых вручную администратором.
Садминистрирования ~
(Среднее количество прав, назначаемых одному субъекту) *
(!Наличие групп * Количество пользователей + Наличие групп *
(!Наличие связей между группами * Количество пользователей/Среднее количество пользователей в группе + Наличие связей между группами / Среднее количество подгрупп всех уровней для групп схемы))

Вычислительная сложность
Вычислительная сложность – среднее количество операций, выполняемых системой для определения наличия права доступа.
Чем сложнее схема и больше объектов, тем выше вычислительная сложность.
Свычислительная ~
log (Количество пользователей) *
log (Количество групп) *
Средняя глубина наследования групп *
log (Количество ресурсов) *
Средняя глубина наследования ресурсов *
log (Среднее количество прав доступа для ресурса) *
Средняя глубина наследования ролей в ресурсе

Избыточность
Избыточность – свойство схемы, позволяющее назначать право доступа несколькими путями в один момент времени (за счет наследования).
В конечном итоге влияет на безопасность системы, например администратор может удалить пользователя из группы с целью отобрать у него право доступа к определенному ресурсу. Но при этом пользователь будет наследовать это право через другую группу.
S(M) – сумма элементов матрицы M,
M* - матрица количества всех возможных путей в графе,
М*1 – матрица, полученная из M* путем замены всех ненулевых элементов на 1

Превышение доступа
Превышение доступа – получение пользователями системы не запрошенных прав доступа.
Возникает при наличии наследования. Пользователь может получить унаследованное право на ресурс, в то время как доступ к нему не был необходим.
PD – множество запрошенных прав доступа,
PP – множество предоставленных прав доступа

Сравнение различных схем
В качестве примера для сравнения приведем две схемы. В первой схеме используются группы пользователей, во второй группы отсутствуют.

Зависимость сложности администрирования от количества пользователей
При наличии групп сложность администрирования значительно ниже.

Зависимость вычислительной сложности от количества пользователей
В схеме с группами вычислительная сложность выше.

Зависимость сложности администрирования от количества ресурсов
Наличие наследования ресурсов так же существенно снижает сложность администрирования, как и наличие групп пользователей.
Сравним две другие схемы. В первой присутствует наследование ресурсов, во второй – нет.

Зависимость вычислительной сложности от количества ресурсов
Вычислительная сложность при наличии наследования значительно выше, чем без наследования ресурсов.

Имитационная модель
Для подтверждения результатов аналитической модели была разработана имитационная модель, эмулирующая различные схемы.
В ходе имитации был подтвержден характер зависимостей, проанализированных в аналитической модели.