Основы формальной теории защиты информации

Два основных доступа к объекту
1. Доступ на чтение
Если субъект S получает доступ к объекту O на чтение, то это означает, что производится перенос информации от O к S;

2. Доступ на запись
Если субъект S получает доступ к объекту O на запись, то это означает, что производится перенос информации от S к O;

3. Также существует и модификация доступа в виде доступа на активизацию процесса в О
Положение 2. Все вопросы безопасности информации описываются доступами субъектов к объектам (правами на управление чтением или записью)

Монитор безопасности обращений (МБО)
- это фильтр, который разрешает или запрещает доступ, основываясь на установленных в системе правилах разграничения доступа

Требования к МБО:
Ни один запрос на доступ не должен выполняться в обход МБО
Работа МБО должна быть защищена от постороннего вмешательства;
Представление МБО должно быть простым для возможности верификации его работы

Формальные модели управления доступом
Классификация моделей
По назначению

2. По числу уровней секретности

3. По степени абстракции

Модель Харрисона-Руззо-Ульмана (1971 г.)
Разработана в виде матрицы доступа и правил ее преобразования, описывающей права доступа субъектов к объектам.
Введем обозначения:
S – множество субъектов АС;
O – множество объектов АС;
R={r1,r2, …, rk} – множество прав доступа;
O x S x R – пространство состояний системы;
M – матрица прав доступа;
Q(S,O,M) – текущее состояние системы;
M(s,o) – ячейка матрицы, содержащая набор прав доступа субъекта s из S объекту o из O.

Матрица доступа

Переходы состояний матрицы выполняются по следующим 6 командам:
1. Добавление права субъекту
2. Лишение права субъекта
3. Создание нового субъекта
4.Удаление существующего субъекта
5. Создание нового субъекта
6. Удаление существующего субъекта

ФОРМАЛЬНОЕ ОПИСАНИЕ СИСТЕМЫ В МОДЕЛИ ХАРРИСОНА-РУЗЗО-УЛЬМАНА
Система состоит из следующих элементов:
Конечный набор прав доступа R={r1, r2, … , rn};
Конечный набор исходных субъектов S0={s1, s2, … , sm};
Конечный набор исходных объектов O={o1, o2, … , ok};
Конечный набор команд C;
Исходная матрица доступа M0.
Поведение системы в дискретном времени рассматривается как последовательность состояний {Qi}, i=1,2 … .
Каждое последующее состояние является результатом применения некоторой команды по отношению к элементам предыдущего состояния:
Qn+1 = cn(Qn).
Для заданной системы начальное состояние Q0={S0, Q0, M0} называется безопасным относительно права r, если не существует применимой к Q0 последовательности команд, в результате выполнения которой право r будет занесено в ячейку матрицы M, в которой оно отсутствовало в состоянии Q0.
Иначе: субъект никогда не получит право доступа r к объекту, если он не имел его изначально.
Если же право r оказалось в ячейке матрицы M, в которой оно изначально отсутствовало, то говорят, что произошла утечка права r.

МОДЕЛЬ БЕЛЛА-ЛА ПАДУЛЛЫ
Предложена в 1975 году для формализации механизмов мандатного управления доступом.
В модели Белла-ЛаПадуллы субъекты и объекты распределяются по грифам секретности.
При этом выполняются следующие правила:
1. Субъект с уровнем секретности xs может читать информацию из объекта с уровнем секретности xo тогда и только тогда, когда xs преобладает над xo;
2. Субъект с уровнем секретности xs может писать информацию в объект с уровнем секретности xo тогда и только тогда, когда xo преобладает над xs.

Схема информационных потоков в модели Белла-ЛаПадулы

МОДЕЛЬ БИБА
Разработана в 1977 году как модификация модели Белла-ЛаПадулы, ориентированная на обеспечение целостности данных.
Базовые правила модели Биба:
1. Простое правило целостности:
Субъект с уровнем целостности xs может читать информацию из объекта с уровнем целостности xo тогда и только тогда, когда xo преобладает над xs;
2. Правило 2.
Субъект с уровнем целостности xs может писать информацию в объект с уровнем целостности xo тогда и только тогда, когда xs преобладает над xo;