В последующих лекциях мы рассмотрим каждую из представленных политик безопасности (политик разграничения доступа).

ЛЕКЦИЯ №3

Дискреционные политики безопасности

Исходная дискреционная политика безопасности (политика избирательного разграничения доступа к информации) формируется путем задания администратором набора троек следующего вида , где – субъекты доступа, – объекты доступа, – права доступа, которыми наделены субъекты к объектам (например, чтение, запись, исполнение и т.д.).

При формировании дискреционной политики безопасности обычно формируют дискреционную матрицу доступов , строки которой соответствуют субъектам системы, столбцы – объектам, а в ячейках матрицы хранят множество типов доступов. Пример данной матрицы представлен в таблице 1.

Таблицу заполнять в интерактивном режиме, предварительно выбрав из числа студентов трех человек: администратора (формирует множество прав доступа, заполняет матрицу, наделяя себя и других пользователей конкретными правами доступа ко всем объектам), гостя (смотрит и радуется) и пользователя (смотрит и радуется).

Табл. 1. Дискреционная матрица доступов

Прокомментировать построенную матрицу доступов, например, так: Пользователь имеет права на чтение и запись в Файл_2. Передавать эти права другому пользователю он не может. Администратор, разумеется, имеет полные права ко всем субъектам доступа.

ВАЖНО: после участия студентов в рассмотрении данного примера, раздать каждому из них «галочки»: администратору – за реализацию и ответственное администрирование дискреционной политики безопасности, а также за гостеприимное (на правах хозяина) отношение к гостю и пользователю; гостю – за то, что не использовал в своих корыстных интересах гостеприимство администратора; пользователю – за просто так.

Модель безопасности Харрисона-Руззо-Ульмана (HRU) является классической дискреционной моделью, реализующей произвольное управление доступом субъектов к объектам и осуществляющей контроль за распространением прав доступа.

Здесь поведение системы безопасности моделируется с помощью автоматной модели путем перехода автомата из состояния в состояние. Состояние системы безопасности в некоторый момент характеризуется состоянием автомата и описывается тройкой Q =(S, O, M), где S – множество субъектов системы, O – множество объектов системы, M=M [ s, o ] – матрица доступов. Права доступа берутся из некоторого конечного множества T. Переход автомата из состояния в состояние осуществляется согласно запросам на изменение матрицы доступов.

Вводятся следующие операции op, изменяющие матрицу доступов:

- enter t into (s, o) – внести право t в (s, o);

- delete t from (s, o) – удалить право t из (s, o);

- create subject s – создать субъект s;

- create object o – создать объект o;

- destroy subject s – уничтожить субъект s;

- destroy object o – уничтожить объект o.

В модели HRU запросы на изменение матрицы доступов осуществляются в следующей форме: ЕСЛИ

t₁ in M [ s₁, o₁ ] and

t₂ in M [ s₂, o₂ ] and

…

t_m in M [ s_m, o_m ]

ТО

op₁

op₂

…

op_n

В начальное время система находится в начальном состоянии Q₀.

Имея начальное состояние Q₀ и право t, говорят, что Q₀ безопасно по отношению к t, если отсутствует последовательность запросов на изменение матрицы доступов, при которой t запишется в ячейку матрицы доступов, где она отсутствует в настоящий момент. В модели HRU исследуется вопрос, сможет ли некоторый субъект s приобрести право t для объекта o, если система стартует из состояния Q₀.