Модель Белла и Лападулла

Модель Белла и Лападулла — это модель мандатного доступа, в которой действуют два правила:

=> NoReadUp — Запрет на чтение объекта субъектом более низкого уровня

=> NoWriteDcwn — Запрет на запись в объект субъектом более высокого уровня

Запишем правила, специфицирующие данную модель на языке описания политик безопасности:

Привило: Уровень безопасности группы выше уровня безопасности группы g_i если i>j

Отношения сравнения субъекта с субъектом определяется включением группы одного субъекта в группу другого:

s > s’ <=> dirin(s’,g)^in(s,g)^ in(s’g)

s < s' <=> dirin{s, g')^ in(s, g')^ in(s, g')

s = s' <=> in(s, g) ^ in(s’, g)

Вместо введения решетки уровней безопасности для объектов, иерархия безопасности объектов косвенно задается через права и иерархию субъектов:

s < о <=>$s’ ^ g': dorcando(o,s’,+w)^dirin(s,g’)^ in(s’,g')^ in(s,g')

s > о <=>$s' ^ g: dorcando(o,s’,+r)^ dirin(s’,g)^ in(s,g)^ in(s’,g)

s = o <=> $s’ ^ s’’ ^g: dorcando{o, s’,+r)^ dorcando(o, s’’,+w) ^ in{s’,g) ^ in{s’’,g) ^ in(s,g)

Таким образом, уровень объекта определяется нечетко в диапазоне между субъектом с наименьшим уровнем, который может его читать, и наибольшим, могущим в него писать, в соответствии с принципом движения информации вверх по иерархии субъектов в данной модели. В этих трех отношениях и проявляется

Правило 2

Cando(o, s₁,+r) ^ cando(o, s₂,+w) ^s₂^> s₁ —> do(o, s₂,—w)

Если из начальных условий следует, что субъект 2 более высокого уровня мо­жет писать в объект и субъект 1 более низкого уровня может читать этот объект, то происходит нарушение принципа модели Белла и Лападулла, гласящего, что информа­ция двигается вверх, и выраженного в правилах NRU и NWD. Для разрешения этого противоречия можно запретить субъекту 1 (более низкого уровня) читать объект (что приведет к истинности отношения S₂<o), либо запретить субъекту 2 (более высокого уровня) писать в объект (что приведет к истинности отношения S₁>o). В данном случае выбран второй вариант, при возникновении противоречия присваивающий объекту наименьший отличие описываемых моделей от классических мандатных, причем классические модели являются частным случаем данных.

Политика разрешения конфликтов.

Правило 1

do(o,s,-a) cando{o,s,+a} ^ cando{o,s,—a)

Если начальное состояние системы одновременно авторизует и запрещает ка­кое-либо право субъекта по отношению к объекту, то преобладает запрет.возможный уровень безопасности.

Правило 3

do(o,s,+a) cando(o,s,+a)^ do{o,s,—ci)

Если в соответствии с начальными условиями субъект имеет право "а" по от­ношению к некоему объекту, и правила 1 и 2 не отменяют его, то это право сохраняет­ся.

Политика авторизации.

Правило 1

Dorcando(o, s,±a)do(o, s,±ai)

Правила авторизации выводимы из начальных условий.

Правило 2

dorcando{o,s,+a) dorcado{o,s,-a)

В связи с открытой политикой безопасности "что не запрещено, то разрешено'

Правило 3 (NRU)

dorcando(o,s,-r) s< о

Субъект не может читать объект, если найдется субъект более высокого уров­ня, имеющий право писать в объект.

Правило 4 (NWD)

dorcando(o,s,-w)s > о

Субъект не может писать в объект, если найдется субъект более низкого уров­ня, имеющий право читать объект.

Правило 5 (Правило доопределения уровней объектов)

dorcando{o,s,+a) done{o,s,+a)

Правила построены таким образом, что когда уровень объекта определен не­четко в промежутке между уровнем g_i и g_i+k, субъекты, лежащие в данном промежутке уровней, изначально имеют полный доступ (+г и +w) к данному объекту. Однако, при первом обращении какого-либо субъекта из этого промежутка к данному объекту, диа­пазон уровней, которому принадлежит объект, сужается, чтобы не нарушить принцип движения информации в одном направлении (для модели Белла и Лападулла это — движение информации вверх). Таким образом, уровень объекта доопределяется в процессе работы системы в соответствии с направлением движения информации.

Модель Белла и Лападулла с доверенными субъектами

Доверенный субъект — это субъект, все операции которого над объектами ап­риорно безопасны. Доверенному субъекту разрешено писать и читать любой объект не­зависимо от уровня его секретности. Для описания данной модели к модели Белла и Лападулла добавляется еще одно правило:

Правило введения доверенных субъектов:

$S: in(s, S)^ dirnn(s,G)

В связи с открытой политикой безопасности (что не запрещено, то разрешено), субъекты, не принадлежащие группе G, имеют полный доступ к любым объектам.

Модель Биба

Данная модель является инверсией модели Белла и Лападулла. В ней действу­ют два правила:

=> NoRecidDown Запрет на чтение объекта субъектом более высокого уровня.

=> NoWriteUp Запрет на запись в объект субъектом более низкого уровня.

Поскольку модель Бнба является полной инверсией модели Белла и Лападулла, то для описания данной модели достаточно просто инвертировать правило:

Уровень целостности группы g_i, выше уровня целостности группы g_j, если i<j. Более

высокий уровень целостности соответствует более низкому уровню безопасности. Ос­тальные правила остаются абсолютно идентичными модели Белла и Лападулла:

Модель Биба с понижением уровней субъектов или объектов.

Данные модели аналогичны модели Биба, в них сохраняется закон движения информации вниз, однако правила NoReadDown или NoWriteUp могут быть нарушены. При этом, в зависимости от модели, происходит понижение уровня субъекта или объ­екта:

Для модели Биба с понижением уровней субъектов:

Правило NoWriteUp — такое же, как и в модели Биба, однако субъект может читать объ­ект вопреки правилу NoReadDown, при этом уровень субъекта понижается до уровня объекта.

Для модели Биба с понижением уровней объектов:

Правило NoReadDown — такое же, как и в модели Биба, однако субъект может писать в объект вопреки NoWrileUp, при этом уровень объекта понижается до уровня субъекта.

Опишем правила, дополняющие модель Биба до соответствующей модели:

Для модели Биба с понижением уровней субъектов dorcando(o,s,-r) s > о v (s₁ < s^ done{s₁,o,+r'))

Для модели Бнба с понижением уровней объектов

dorcando(o,s,-w) s < о v (o₁<o^ done(s,o,r))

Модель Биба с понижением уровней объектов является инверсией модели Биба с понижением уровней субъектов относительно принадлежности сущности множеству субъектов или объектов, в связи с чем в дальнейшем возможна коррекция рассмотрен­ного языка таким образом, чтобы объекты и субъекты представляли собой одну сущ­ность двух типов, а операции чтения/записи заменены на одну операцию "направлен­ный поток информации", что позволит описывать модели Биба с понижением уровней субъектов и объектов как разновидность (инверсию) одной модели

Дата добавления: 2015-12-01