Модели обеспечения целостности

Цель политики безопасности в данных моделях — зашита от нарушения целостности информации. Наиболее известны в этом классе моделей мандатная модель целостности Биба и модель Клар­ка—Вильсона. В основе модели Биба лежат уровни целостности, аналогичные уровням модели Белла—Лападула. В отличие от модели Белла—Лападула чтение разрешено теперь только вверх (от субъекта к объекту, уровень ценности которого превосходит уровня субъек­та), а запись — только вниз. Правила данной модели являются пол­ной противоположностью правилам модели Белла—Лападула.

В модели Биба рассматриваются следующие доступы субъек­тов к объектам и другим субъектам: доступ субъекта на модифи­кацию объекта, доступ субъекта на чтение объекта, доступ субъекта на выполнение и доступ субъекта к субъекту.

В отличие от модели Белла—Лападула требования безопасно­сти в модели Биба динамические, так как для их описания исполь­зуются элементы текущего и последующего состояний системы.

Подобно модели Белла—Лападула, модель Биба простая и яс­ная для понимания, однако она унаследовала все ее недостатки. Кроме того, одновременное применение моделей Биба и Белла — Лападула затруднено в силу их противоречивости. Например, для чтения субъектом информации из объекта в первой вышеуказан­ной модели его уровень должен быть ниже, а во второй модели — выше, чем у объекта.

Основу модели Кларка— Вильсона составляют транзакции, ко­торые включают операции, переводящие систему из одного со­стояния в другое. Вся совокупность данных (объекты доступа) делится на два класса: целостность одних контролируется, цело­стность других не контролируется. Субъекты в рамках данной мо­дели должны порождать лишь правильно сформулированные тран­закции, где субъект инициирует последовательность действий, которая выполняется управляемым и предсказуемым образом.

В модели определено также понятие процедуры подтвержде­ния целостности, которая применяется по отношению к данным, подлежащим контролю. По отношению к этим данным должны применяться лишь правильно сформулированные транзакции, которые не могут нарушить целостность данных. Все операции разрешаются только авторизованным пользователям и регистри­руются. Кроме того, существуют процедуры постановки на конт­роль целостности ранее неконтролируемых данных.

Преимуществом модели является то, что она основана на про­веренных временем методах обращения с бумажными ресурсами. К недостаткам можно отнести сложность практической реализа­ции в реальных системах, ее неформализованность и некоторую противоречивость в правилах.

Известны подходы к объединению модели Кларка —Вильсона с моделью Биба. Модель Биба реализует защиту от атак субъек­тов, находящихся на низшем уровне целостности, но неспособна отразить атаки своего уровня целостности. Поэтому ее целесооб­разно объединять с моделью Кларка —Вильсона, которая может задавать определенные отношения в пределах каждого уровня целостности.

В качестве вывода необходимо констатировать высокую трудо­емкость применения теоретических моделей, неадекватное опи­сание большинством из них процессов, происходящих в АС. На­пример, большинство моделей не учитывают возможные действия субъектов по изменению свойств АС. Описанию порядка без­опасного взаимодействия субъектов системы, описанию и обо­снованию необходимых условий реализации безопасности посвя­щена субъектно-ориентированная модель.