Модель Лендвера

Система, реализующая модель безопасности Лендвера, должна реализовывать приводимые ниже ограничения (ограничения запрещают пользователю операции, нарушающие эти ограничения). Часть этих ограничений должна реализовываться пользователями системы (правила безопасности), а часть – системой (ограничения безопасности).

Правила безопасности:

Администратор безопасности системы присваивает уровни доверия, классификацию устройств и правильные множества ролей.

Пользователь вводит корректную классификацию, когда изменяет или вводит информацию

В пределах классификации пользователь классифицирует сообщения и определяет набор доступа для сущностей, которые он создаёт, так что только пользователь с требуемой благонадёжностью может просматривать информацию.

Пользователь должным образом контролирует информацию объектов, требующих благонадёжности.

Ограничения безопасности:

Авторизация – пользователь может запрашивать операции над сущностями, только если пользовательский идентификатор или текущая роль присутствует в множестве доступа сущности вместе с этой операцией и с этим значением индекса, соответствующим позиции операнда, в которой сущность относят в требуемой операции.

Классификационная иерархия – классификация контейнера всегда по крайней мере больше или равна классификации сущностей, которые он содержит.

Изменения в объектах – информация, переносимая из объекта всегда содержит классификацию объекта. Информация, вставляемая в объект, должна иметь классификацию ниже классификации этого объекта.

Просмотр – пользователь может просматривать (на некотором устройстве вывода) только сущности с классификацией меньше, чем классификация устройства вывода и степень доверия к пользователю.

Доступ к объектам, требующим степени доверия, – пользователь может получить доступ к косвенно адресованной сущности внутри объекта, требующего степени доверия, только если его степень доверия не ниже классификации контейнера.

Преобразование косвенных ссылок – пользовательский идентификатор признаётся законным для сущности, к которой он обратился косвенно, только если он авторизован для просмотра этой сущности через ссылку.

Требование меток – сущности, просмотренные пользователем, должны быть помечены его степенью доверия.

Установка степеней доверия, ролей, классификация устройств – только пользователь с ролью администратора безопасности системы может устанавливать данные значения. Текущее множество ролей пользователя может быть изменено только администратором безопасности системы или этим пользователем.

Понижение классификации информации – никакая классифицированная информация не может быть понижена в уровне своей классификации за исключением случая, когда эту операцию выполняет пользователь с ролью «пользователь, уменьшающий классификацию информации».

Уничтожение информации – операция уничтожения информации производится только пользователем с ролью «пользователь, уничтожающей информацию».

Модель Лендвера достаточно близка категориям объектно-ориентированного программирования и описывает иерархические объекты в КС. Однако полная реализация данной модели представляется достаточно сложной.

Для систем, построенных на основании моделей конечных состояний, характерна более высокая степень надёжности, чем для систем, построенных на основании модели дискретного доступа. Это связано с тем, что система, построенная на основании данной модели, должна отслеживать, не только правила доступа субъектов системы к объектам, но и состояние системы. Таким образом, канал утечки в системах данного типа не заложены непосредственно в модель (что мы наблюдаем в системах, построенных на основании модели дискретного доступа), а могут появиться только при практической реализации системы вследствие ошибок разработчика. С другой стороны, реализация систем данного типа довольно сложна и требует значительных ресурсов вычислительной системы.

Опосредованный несанкционированный доступ к компьютерной системе.
Модель опосредованного НСД.

Опосредованный несанкционированный доступ (ОНСД) понимается как действия (инициирование потоков) некоторого субъекта в рамках поддерживаемой политики безопасности, которые либо создают новые объекты в КС, либо изменяют ассоциированные объекты активных субъектов; существенно важно, что данные действия осуществляются указанным субъектом автономно (без управления каким-либо пользователем).

Указанный автономно работающий внедрённый в КС субъект, реализующий ОНСД, называется разрушающим программным воздействием, или программной закладкой.

Необходимые условия для осуществления ОНСД:

1. Наличие во множестве субъектов КС субъекта, который может изменить ассоциированные объекты (функционально ассоциированные или ассоциированные объекты-данные) других субъектов (модель действий – искажение) либо инициировать потоки от ассоциированных объектов некоторых субъектов к своим объектам (в смысле созданных или изменяемых данным субъектом), модель действий – перехват;

2. Внедрение в систему изменённых объектов-источников, которые могут породить субъекты со свойствами п. 1.