Модели контроля целостности

Рассмотрим модели безопасности, контролирующие целостность информации. В частности, модели Биба, использующиеся для синтеза ме­ханизмов контроля целостности информации в системе, а также модель Кларка - Вилсона (КВМ), которая является примером неформального вы­ражения политики безопасности. Последняя модель сформулирована в виде набора неформальных правил, и хотя в литературе она названа моде­лью безопасности, ее скорее можно назвать политикой контроля целост­ности.

6.5.1. Модель Биба

Кен Биба в середине семидесятых годов прошлого века сделал два наблюдения. Они были последовательно внесены в модель безопасности, которая с тех пор называется моделью целостности Биба (или просто мо­делью Биба). В контексте разговора о моделях контроля целостности запись наверх может представлять угрозу в том случае, если субъект с низким уровнем безопасности искажает или уничтожает данные в объек­те, лежащем на более высоком уровне. Поэтому, исходя из задач целост­ности, можно потребовать, чтобы такая запись была запрещена. Кроме то­го, можно рассматривать чтение снизу как поток информации, идущий из объекта нижнего уровня и нарушающий целостность субъекта высокого уровня. Поэтому весьма вероятно, что и такое чтение необходимо запре­тить.

Биба выразил свою модель таким же способом, каким была выраже­на БЛМ, за тем исключением, что правила его модели являются полной противоположностью правилам БЛМ. Возможны три вариации модели Биба: мандатная модель целостности, модель понижения уровня субъекта и модель понижения уровня объекта. Фактически, общий термин «модель Биба» используется для обозначения любой или сразу всех трех моделей.

6.5.1.1. Мандатная модель целостности Биба

Ее часто называют инверсией БЛМ. Это довольно точное название, поскольку основные правила этой модели просто переворачивают правила БЛМ. Мы будем ссылаться на эти правила как «нет чтения снизу» (NRD) и «нет записи наверх» (NWU) и определим их в терминах субъектов, объек­тов и нового типа уровней безопасности - уровней целостности, над кото­рыми может быть введено отношение преобладания.

Правило NRD мандатной модели целостности Биба определяется как запрет субъектам на чтение информации из объекта с более низким уров­нем целостности. Правило NWU мандатной модели целостности Биба оп­ределяется как запрет субъектам на запись информации в объект с более высоким уровнем целостности.

Одним из преимуществ этой модели является то, что она унаследо­вала многие важные характеристики БЛМ, включая ее простоту и интуи­тивность. Это значит, что проектировщики реальных систем могут легко понять суть этих правил и использовать их для принятия решений при проектировании. Кроме того, поскольку мандатная модель целостности Биба, подобно БЛМ, основана на простой иерархии, ее легко объяснить и изобразить пользователям системы.

С другой стороны, модель представляет собой очевидное противоре­чие с правилами NRU и NWD. Это значит, что если необходимо построить систему, которая предотвращает угрозы как секретности, так и целостно­сти, то одновременное использование правил моделей БЛМ и Биба может привести к ситуации, в которой уровни безопасности и целостности будут использоваться противоположными способами.

Рассмотрим формальное описание модели Биба. Для этого опишем простые математические конструкции, которые помогут описать различ­ные правила, составляющие мандатную модель целостности Биба.

Начнем с представления множества субъектов и объектов. Уровни целостности субъекта или объекта х обозначаются как уровень (х), и для них введено отношение преобладания. Используя эти определения, сфор­мулируем правила NRD и NWU мандатной модели целостности Биба в терминах булевой функции разрешить:

NRD: V s e S, о е О: разрешить (s, о, чтение) <^> уровень (о) > уровень (s).

Данный тип определения предусматривает условия, при которых функция разрешить принимает значение истинно. Определение утвержда­ет, что для всех определенных субъектов и объектов операция чтения раз­решена только в том случае, если выполняется условие преобладания. Правило NWU просто переворачивает использование отношения преобла­дания, как показано в следующем определении:

NWU: V s e S, о е О: разрешить (s, о, запись) <^> ypoBeHb(s) > уровень(о).

Это определение утверждает, что для всех субъектов и объектов операция записи разрешается только в том случае, если выполняется ус­ловие преобладания. Подобие определения этих двух правил правилам модели БЛМ может предоставить удобный способ для проектировщиков системы предусмотреть возможность переконфигурирования правил БЛМ таким образом, чтобы поддерживать мандатную модель целостности Биба.

6.5.2. Модель понижения уровня субъекта

Вторая модель Биба заключается в небольшом ослаблении правила чтения снизу. Мандатная модель целостности не позволяет субъектам с высокой целостностью читать информацию из объектов с более низкой целостностью. Это правило гарантирует, что информация из объекта с низкой целостностью не нарушит целостности субъекта. Однако в модели понижения уровня субъекта ему разрешается осуществлять чтение снизу, но в результате такого чтения уровень целостности субъекта понижается до уровня целостности объекта.

Мотивом для введения такого правила может являться то, что субъ­екты с высокой целостностью рассматриваются как «чистые». Когда к чистому субъекту попадает информация из менее чистого источника, субъект «портится», и его уровень целостности должен быть соответст­венно изменен.

Одной из характеристик этой модели является то, что она не накла­дывает никаких ограничений на то, что субъект может прочитать. Если, например, субъект не должен никогда переходить на более низкий уро­вень целостности, то не следует использовать эту модель, поскольку она может привести к такому нарушению. Если все же эта модель реализована в реальной системе, то необходимо создание некоторых дополнительных мер, предупреждающих субъекта о возможных последствиях выполнения таких операций чтения перед тем, как они будут выполнены.

Следует также заметить, что модель подразумевает монотонное из­менение уровней целостности субъектов. То есть, уровни целостности субъектов или остаются неизменными, или снижаются. Иными словами, целостность субъекта может остаться прежней или ухудшиться, поскольку модель не предусматривает механизмов повышения уровня целостности субъекта.

6.5.3. Модель понижения уровня объекта

Последний тип модели Биба представляет собой ослабление правила для записи наверх, то есть вместо полного запрета на запись наверх эта модель разрешает такую запись, но снижает уровень целостности объекта

до уровня целостности субъекта, осуществлявшего запись. Мотивы для такого правила те же, что и в модели понижения уровня субъекта.

Данная модель, подобно предыдущей, не накладывает никаких огра­ничений на то, что субъект может читать или писать. Поэтому в ситуаци­ях, когда искажения объекта и понижение его уровня целостности могут вызвать серьезные последствия, использование этой модели не допуска­ются. Например, критическая база данных, включающая данные, целост­ность которых имеет предельно высокое значение, не может быть реали­зована на основании этой модели. Если данная модель используется в ре­альной системе, то необходимо возложить на субъекты ответственность за деградацию объектов с высокой целостностью. Для реализации этого по­требуется использование дополнительных средств обработки.

Модель проста и интуитивно понятна, может быть выражена про­стыми правилами (NRD и NWU). Модель Биба также обладает многими проблемами, присущими БЛМ. Так, использование модели Биба в распре­деленных системах может привести к двунаправленному потоку инфор­мации при удаленном чтении, т.е. возникает эффект системы Z, описан­ный ранее. В практическом применении модель Биба слишком сильно по­лагается на понятие доверенных процессов, то есть проблема необходи­мости создания доверенных процессов для повышения или понижения целостности субъектов или объектов является весьма существенной. Эта критика последовала за критикой доверенных процессов в БЛМ.

В качестве дополнительной критики модели Биба можно упомянуть то, что она не предусматривает механизмов повышения целостности, что ведет к монотонному снижению целостности системы.