-108-

множество критичных к отправке во внешнюю сеть объектов как Okr. При разделении прав между локальными и телекоммуникационными субъектами возможно задать такие ПРД, при реализации которых в МБО можно обеспечить полноценную работу локальных субъектов с объектами множества Okr, но невозможность транспортировки объектов Okr во внешнюю сеть. Обозначим множество некритичных к транспортировке и модификации локальных объектов как On.

Тогда ПРД относительно введенных групп субъектов S1 и S2 задаются таблицей.

Таблица 2. Правила разграничения доступа при запрете транспортировки вовне избранных объектов

Теперь обратимся к ситуации, когда возможно порождение субъекта Si*, нарушающего корректность межсубъектного взаимодействия. Возможны два случая:

-объект-источник Ov для порождения Si* является внешним (не ассоциированным) для активизирующего субъекта Si;

-объект-источник Ov является ассоциированным для субъекта Si (в данном случае ассоциированный объект источник может быть неизменным или зависеть от информации, передаваемой субъектом X).

В первой ситуации при действии МБС с контролем целостности объекта источника порождение нового субъекта возможно с вероятностью, не превышающей вероятность принять нетождественный объект-источник за тождественный эталонному (данный параметр полностью определен свойствами функции контроля целостности).

Рассмотрим подробнее вторую ситуацию, обращая внимание на практические вопросы влияния на ассоциированные объекты других субъектов или данного.

Очевидно, что активное воздействие предоставляет широкие возможности для реализации как непосредственного, так и опосредованного НСД.

Пусть происходит процесс записи в оперативную память принимающей ПЭВМ (ПРМ ПЭВМ), принадлежащей ЛС КС. Практически это означает существование потока к ассоциированным объектам телекоммуникационного субъекта ЛС КС. При этом активизация нового субъекта в ПРМ ПЭВМ может произойти только тогда, когда процессор начнет выполнять инструкции в области памяти ПРМ ПЭВМ, куда был помещен принятый код. Это может произойти по трем причинам:

-109-

1.Область памяти для записи приходится на исполняемую программу, либо на область, в которую постоянно передается управление (таблица прерываний, драйверы операционной системы и т.д.).

2.Запись происходит в область, находящуюся вне критичных для работы программной среды зон, но происходит некорректно (некорректность возникает

восновном при записи длинных отрезков принимаемых данных в буфера меньшего размера); за счет этого производится "переполнение" (нарушение попарной корректности), и дальнейшая работа происходит в условии п.1.

3.Запись приходится в область размещения самого ТПО и в ней образуется код, который в дальнейшем используется (например, обработчик некоторого прерывания в ТПО ПРМ ЭВМ первоначально указывал на команду Iret, после модификации порцией принятых данных он указывает на некоторую процедуру).

Пример второй ситуации - известный репликатор Морриса, внедрявшийся

вПРМ ПЭВМ с использованием ошибок в буферизации принимаемых строк в

Unix.

Третья ситуация встречалась в ряде телекоммуникационных драйверов и в штатном режиме использовалась для модификации функций ТПО по сигналу передающей ЭВМ.

Все описанные ситуации означают нарушение корректности межсубъектного взаимодействия. Очевидно, что все они могут быть исключены при выполнении условий проектирования ИПС для телекоммуникационного ПО.

Теперь рассмотрим запись принимаемой информации на внешние носители прямого доступа. В данном случае полагается, что в передаваемых данных встречается команда "запись", адресованная ПРМ ПЭВМ (возможно, с некоторыми параметрами, определяющими место записи), а следующие за ней данные записываются в указанное место. При этом возможно запись на различном уровне представления объектов, например, запись в виде секторов и запись в виде файлов.

Рассмотрим запись в виде секторов. Сектора могут приходиться на исполняемые файлы и тем самым впоследствии РПВ будет активизировано при запуске этих файлов. Однако такой способ весьма сложен и является "малоприцельным". Гораздо более интересный случай - запись в загрузочные сектора. При этом при записи в загрузочный сектор винчестера ПРМ ПЭВМ оказывается пораженной загрузочной закладкой, а при записи в загрузочный сектор дискеты закладка может распространиться и на другие ПЭВМ. Описанная ситуация также встречалась в телекоммуникационном ПО: для приема данных из канала был организован виртуальный диск в оперативной памяти (с целью ускорения процедур ввода-вывода); запись на виртуальный диск управлялась из канала связи посылкой "координат" записи (дорожка, сектор, поверхность чтения) и данных для записи. Поскольку запись происходила через прерывание int 13h, то для внешнего злоумышленника было