- 22 -

При строгой реализации модели Белла-ЛаПадула возникает ряд проблем:

1)Завышение уровня секретности - вытекает из одноуровневой природы объектов. Это означает, что некоторой информации может быть дан уровень секретности выше того, что она заслуживает. Пример - несекретный параграф в секретном сообщении.

2)Запись вслепую - это проблема, вытекающая из правила NRU. Рассмотрим ситуацию, когда субъект производит запись объекта с более высоким уровнем безопасности - эта операция не нарушает правила NWD. Однако после завершения операции субъект не может проверить правильность выполнения записи объекта путем выполнения контрольного чтения, так как это нарушает правило NRU.

3)Удаленная запись - это проблема, вытекающая из правила NWD. Рассмотрим ситуацию, когда некоторый субъект выполняет операцию чтения в распределенной системе. Такая операция возможна при выполнении правила NRU, так что уровень безопасности субъекта больше уровня безопасности объекта. Однако в распределенных системах операция чтения инициируется запросом с одной компоненты на другую, что можно рассматривать в данном случае как посылку сообщения от субъекта с более высоким уровнем безопасности к объекту с более низким уровнем, что является нарушением правила NWD.

4)Привилегированные субъекты - эта проблема связана с работой системного администратора. Функционирование системного администратора подразумевает выполнение в системе таких критических операций, как добавление и удаление пользователей, восстановление системы после аварий, установка программного обеспечения, устранение ошибок и т.п. Очевидно, что такие операции не вписываются в модель, что означает невозможность осуществления правильного администрирования без нарушения правил данной модели. Поэтому правила модели Белла-ЛаПадула нужно рассматривать для множества всех субъектов, исключая привилегированные.

1.3.3.2. Модель low-water-mark (LWM)

Данная модель является конкретизацией модели Белла-ЛаПадула и является примером того, что происходит, когда изменения уровня конфиденциальности объекта возможны. Описание модели приводится по [3]. Политика безопасности задается в следующих предположениях:

-все компоненты КС классифицированы по уровню конфиденциальности fs(S)

-уровень доступа субъекта, fc(S) - текущий уровень доступа субъектов, fo(O) - гриф (уровень) конфиденциальности объекта,

-поток информации (в данном случае рассматриваются потоки от объектов

кассоциированным объектам некоторого субъекта) разрешен только "снизу вверх" (в смысле повышения уровня конфиденциальности).

В рассматриваемой системе один объект, три операции с объектом, включающие запросы на доступ: read, write, reset.

Эти операции используются несколькими субъектами (процессами),

- 23 -

имеющими фиксированные уровни секретности. Напомним формальное требование политики о том, что информация может двигаться только "снизу вверх". Поток информации возможен тогда и только тогда, когда реализуется доступ субъекта к объекту вида w или r.

Уровень объекта О в LWM может меняться: при команде write может снизиться, а при команде reset подняться следующим образом. По команде reset класс объекта поднимается и становится максимальным в линейном порядке. После этого все субъекты приобретают право w, но право read имеют только субъекты, находящиеся на максимальном уровне. При команде write гриф объекта снижается до уровня субъекта, давшего команду w. При снижении уровня секретности объекта вся прежняя информация в объекте стирается, и записывается информация процессом, вызвавшим команду write. Право write имеет любой субъект, у которого fs(S) не больше fo(O), где fo(O) - текущий уровень объекта. Право reset имеет только тот субъект, который не имеет право write. Право read имеет любой субъект, для которого fg(S) больше, либо равно fo(0). Суммируем вышесказанное в следующей таблице.

Таблица 1. Операции в модели LWM

Откажемся от условия, что при команде write в случае снижения уровня объекта его содержимое стирается (например, оно становится равным нулевому слову). Ясно, что в этом случае возможна утечка информации. В самом деле, любой процесс нижнего уровня, запросив объект для записи, снижает гриф объекта, а получив доступ w, получает возможность r. Возникает канал утечки с понижением грифа. Данный пример показывает, что определение безопасного состояния в модели Белла-ЛаПадула неполное и смысл этой модели только в перекрытии каналов указанных видов. Если процесс снижения грифа объекта работает неправильно, то система перестает быть безопасной.

Рассмотрим пример, поясняющий политику безопасности в модели LWM. Пусть в системе имеется три файла F1, F2 и F3. Гриф секретности их соответственно 1, 2, 3 (считаем, что конфиденциальность растет с ростом грифа). Субъект имеет категорию доступа 2. Зададим объект отображения