4.4. Модель безопасности информационных потоков

Рассмотренные модели HRU, Take-Grant, БЛ могут быть использой ны при построении и анализе детерминированных систем защиты, те. систем, которые не включают элементов, имеющих вероятностную приро­ду. При исследовании систем, закономерности функционирования кото­рых сложны или практически не поддаются описанию, целесообразно ис­пользовать элементы теории вероятностей. К числу таких систем можно отнести глобальные вычислительные сети, например Internet, или совре­менные многозадачные, многопользовательские сетевые операционные системы.

Рассмотрим систему защиты , реализующую мандатное (полномоч­ное) разграничение доступа. Без ограничения общности можно считать, что:

• в системе используются только два уровня секретности: высокий и низкий;

• все объекты системы делятся на две непересекающиеся группы: высо­коуровневые объекты (Н), имеющие право обрабатывать информацию высокого уровня секретности, и низкоуровневые (L);

• все взаимодействие между Н и L осуществляется через систему защи­ты .

Таким образом, систему можно представить схемой

Задача системы защиты-не допустить возникновение информаци­онного потока от высокоуровневых объектов к низкоуровневым.

Пусть на множестве значений объектов системы задано вероятност­ное распределение, т.е. Н и L являются случайными величинами. Для описания и анализа информационных потоков между ними воспользуемся понятиями теории вероятностей: независимости и условного распределе­ния. С их помощью по [11] рассмотрим два подхода к определению безо­пасности информационных потоков, основанных на понятиях:

• информационной невыводимости;

• информационного невмешательства.

Определение 1. В системе присутствует информационный поток от высокоуровневых объектов Н к низкоуровневым L, если некое возможное значение переменной в некотором состоянии низкоуровневого объекта невозможно одновременно с возможными значениями переменных со­стояний высокоуровневых объектов.

Определение 2. Система безопасна в смысле информационной не­выводимости, если в ней отсутствуют информационные потоки вида, опи­санного в определении 1.

Более формально это определение можно дать следующим образом: нет информационного потока от Н к L тогда и только тогда, когда выпол­няется условие: если р(Н)>0, р(L)>0, то p(HL)>0.

Так как при р(Н)>0, p(L)>0 выполняется

р (LH) =р (Н, L)/p (Н) =р (HL)p (L)/p (H).

то в условиях определения 1 из истинности неравенства p(HL)>0 следу­ет истинность p(LH)>0, что предполагает отсутствие информационных потоков от низкоуровневых объектов к высокоуровневым. Таким образом, требования информационной невыводимости являются более строгими, чем требования безопасности классической модели БЛ, и фактически предполагают изоляцию друг от друга высокоуровневых и низкоуровневых объектов системы.

В традиционной модели информационного невмешательства требу­ется, чтобы низкоуровневая информация была независима от высоко­уровневой, т.е. выполнялось равенство

p(LH)=p(L),

что при р(Н)>0, p(L)>0 равносильно равенству

р(НL)=р(Н).

Однако если ввести параметр времени, то ограничение, данное вы­ше, слишком строгое. Если L_t описывает состояния всех низкоуровневых объектов, а Н_t всех высокоуровневых объектов в момент времени t = 0,1,2,..., то нет необходимости требовать выполнения

p(Н_t L_t-1)=p(Н_t),

т.е. текущее значение низкоуровневых объектов может содержать ин­формацию о последующих значениях высокоуровневых объектов.

Например, если низкоуровневым является некий несекретный файл, обрабатываемый пользователем с низким допуском, а высокоуровневым объектом является журнал аудита, то значение файла и операции, со­вершаемые над ним пользователем на шаге t, могут отображаться в жур­нале аудита на шаге t+1.

Казалось бы, необходимо потребовать, чтобы текущие значения низ­коуровневых объектов не зависели бы от значений высокоуровневых объ­ектов на предыдущих тактах работы системы, т.е. выполнялось для t=1,2,...

р (L_t H_t-1) = p (L_t) или, что равносильно, р (Н_t-1 L_t) =p (Н_t-1).

Здесь учитывается тот факт, что состояние системы влияет на по­следующие только через информацию, хранимую в объектах системы.

Следует отметить, что данный вариант определения соотношения L_t и Н_t-1 является слишком строгим, так как предполагает независимость L_t и Н_t-1. Однако значения высокоуровневых объектов на текущем шаге часто оказывает влияние на значения низкоуровневых объектов на последую­щих шагах работы системы. Рассмотрим два примера.

Пример 1. Система резервного копирования.

Для защиты низкоуровневых пользователей от сбоев системы все данные, записываемые ими в низкоуровневые файлы, предварительно копируются систе­мой в высокоуровневый аудиторский файл. В результате, если в момент времени t значение низкоуровневого файла было X, то это означает, что в момент времени t-1 высокоуровневый файл аудита содержал значение X. Налицо зависимость значе­ний L_t и Н_t-1. Однако, никакой угрозой безопасности это не является.

Пример 2. Монитор ссылок.

Монитор ссылок в реальных системах защиты является высокоуровневым субъектом, принимающим решения по запросам на доступ к объектам, полученным от других субъектов системы. Очевидно, что такое решение, полученное низко­уровневым субъектом на шаге t работы системы, содержит информацию о значении высокоуровневого монитора ссылок на предыдущем шаге.

Более целесообразным представляется подход, обеспечивающий невозможность накопления низкоуровневыми объектами новой информа­ции о значениях высокоуровневых объектов. Более формально, необхо­димо потребовать, чтобы знание значений L_t-1 и L_t, не давало бы новой информации о H_t-1, т.е. должно выполняться равенство

p(L_t H_t-1,L_t-1)=p(L_t L_t-1) для t=1,2,....

Данное равенство равносильно равенству

р (H_t-1L_t, L_t-1) =p (H_t-1 L_t-1),

т.е. тем самым запрещается обратный информационный поток из L_t в H_t-1, но не запрещается поток из L_t в H_t+1,. Кроме этого, следует отметить, что решая проблемы, обозначенные в рассмотренных выше примерах, по­следнее правило запрещает временные каналы утечки информации.

С учетом того, что состояние системы влияет на последующие со­стояния только через информацию, хранимую в объектах системы, дадим определение модели безопасности информационных потоков.

Определение 3. Система безопасна в смысле информационного не­вмешательства, если выполняется равенство

p(L_t H_s,L_s)=p(L_tL_s), где s,t = 0,1.2. и s<t.

Модель безопасности информационных потоков служит практиче­ским примером подхода к построению системы защиты, которая разреша­ет корреляцию значений высокоуровневых и низкоуровневых объектов, но при этом остается безопасной.