Введение

Данный курс «Защита в операционных системах» построен на изучении теоретических моделей безопасных компьютерных систем и анализе на их основе различных операционных систем. Механизмы защиты могут быть как встроенными в операционные системы, так и добавочными. В последнем случае они не входят в саму операционную систему, а имеют вид добавочного модуля.

В практических заданиях по данному курсу предлагается реализовать простейшие варианты добавочной защиты, опираясь на конкретную модель разделения доступа. В теме 1 реализуется дискреционное разделение доступа, самый распространенный механизм в современных операционных системах. В теме 2 используется мандатное разделение доступа на основе двух простейших моделей: «АДЕПТ» и пятимерного пространства Хартстона. В теме 3 предлагается построит монитор безопасности объектов для конкретно выбранного файла. В теме 4 необходимо выполнить анализ безопасности системы по ее матрице доступов используя модель «Take-Grant».

Тема 1. Дискреционное разделение доступа

Основным механизмом защиты данных, встроенным в большинство современных операционных систем, является дискреционное разделение доступа.

Дискреционное разделение доступа строится на основе матрицы доступа, в которой строки соответствуют субъектам системы S_i (процессам или пользователям), а столбцы - объектам О_i (файлам). В соответствующих клетках пересечения строки субъекта S_k и столбца объекта O_m вписываются права доступа субъекта S_k к объекту O_m. Например в системе с двумя субъектами и тремя объектами матрица доступа может иметь вид:

	O1	O2	O3
S1	rwx	r	w
S2	rwx	rw	rw

В рассмотренном случае оба субъекта имеют право на чтение (r), редактирование (w) и запуск на исполнение (x) объекта O₁. Объект же O₂ субъект S₁ может только читать, а субъект S₂ читать и модифицировать. В качестве объекта может выступать любой как сам файл, так и любая информационная структура связанная с файлом, например, атрибуты файла.

Варианты заданий

Общая часть: Реализуйте добавочную систему разделения доступа пользователей к файлам. Программа должна представлять собой файловый менеджер для работы с директорией “D:\Matrix\”. После запуска программа должна анализировать указанную директорию и в отдельном файле создавать матрицу доступа, соответствующую заданию. После запуска программы на выполнение директория “D:\Matrix\” должна быть блокирована для доступа другим приложениям. Матрица доступа должна хранится в файле, создаваемом при запуске программы, и уничтожаться при завершении выполнения программы.

1-1. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории в том числе и матрицы доступа. Для пользователя user программа должна по умолчанию предоставлять возможность просмотра всех не системных файлов указанной директории и доступ к системным файлам, разрешенным пользователем admin. Для пользователя guest программа должна по умолчанию предоставлять возможность просмотра всех файлов указанной директории с расширением txt. Остальные файлы guest может просматривать только с разрешения пользователя admin. Для больших файлов должна быть предусмотрена возможность листинга.

1-2. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, system. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории в том числе и матрицы доступа. Для пользователя user программа должна по умолчанию предоставлять возможность просмотра файлов указанной директории с атрибутом «only read» и доступ к остальным файлам, разрешенным пользователем admin.. Для пользователя system программа должна предоставлять возможность просмотра только файлов указанной директории с атрибутом «system». Для больших файлов должна быть предусмотрена возможность листинга.

1-3. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, system. Для пользователя admin программа должна предоставлять возможность просмотра и изменения атрибутов любого файла указанной директории. Для пользователя user программа должна предоставлять возможность просмотра атрибутов любого файла указанной директории и просмотра самих файлов, разрешенных пользователем admin. Для пользователя system программа должна предоставлять возможность просмотра и изменения атрибутов любого файла указанной директории кроме системных.

1-4. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, system. Для пользователя admin программа должна предоставлять возможность просмотра и изменения даты создания любого файла указанной директории. Для пользователя user программа должна предоставлять возможность просмотра даты любого файла указанной директории. Для пользователя system программа должна предоставлять возможность просмотра и изменения даты любого файла указанной директории кроме системных и запрещенных пользователем admin.

1-5. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории в том числе и матрицы доступа и изменения даты создания файла. Для пользователя user программа должна предоставлять возможность просмотра всех файлов указанной директории, созданных не более суток назад. Для пользователя guest программа должна предоставлять возможность просмотра всех файлов указанной директории, созданных не более часа назад.

1-6. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории, в том числе и матрицы доступа и изменения имени файла. Для пользователя user программа должна предоставлять возможность просмотра всех файлов указанной директории, имя которых начинается с латинской буквы.. Для пользователя guest программа должна предоставлять возможность просмотра всех файлов указанной директории, имя которых начинается с любой буквы кроме латинской.

1-7. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории, а также данных расположенных за указателем конца файла, если таковые имеются. Для пользователя user программа должна предоставлять возможность просмотра всех файлов указанной директории до указателя конца файла и информации после указателя конца файла для файлов, разрешенных пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра имен файлов указанной директории. Для больших файлов должна быть предусмотрена возможность листинга.

1-8. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории, а также данных расположенных за указателем конца файла, если таковые имеются. Для пользователя user программа должна предоставлять возможность просмотра всех файлов указанной директории, не просматривавшихся в течении последнего часа пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра данных расположенных за указателем конца файла, если таковые имеются, файлов указанной директории. Для больших файлов должна быть предусмотрена возможность листинга.

1-9. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, с расширениями разрешенными пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, не доступных пользователю user. Для больших файлов должна быть предусмотрена возможность листинга.

1-10. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, с расширениями разрешенными пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, с расширениями разрешенными пользователем user. Для больших файлов должна быть предусмотрена возможность листинга.

1-11. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем user. Для больших файлов должна быть предусмотрена возможность листинга.

1-12. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории, разрешенных ему пользователем guest. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем user. Изначально все файлы разрешены для всех. Для больших файлов должна быть предусмотрена возможность листинга.

1-13. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории, с расширениями разрешенными пользователем guest. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, с расширениями разрешенными пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, с расширениями разрешенными пользователем user. Изначально все файлы разрешены для всех. Для больших файлов должна быть предусмотрена возможность листинга.

1-14. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем admin или пользователем guest. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем user. Изначально все файлы разрешены для всех. Для больших файлов должна быть предусмотрена возможность листинга.

1-15. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, с расширениями разрешенными пользователем admin или пользователем guest. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, с расширениями разрешенными пользователем user. Изначально все файлы разрешены для всех. Для больших файлов должна быть предусмотрена возможность листинга.

1-16. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность просмотра всех файлов указанной директории. Для пользователя user программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем admin или пользователем guest. Для пользователя guest программа должна предоставлять возможность просмотра файлов указанной директории, разрешенных ему пользователем user и пользователем admin одновременно. Изначально все файлы разрешены для всех. Для больших файлов должна быть предусмотрена возможность листинга.

1-17. Программа должна запрашивать имя пользователя. Разрешенными являются пользователи: admin, user1, user2, …, user N. Для пользователя admin программа должна предоставлять возможность редактировать матрицу доступа и заводить новых пользователей, а также просматривать любой файл указанной директории. Для пользователей user1, user2, …, user N программа должна предоставлять возможность просмотра любого файла указанной директории, но в объеме разрешенном пользователем admin. Для больших файлов должна быть предусмотрена возможность листинга.

1-18. Программа должна запрашивать имя пользователя. Разрешенными являются пользователи: admin, user1, user2, …, user N. Для пользователя admin программа должна предоставлять возможность редактировать матрицу доступа и заводить новых пользователей, а также просматривать любой файл указанной директории. Для пользователей user1, user2, …, user N программа должна предоставлять возможность просмотра разрешенных им файлов указанной директории. Для больших файлов должна быть предусмотрена возможность листинга.

1-19. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: admin, user, guest. Для пользователя admin программа должна предоставлять возможность редактировать матрицу доступа и просматривать любой файл указанной директории. Для пользователя user программа должна предоставлять возможность просмотра и редактирования любого файла указанной директории, разрешенного для него пользователем admin. Для пользователя guest программа должна предоставлять возможность просмотра лишь каталога указанной директории. Для больших файлов должна быть предусмотрена возможность листинга.

1-20. Программа должна запрашивать имя пользователя. Разрешенными являются три пользователя: execer, texter, reader. Для пользователя execer программа должна предоставлять возможность запуска любого исполняемого файла указанной директории. Для пользователя texter программа должна предоставлять возможность просмотра и редактирования любого файла указанной директории. Для пользователя reader программа должна предоставлять возможность просмотра любого файла указанной директории. Для больших файлов должна быть предусмотрена возможность листинга.