Информационная безопасность Модели управления доступом Разграничение доступа Вычислительные комплексы Учебник по информатике Операционная система Linux Базовые технологии локальных сетей

Информационная безопасность

Понятие и классификация каналов взаимодействия субъектов доступа

Рассмотренная выше каноническая модель управления доступом характеризуется полным разграничением доступа субъектов к объектам, при котором субъекты не имеют каналов взаимодействия каналов обмена информацией. Однако такая возможность должна предусматриваться. Если в системе может находиться несколько субъектов (например, пользователей), то появляется задача предоставления субъектам возможности обмена информацией.

Введем несколько определений:

» Под каналом взаимодействия субъектов доступа понимается реализуемая диспетчером доступа возможность обмена субъектами доступа информацией в рамках канонической модели управления доступом. Под симплексным каналом взаимодействия субъектов доступа понимается канал, обеспечивающий возможность одностороннего обмена субъектами доступа информацией. Будем его обозначать Ci —> Cj (информация может передаваться в одну сторону — от субъекта Ci к субъекту Cj).

» Под информацией. Будем его обозначать О <-> С]. Дуплексный канал взаимодействия субъектов доступа представляет собою два встречно-направленных симплексных канала.

» Под активным симплексным каналом взаимодействия субъектов доступа С1 а С] понимается канал взаимодействия, в котором активным является отправитель информации (отправитель, в данном случае субъект С1 выдает информацию получателю).

Активный симплексный канал взаимодействия субъектов доступа может быть реализован с использованием операций «запись», «модификация» или «добавление». Операция «модификация» отличается от операции «запись» тем, что не позволяет читать объект перед занесением в него информации.

Операция «добавление» отличается от операций «запись» и «модификация» тем, что ее выполнение не позволяет ни читать, ни модифицировать информацию, располагаемую в объекте, в который добавляется информация по каналу взаи дуплексным каналом взаимодействия субъектов доступа понимается канал, обеспечивающий возможность двухстороннего обмена субъектами доступа модействия - - данная операция позволяет лишь добавить информацию, предотвращая возможность изменить существующую в объекте информацию.

* Под пассивным симплексным каналом взаимодействия субъектов доступа С1 а С] понимается канал взаимодействия, в котором активным является получатель информации (получатель, в данном случае субъект С]) забирает информацию у отправителя. Пассивный симплексный канал взаимодействия субъектов доступа реализуется с использованием операции «чтение».

Отметим, что в задачу управления доступом в общем случае входит не только защита данных субъектов (в данном случае пользователей) от несанкционированного их прочтения другими субъектами, но и защита данных субъектов от возможности их искажения другими субъектами. Этим, кстати говоря, защита данных средствами защиты от НСД принципиально отличается от защиты данных (управления доступом) с использованием средств криптографической защиты.

Для иллюстрации сказанного, рассмотрим каноническую матрицу доступа Б, реализуемую с использованием средств криптографической защиты.


где элемент «Зп» обозначает разрешение доступа с использованием операции «запись» (прочитать информацию пользователь может, но не имеет возможности ее преобразовать к читаемому виду, т.к. информация зашифрована, поэтому обозначаем подобное право доступа, как «Зп»), «Зп/Чт» — соответственно, операции «запись» и «чтение».

С учетом введенных выше понятий и определений данную матрицу доступа можно охарактеризовать, как каноническую матрицу доступа, расширенную дуплексными каналами взаимодействия между собою всех субъектов. При этом дуплексные каналы реализованы на основе активных симплексных каналов взаимодействия субъектов доступа с использованием операции «запись». Другими словами, это частный случай управления доступом, не обеспечивающий защиту данных от их несанкционированной модификации (удаления).

Взлом парольной защиты операционной системы UNIX

В операционной системе UNIX информацию о пароле любого пользователя можно отыскать в файле passwd, находящемся в каталоге etc. Эта информация хранится в зашифрованном виде и располагается через двоеточие сразу после имени соответствующего пользователя. Например, запись, сделанная в файле passwd относительно пользователя с именем bill, будет выглядеть примерно так:

bill:5fg63fhD3d5g:9406:12:BUlSpencer:/home/fsg/will:/bin/bash

Здесь 5fg63fhD3d5g — это и есть информация о пароле пользователя bill.

При первоначальном задании или изменении пользовательского пароля операционная система UNIX генерирует два случайных байта (в приведенном выше примере 5 и f), к которым добавляются байты пароля. Полученная в результате байтовая строка шифруется при помощи специальной криптографической процедуры Crypt (в качестве ключа используется пароль пользователя) и в зашифрованном виде (g63fhD3d5g) вместе с двумя случайными байтами (5f) записывается в файл /etc/passwd после имени пользователя и двоеточия.

Если злоумышленник имеет доступ к парольному файлу операционной системы UNIX, то он может скопировать этот файл на свой компьютер и затем воспользоваться одной из программ для взлома парольной защиты UNIX.

Самой эффективной и популярной такой программой является Crack. И хотя она предназначена для запуска на компьютерах, работающих только под управлением операционных систем семейства UNIX, инициируемый ею процесс поиска паролей может быть без особых усилий распределен между различными платформами, подключенными к единой компьютерной сети. Среди них могут оказаться и IBM-совместимые персональные компьютеры с операционной системой Linux, и рабочие станции RS/6000 с AIX, и Macintosh с A/UX.

CrackJack — еще одна известная программа для взлома паролей операционной системы UNIX. К сожалению, работает она только под управлением операционной системы DOS, но зато весьма непритязательна в том, что касается компьютерных ресурсов. К другим недостаткам этого парольного взломщика можно отнести запрет на одновременное использование сразу нескольких словарей и принципиальную невозможность запуска CrackJack под Windows 95/98.

В отличие от CrackJack, парольный взломщик PaceCrack95 работает под Windows 95/98 в качестве полноценного DOS-приложения. К тому же он достаточно быстр, компактен и эффективен (рис. 3.1).

Рис. 3.1. Основное рабочее окно парольного взломщика PaceCrack95

Лекции по информатике