Информационная безопасность Модели управления доступом Разграничение доступа Вычислительные комплексы Учебник по информатике Операционная система Linux Базовые технологии локальных сетей

Информационная безопасность

На практике для дискреционного механизма управления доступом, как правило, используется модель произвольного управления виртуальными каналами взаимодействия субъектов доступа. Однако управление каналами может быть и принудительным — все зависит от реализуемой матрицы доступа. В этом случае мандатный и дискреционный механизмы различаются только способом задания разграничительной политики в диспетчере доступа и обработки запросов на доступ.

Утверждение

Мандатный механизм управления доступом позволяет корректно реализовать полномочные модели управления доступом при условии, что всем субъектам и объектам доступа сопоставлены метки безопасности. Для дискреционного механизма, реализующего принудительное управление виртуальными каналами, это соответственно означает необходимость задания разграничений для всех субъектов и объектов доступа.

Доказательство данного утверждения очевидно. Нетрудно показать, что представленные правила реализуют разграничения доступа полностью адекватные соответствующим каноническим матрицам доступа Б, отображающим полномочные модели управления доступом, в случае, если всем субъектам из множества С и объектам из множества О сопоставлены метки безопасности. При этом несопоставление метки безопасности какому-либо субъекту или объекту означает вычеркивание соответствующей строки или столбца из матрицы доступа Б.

Таким образом, если существует объект, который не включен в схему мандатного управления доступом, то этот объект может являться средством несанкционированного взаимодействия пользователей, имеющих различные метки безопасности.

Таким образом, метки безопасности должны устанавливаться на все объекты файловой системы (логические диски (тома), каталоги, подкаталоги, файлы), а также на все иные объекты доступа — на устройства ввода/вывода и отчуждаемые носители информации, виртуальные каналы связи и т.д. Речь о требованиях к полноте разграничительной политики доступа к ресурсам пойдет ниже.

Утверждение

Мандатный механизм управления доступом позволяет корректно реализовать полномочные модели управления доступом при условии, что системой защиты реализуется требование к изоляции программных модулей (процессов) различных пользователей. То же справедливо и для дискреционного механизма, реализующего принудительное управление виртуальными каналами взаимодействия субъектов доступа.

Доказательство данного утверждения состоит в необходимости противодействовать скрытым каналам взаимодействия субъектов доступа. Если под явным каналом понимается объект, доступ к которому может быть разграничен, то под скрытым — любые иные возможности взаимодействия субъектов доступа, которые в этом случае должны исключаться, например, передача информации между субъектами доступа через буфер обмена и т.д. Очевидно, что если существует возможность передачи информации между процессами, запускаемыми с правами пользователей, которым назначены различные метки безопасности, то реализуется возможность переноса информации из объекта более высокого уровня конфиденциальности в объект более низкого уровня конфиденциальности.

После установки для запуска редактора системных правил следует сначала выбрать пункт Программы (Programs) меню Пуск (Start), затем Стандартные (Accessories), далее Служебные (System Tools) и наконец — Редактор системных правил (System Policy Editor). Немного погодя перед вами появится диалоговое окно этой программы.

Выполнив команду Создать (New File) меню Файл (File), вы увидите пиктограммы Стандартный компьютер (Default Computer) и Стандартный пользователь (Default User). Щелкнув дважды сначала на пиктограмме Стандартный компьютер (Default Computer), а затем — на кнопках Сеть (Network) и Пароли (Passwords), можно пометить галочкой строку Отключить кэширование паролей (Disable Password Cashing). Последовательность всплывающих в ходе выполнения этой процедуры окон показана на рис. 3.9.

Затем внесенные изменения следует сохранить на диске в виде файла системных правил с расширением POL, назвав его по своему усмотрению. При следующем запуске Windows 95/98 файл системных правил загрузится автоматически и будет определять работу компьютера.

Рис. 3.8. Установка Редактора системных правил

Рис. 3.9. Отключение кэширования паролей с помощью Редактора системных правил

Соблюдайте осторожность: парольная защита ненадежна

Лекции по информатике