Содержание

Skip to end of metadata
Go to start of metadata

You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 5 Next »


Система защиты информации (далее - СЗИ) ОССН Смоленск оперирует тремя понятиями:

  • Уровень конфиденциальности;
  • Категории доступа; 
  • Уровень целостности.

Что есть что в этом списке, в чем сходство, и в чем различие?

«Секретность» и «целостность» — в чем различия?

Секретность

Первые два параметра (уровень конфиденциальности и категории доступа) отвечают за то , чтобы информация не попадала к тому,  кто не уполномочен её получать.

Классический пример уровней конфиденциальности - степени повышающейся секретности документов "Не секретно" - "ДСП" - "Секретно" - "Совершенно секретно",
и соответствующие степени допуска к этим документам для персонала.

Очевидно, что в такой системе пользователю  с уровнем допуска, например,  "ДСП", разрешено читать только  материалы уровня "ДСП" и "Не секретно", 
и запрещено читать материалы с более высокими уровнями конфиденциальности ("Секретно" и "Совершенно секретно").

Не столь очевидно, но пользователю с уровнем конфиденциальности, например "Секретно", 
запрещено (преднамеренно или случайно) передать пользователю с более низким уровнем "ДСП" материалы уровня "Секретно" 
(теоретические подробности можно найти в многочисленных описаниях модели безопасности Белла-ЛаПадуллы).

Для более точного управления доступом, в дополнение к разделению уровням конфиденциальности, СЗИ предоставляет возможность разделить материалы по категориям доступа.
Простой пример категорий доступа имеется в Руководстве по СЗИ ОССН Смоленск 1.6, п. 4.8.10.7:  использование двух категорий "Танки" и "Самолёты".
При этом, персонал, работающий с "Танками", и имеющий соответствующую категорию доступа, не сможет ни получать сведения о "Самолётах", ни передавать сведения о "Танках" тем, кто работает с "Самолётами",
но, в то же время, условному "Руководителю" могут быть предоставлены одновременно обе категории доступа, чтобы "Руководитель" мог получать все сведения.

Итак, с помощью параметров  уровень конфиденциальности и категории доступа СЗИ обеспечивает:

  • Невозможность прочитать информацию, к которой нет допуска ("нижним" уровням запрещено читать информацию с "верхних" уровней);
  • Невозможность  передать информацию тому, у кого к ней нет допуска ("верхним" уровням запрещено записывать свою информацию на "нижние" уровни).

Правила, по которым СЗИ определяет возможность  доступа к данным, описаны ниже. 

Целостность

Параметр уровень целостности отвечает за то, чтобы информацию не могли изменять те, кому не положено её изменять.

И, в первую очередь, параметр "целостность" отвечает за безопасность самой информационной системы.

Пример для пояснения:

Модель контроля целостности с 2007 г. реализуется в механизме MIC (Mandatory Integrity Control) всех ОС семейства Microsoft Windows,
где показала свою эффективность при противодействии компьютерным вирусам и атакам, направленным на несанкционированное повышение привилегий. 

(теоретические подробности модели контроля целостности можно найти в описаниях модели безопасности Биба).

В общем, требование защиты целостности выглядит так:

  • Процесс, работающий на некотором уровне целостности, может записывать (изменять) только объекты своего, или более низкого уровня (запись "вверх" запрещена).

В СЗИ ОССН Смоленск начиная с версии 1.5 была реализована двухуровневая модель целостности, 
а начиная с версии ОССН Смоленск 1.6 модель целостности расширена до многоуровневой.

Правила, по которым СЗИ определяет возможность  доступа к данным при работе с контролем целостности, также описаны ниже. 

Сущности мандатного доступа

Система мандатного доступа работает со следующими сущностями:

  • Субъекты мандатного доступа (пользователь, процесс) - сущности, выполняющие операции;

  • Объекты мандатного доступа (пользователь, процесс, файл, каталог и т.д.) - сущности, с которыми выполняются операции.

и определяет условия, при которых субъектам разрешено выполнять операции с объектами (создавать, получать доступ к содержимому, изменять).

Каждая сущность обладает определёнными мандатными атрибутами (или не обладает никакими, что приравнивается к нулевым мандатным атрибутам). 
Мандатные атрибуты объединяются в мандатную (классификационную) метку (см. далее) сущности. 

Решение о возможности или невозможности выполнения операций операций доступа автоматически принимается СЗИ на основании сравнения мандатных меток объекта и субъекта.

Мандатная метка, классификационная метка

  • Мандатная метка состоит из следующих атрибутов мандатного доступа:

    • классификационная метка, которая, в свою очередь состоит из атрибутов

      • уровень конфиденциальности сущности

      • категории доступа сущности

    • уровень целостности сущности

Кроме того, мандатная метка может иметь специальные флаги ccnr/ccnri (см. "Термины и сокращения")

Атрибуты мандатного доступа

  • Уровень конфиденциальности - единичное (скалярное) числовое значение (иногда называется  "уровень секретности" или просто "уровень").
    Каждой мандатной (классификационной) метке в каждый момент времени может быть назначен один и только один уровень конфиденциальности.
    Числовые значения уровня конфиденциальности сущности

    • Все сравнимы между собой;

    • Могут находится в диапазоне 0 до 255, включая границы;

    • Технически реализованы как 8-ми битная беззнаковая величина (uint8_t);

    • В пользовательских интерфейсах представляются десятичным значением или наименованием единичного уровня конфиденциальности;

    • Теоретически, множество возможных значений уровня конфиденциальности сущности представляет собой линейное упорядоченное множество относительно операции сравнения.


  • Категории доступа - маска, состоящая из набора единичных значений категорий доступа (так же применяются название просто "категория") .
    В ОССН
    реализовано использование до 64-х единичных категорий доступа, таким образом, каждой мандатной (классификационной метке)
    в каждый момент времени могут быть назначены одновременно до 64-х категорий доступа. Единичные категории доступа несравнимы между собой.
    Числовые значения категории доступа сущности

    • Частично сравнимы между собой;

    • Определяются как суммы значений назначенных единичных категорий доступа;

    • Могут принимать значения от 0 до 0xFFFF FFFF FFFF FFFF, включая границы;

    • Технически реализованы как 64-x битная маска,  беззнаковая величина (unsigned long long);

    • В пользовательских интерфейсах представляются шестнадцатиричным значением, или списком наименований единичных категорий доступа;

    • Теоретически, множество возможных значений категорий доступа сущности представляет собой полное частично упорядоченное множество относительно операции сравнения.


  • Уровень целостности - маска, состоящая из набора единичных значений уровней целостности (так же применяется  название "категория целостности", или просто "целостность").
    В ОССН по умолчанию определены 6 ненулевых и несравнимых между собой единичных значений уровня целостности
    (при настройке ОССН количество единичных значений может быть увеличено до 8):

    п/п

    Значение

    Битовая маска

    Комментарий


    000

    0000 0000

    Нулевой уровень. "Низкий", или "Low"

    1

    001

    0000 0001

    Уровень задействован как "Сетевые сервисы"

    2

    002

    0000 0010

    Уровень задействован как "Виртуализация"

    3

    004

    0000 0100

    Уровень задействован как "Специальное ПО"

    4

    008

    0000 1000

    Уровень задействован как "Графический сервер"

    5

    016

    0001 0000

    Свободен, может быть использован для сетевых сервисов

    6

    032

    0010 0000

    Свободен, может быть использован для сетевых сервисов

    7

    064

    0100 0000

    Зарезервирован, и может быть использован при поднятии max_ilev

    8

    128

    1000 0000

    Зарезервирован, и может быть использован при поднятии max_ilev

    Дополнительно, зарезервировано специальное наименование уровня целостности "Высокий" ("High"), 
    не являющегося единичным уровнем, а представляющего максимальный уровень, определённый в системе (63 или 255 в зависимости от настроек).

    Таким образом, каждой мандатной (классификационной метке) в каждый момент времени могут быть назначены одновременно до 6-ти (8-ми) единичных уровней целостности.
    Числовые значения уровня целостности сущности

    • Частично сравнимы между собой;

    • Определяются как суммы значений назначенных единичных уровней целостности;

    • Могут принимать значения от 0 до 63 (255), включая границы;

    • Технически реализованы как 8-ми битная маска,  беззнаковая величина (uint8_t);

    • В пользовательских интерфейсах представляются десятичным значением, или наименованием единичного уровня целостности;

    • Теоретически, множество возможных значений уровня целостности сущности представляет собой полное частично упорядоченное множество  относительно операции сравнения.

Далее в тексте под терминами "уровень целостности" и "категория доступа" будут пониматься значения соответствующих атрибутов,
являющиеся суммами соответствующих единичных значений.

Сравнение мандатных атрибутов

Операции сравнения уровней конфиденциальности, уровней целостности и категорий доступа определяются следующим образом:

  • Уровень конфиденциальности cL0 больше или равен уровню конфиденциальности cL1 (cL0 >= cL1),
    если численное значение cL0 больше или равно численному значению cL1;

  • Уровень целостности iL0 больше или равен уровню целостности iL1 (iL0 >= iL1),
    если все биты набора iL
    1 являются подмножеством набора бит iL0, или наборы совпадают;
    в терминах побитовых операций 
    (iL0 & iL1) == iL1

  • Категория доступа C0 больше или равна категориям доступа C1 ( C0 >= C1),
    если все биты набора C1 являются подмножеством набора бит C0; или наборы совпадают;
    в терминах побитовых операций 
    (C0 & C1) == C1.

Разрешения на доступ

Пусть мандатная метка субъекта содержит следующие атрибуты:

  • Классификационная метка: 

    • Уровень конфиденциальности cLсуб

    • Уровень целостности iLсуб

  • Категория доступа Cсуб

а мандатная метка объекта содержит атрибуты:

  • Классификационная метка

    • Уровень конфиденциальности cLоб,

    • Уровень целостности iLоб

  • Категория доступа Cоб

Тогда:

  • Операция записи разрешена, если
    cLсуб = cLоб, Cсуб = Cоб и iLсуб >= iLоб, то есть:
    уровни конфиденциальности и категории доступа субъекта и объекта  совпадают,
    а уровень целостности субъекта не ниже уровня целостности объекта
    (теоретически - значение iL
    суб принадлежит верхнему множеству iLоб);

  • Операции чтения и исполнения разрешены, если
    cLсуб >= cLоб, Cсуб >= Cоб, и не зависят от уровней целостности, то есть:
    уровень конфиденциальности субъекта не ниже уровня конфиденциальности объекта,
    а единичные категории доступа объекта входят в единичные категории доступа субъекта
    (теоретически - значение сL
    суб и Cсуб принадлежит верхним множествам cLоб и  Cоб соответственно) ;

    Правила наследования

В отношении атрибутов доступа действуют следующие правила наследования:

  • если в сессии порождаются другие процессы,
    то они наследуют метку целостности и конфиденциальности;

  • Процесс на любом уровне целостности создает объект только с нулевым уровнем целостности.
    Повысить уровень целостности может только субъект с высоким уровнем целостности и с наличием привилегии 
    PARSEC_CAP_CHMAC;

  • Процесс создает объекты только полностью наследуя им свою метку конфиденциальности.
    Изменить ее может только привилегированный процесс c привилегией 
    PARSEC_CAP_CHMAC


  • No labels