Аппаратные средства защиты информационных систем

Аппаратные средства защиты информационных систем — средства защиты информации и информационных систем, реализованных на аппаратном уровне. Данные средства являются необходимой частью безопасности информационной системы, хотя разработчики аппаратуры обычно оставляют решение проблемы информационной безопасности программистам.

Эта проблема привлекла внимание многих фирм, в том числе и такой как Intel. В 80-х годах была разработана система 432. Но проект постигла неудача. Возможно, именно после неудачи "гранда" другие фирмы отказались от этой идеи.

Задача аппаратной защиты вычислений была решена советскими разработчиками созданием вычислительного комплекса Эльбрус 1. В основе лежит идея контроля типов на всех уровнях системы, в том числе и на аппаратном. И основная заслуга разработчиков в планомерной ее реализации.

== Общая модель защищенной системы ==кк Разработчиками Эльбруса была предложена следующая модель защищённой информационной системы [1].

Информационную систему в общем случае можно представить, как информационное пространство и обслуживающее его обрабатывающее устройство. Вычисления разбиваются на отдельные вычислительные модули, расположенные в информационном пространстве. Схему реализации вычислений можно представить следующим образом: обрабатывающее устройство под руководством программы может обращаться к этому пространству, читая и редактируя его.

Для описания системы введем понятия

узел

ссылка

контекст программы

Узел — ячейка данных произвольного объема вместе со cсылкой на нее из обрабатывающего устройства.

Cсылка не только описывает данные, но и содержит все права доступа к ним. Система должна обеспечивать контроль над тем, чтобы в операциях, использующих ссылки, не были использованы данные других типов а в операциях с аргументами других типов ссылка не могла быть модифицирована.

Контекст программы — множество всех данных доступных для вычислений в конкретном модуле.

Базовая функциональность модели защищенной информационной системы

Создание узла произвольного объема для хранения данных

После появления новый узел должен быть

пуст

доступен только данному обрабатывающему устройству и только через данную ссылку

Удаление узла.

попытка использования ссылок на удаленные узлы должна приводить к системным прерываниям

Cмена контекста или смена процедуры исполняемой обрабатывающим устройством.

Новый контекст состоит из трех частей:

глобальные переменные, переданные по ссылке из старого контекста

часть, переданная копированием значения (параметры)

локальные данные, созданные в новом модуле

Общие методы и требования к переключению контекста:

Идентификация нового контекста (например, особая ссылка на него, позволяющая лишь переключаться между контекстами)

Непосредственно переключение контекста(исполнение старого кода после переключения контекста запрещено, исходя из принципов защищенности)

Операции формирования ссылки или другой структуры для идентификации и переключения контекста

Реализации могут быть разными(в том числе и без особых ссылок), но должны быть выдержаны основные принципы:

точки входа в контекст формируются внутри самого этого контекст

эта информация делается доступной другим контекстам

код и контекст переключаются одновременно

Анализ модели

Защищенность системы базируется на следующих принципах:

доступ к узлу имеет только модуль, создавший его, если только он добровольно не передаст ссылку кому-либо еще

множество данных, доступных модулю, в любой момент времени строго контролируется контекстом

Результирующая защита предельно строгая, но она не ограничивает возможности программиста. Различные не пересекающиеся модули могут работать в одной программе, вызывая друг друга и обмениваясь данными. Для этого достаточно, чтобы каждый из них содержал особую ссылку для переключения контекста на другой.

Построенная система значительно упрощает поиск и иcправление ошибок благодаря строгому контролю типов. Например, попытка изменить ссылку сразу приведет к аппаратному прерыванию в месте ошибки. После чего ее легко можно отследить и исправить.

Обеспечивается модульность программирования. Неправильная работа программы никак не повлияет на другие. «Испорченный» модуль может лишь выдать неверные результаты.

Для использования системы от программиста не требуется дополнительных усилий. Кроме того, при написании программы под такую модель уже нет необходимости дополнительно оговаривать права доступа, способы их передачи и т. д.

Поиск по сайту: