Модели дискреционного доступа

Для каждой из реализаций моделей дискреционного доступа фундаментальным является вопрос, является ли безопасной та или иная начальная конфигурация, т. е. возможна или нет утечка некоторого права. Другими словами, может ли пользователь при некоторых условиях получить доступ к объекту, если в начальном состоянии возможность такого доступа не предусмотрена (не установлено соответствующее право). В общем случае ответ на этот вопрос дается в модели дискреционного доступа с позиций распространения прав доступа.

Рассмотрим дискретную модель разграничения доступа, приведенную в [43], как модель распространения прав доступа. Система защиты представляется в виде некоторого декартова произведения множеств, составными частями которых являются составные части системы защиты: субъекты, объекты, уровни доступа, операции и т. д. В качестве математического аппарата выбран аппарат теории множеств.

Типичная модель системы защиты состоит из следующих частей:

1.

2. — конечный набор исходных объектов, где

3. С — конечный набор команд формы — имя, — формальные параметры, указывающие на объекты;

4. J — интерпретация для команд, такая, что J отображает С в последовательность элементарных операций.

Элементарными операциями являются (r — общее право; s — имя субъекта; o — имя объекта):

· ввести право r в (s, o);

· удалить право r из (s, o);

· создать субъект s;

· создать объект о;

· разрушить субъект s;

· разрушить объект о.

5. Условия для команд. Условие С — отображение элементов набора команд в конечный набор прав.

Право — это тройка (r, s, o), где s и o —формальные параметры.

6. Р — матрица доступов со строкой для каждого субъекта из S и столбцом для каждого объекта из О.

Комментарий. Итак, по п. 2 «типичной модели системы защиты» субъект непременно есть объект, но объект не обязательно является субъектом. Возникает естественный вопрос, а чем отличаются «объект-субъект» от «объект-несубъект», ведь это исходные понятия модели? Какой из объектов понимается в паре (s, o), который «несубъект», или который «субъект»? Если по определению право есть тройка (r, s, o), то, даже формально, как можно «удалить право из двойки (s, o)? Конечно, можно догадаться, что именно подразумевается. Но только догадаться! Кстати, а чем отличается «общее право» от просто «право»? Определено, что общее право есть r (одиночка, но не тройка!), а просто право есть тройка (r, s, o). Что такое «команда»? Если a — имя, то не являются ли «формальные параметры X_i, указывающие на объекты» также именами? Что такое «разрушить объект», «разрушить субъект»? И поскольку «субъекты есть подмножество объектов,

Далее. Если слова в п. 4 действительно означают элементарные операции (на множестве O ₀, на множестве S ₀, на множестве O ₀ \ S ₀), то эти операции должны быть определены и, в силу элементарности, взаимно независимы. Опять-таки можно только догадываться, о чем идет речь. Нечеткость и ошибочность исходных положений неминуемо должны отражаться и на следствиях.

Далее приводятся определения из модели дискреционного доступа.

Определение 1. Для заданной системы защиты команда может привести к утечке общего права r, если ее интерпретация содержит некоторую операцию вида «ввести r в (s, o) для некоторых и

Определение 2. Для заданной системы защиты и права r начальная конфигурация является безопасной для r в этой системе, если не существует конфигурации ведет к r через команду «ввести r в для некоторых и s и o существуют во время команды «ввести» и для них r не находится в — элемент матрицы доступа Р.

Для моделей, построенных на основе дискретной защиты, доказана следующая

Теорема. Не существует алгоритма, который может решить для произвольной дискретной защиты и общего права r, является или нет заданная исходная конфигурация безопасной.

Комментарий. Что такое «заданная система защиты»? Хотя бы, как можно задать «систему защиты»? Учитывая, что к тому же и понятия «конфигурация», «интерпретация» не определены, говорить о справедливости теоремы бессмысленно. Тем более что попутно возникла еще одна тройка (s, o, р), отличная от тройки (r, s, o).

Поиск по сайту: