предоставив системе аутентифицирующую информацию, подтверждающую,
что пользователь действительно является тем, кем он себя заявляет.
2. Разграничение доступа. Каждый пользователь системы имеет до-
ступ только к тем объектам ОС, к которым ему предоставлен доступ в соответствии с текущей политикой безопасности.
3. Аудит. Операционная система регистрирует в специальном журнале события, потенциально опасные для поддержания безопасности системы.
4. Управление политикой безопасности. Политика безопасности
должна постоянно поддерживаться в адекватном состоянии, то есть должна
гибко реагировать на изменения условий функционирования ОС. Управление
политикой безопасности осуществляется администраторами системы с использованием соответствующих средств, встроенных в операционную систему.
5. Криптографические функции. Защита информации немыслима без
использования криптографических средств защиты. Шифрование используется в ОС при хранении и передаче по каналам связи паролей пользователей и некоторых других данных, критичных для безопасности системы.
6. Сетевые функции. Современные ОС, как правило, работают не
изолированно, а в составе локальных и(или) глобальных компьютерных сетей.ОС компьютеров, входящих в одну сеть, взаимодействуют между собой для решения различных задач, в том числе и задач, имеющих прямое отношение кзащите информации. Подсистема защиты обычно не представляет собой единый программный модуль. Как правило, каждая из перечисленных функций подсистемы защиты решается одним или несколькими программными модулями. Некоторые функции встраиваются непосредственно в ядро ОС. Между различными модулями подсистемы защиты должен существовать четко определенный интерфейс, используемый при взаимодействии модулей для решения общих задач.
В таких операционных системах, например в Windows 7, подсистема защиты четко выделяется в общей архитектуре ОС; в других, как UNIX, защитные функции распределены практически по всем элементам операционной системы. Однако любая ОС, удовлетворяющая стандарту защищенности, должна содержать подсистему защиты, выполняющую все вышеперечисленные функции. Обычно подсистема защиты ОС допускает расширение дополнительными программными модулями.
Рассмотрим эти функции подробнее.
Идентификация, аутентификация и авторизация субъектов доступа
В защищенной ОС любой пользователь (субъект доступа), перед тем как
начать работу с системой, должен пройти идентификацию, аутентификацию и авторизацию. Субъектом доступа (или просто субъектом) называют любую
сущность, способную инициировать выполнение операций над элементами ОС.В частности, пользователи являются субъектами доступа.
Идентификация субъекта доступа заключается в том, что субъект сообща-
ет операционной системе идентифицирующую информацию о себе (имя, учетный номер и т.д.) и таким образом идентифицирует себя.
Для того чтобы установить, что пользователь именно тот, за кого себя вы-
дает, в информационных системах предусмотрена процедура аутентификации, задача которой - предотвращение доступа к системе нежелательных лиц.
Аутентификация субъекта доступа заключается в том, что субъект предо-
ставляет операционной системе помимо идентифицирующей информации еще и аутентифицирующую информацию, подтверждающую, что он действительно является тем субъектом доступа, к которому относится идентифицирующая информация.
Для подтверждения своей подлинности субъект может предъявлять си-
стеме разные сущности. В зависимости от предъявляемых субъектом сущно-
стей процессы аутентификации могут быть разделены на следующие катего-
рии:
на основе знания чего-либо. Примерами могут служить пароль, персональный идентификационный код PIN (Personal Identification Number), а также секретные и открытые ключи, знание которых демонстрируется в протоколах типа запрос-ответ;
на основе обладания чем-либо. Обычно это магнитные карты, смарт- карты, сертификаты и устройства touch memory;
на основе каких-либо неотъемлемых характеристик. Эта категория включает методы, базирующиеся на проверке биометрических характеристик пользователя (голос, радужная оболочка и сетчатка глаза, отпечатки пальцев, геометрия ладони и др.). В данной категории не используются криптографические методы и средства. Аутентификация на основе биометрических характеристик применяется для контроля доступа в помещения или к какой-либо технике.
Пароль - это то, что знает пользователь и что также знает другой участник взаимодействия. Для взаимной аутентификации участников взаимодействия может быть организован обмен паролями между ними.
Персональный идентификационный номер PIN является испытанным способом аутентификации держателя пластиковой карты и смарт-карты. Секретное значение PIN-кода должно быть известно только держателю карты.
Динамический (одноразовый) пароль - это пароль, который после однократного применения никогда больше не используется. На практике обычно используется регулярно меняющееся значение, которое базируется на постоянном пароле или ключевой фразе.
Система запрос-ответ - одна из сторон инициирует аутентификацию с
помощью посылки другой стороне уникального и непредсказуемого значения
«запрос», а другая сторона посылает ответ, вычисленный с помощью запроса и секрета. Так как обе стороны владеют одним секретом, то первая сторона может проверить правильность ответа второй стороны. (часовой на посту, умножить на пять).
Сертификаты и электронные подписи - если для аутентификации используются сертификаты, то требуется применение электронных подписей на этих сертификатах. Сертификаты выдаются ответственным лицом в организации пользователя, сервером сертификатов или внешней доверенной организацией.В рамках Интернета появился ряд коммерческих инфраструктур управления открытыми ключами PKI (Public Key Infrastructure) для распространения сертификатов открытых ключей. Пользователи могут получить сертификаты различных уровней.
Авторизация субъекта доступа происходит после успешной идентификации и аутентификации. При авторизации субъекта ОС выполняет действия, необходимые для того, чтобы субъект мог начать работу в системе. Например,авторизация пользователя в операционной системе UNIX включает в себя порождение процесса, являющегося операционной оболочкой, с которой в дальнейшем будет работать пользователь. В операционной системе Windows 7 авторизация пользователя включает в себя создание маркера доступа пользователя, создание рабочего стола и запуск на нем от имени авторизуемого пользователя процесса Userinit, инициализирующего индивидуальную программную среду пользователя. Авторизация субъекта не относится напрямую к подсистеме защиты операционной системы. В процессе авторизации решаются технические задачи, связанные с организацией начала работы в системе уже идентифицированного и аутентифицированного субъекта доступа. С точки зрения обеспечения безопасности ОС процедуры идентификации и аутентификации являются весьма ответственными. Действительно, если злоумышленник сумел войти в систему от имени другого пользователя, он легко получает доступ ко всем объектам ОС, к которым имеет доступ этот пользователь. Если при этом подсистема аудита генерирует сообщения о событиях, потенциально опасных для безопасности ОС, то в журнал аудита записывается не имя злоумышленника, а имя пользователя, от имени которого злоумышленник работает в системе.
Наиболее распространенными методами идентификации и аутентификации являются следующие:
идентификация и аутентификация с помощью имени и пароля;
идентификация и аутентификация с помощью внешних носителей ключевой информации;
идентификация и аутентификация с помощью биометрических характеристик пользователей.
Разграничение доступа к объектам операционной системы.
Основными понятиями процесса разграничения доступа к объектам опе-
рационной системы являются «объект доступа», «метод доступа к объекту» и
«субъект доступа».
Объектом доступа (или просто объектом) называют любой элемент операционной системы, доступ к которому пользователей и других субъектов доступа может быть произвольно ограничен. Возможность доступа к объектам ОС определяется не только архитектурой операционной системы, но и текущей политикой безопасности. Под объектами доступа понимают как ресурсы оборудования (процессор, сегменты памяти, принтер, диски и ленты), так и программные ресурсы (файлы, программы, семафоры), то есть все то, доступ к чему контролируется. Каждый объект имеет уникальное имя, отличающее его от других объектов в системе, и каждый из них может быть доступен через хорошо определенные и значимые операции.
Методом доступа к объекту называется операция, определенная для
объекта. Тип операции зависит от объектов. Например, процессор может только выполнять команды, сегменты памяти могут быть записаны и прочитаны, считыватель магнитных карт может только читать, а для файлов могут быть определены методы доступа «чтение», «запись» и «добавление» (дописывание информации в конец файла).
Субъектом доступа называют любую сущность, способную иницииро-
вать выполнение операций над объектами (обращаться к объектам по некото-
рым методам доступа). Обычно полагают, что множество субъектов доступа и множество объектов доступа не пересекаются. Иногда к субъектам доступа относят процессы, выполняемые в системе. Однако логичнее считать субъектом доступа именно пользователя, от имени которого выполняется процесс. Естественно, под субъектом доступа подразумевают не физического пользователя, работающего с компьютером, а «логического» пользователя, от имени которого выполняются процессы операционной системы.
Таким образом, объект доступа - это то, к чему осуществляется доступ, субъект доступа - это тот, кто осуществляет доступ, и метод доступа - это то,как осуществляется доступ.Для объекта доступа может быть определен владелец - субъект, которому принадлежит данный объект и который несет ответственность за конфиденциальность содержащейся в объекте информации, а также за целостность и доступность объекта.Обычно владельцем объекта автоматически назначается субъект, создавший данный объект, в дальнейшем владелец объекта может быть изменен с использованием соответствующего метода доступа к объекту. На владельца, как правило, возлагается ответственность за корректное ограничение прав доступ к данному объекту других субъектов.
Правом доступа к объекту называют право на выполнение доступа к объекту по некоторому методу или группе методов. Например, если пользователь имеет возможность читать файл, говорят, что он имеет право на чтение этого файла. Говорят, что субъект имеет некоторую привилегию, если он имеет право на доступ по некоторому методу или группе методов ко всем объектам ОС, поддерживающим данный метод доступа.
Разграничением доступа субъектов к объектам является совокупность
правил, определяющая для каждой тройки субъект-объект-метод, разрешен ли доступ данного субъекта к данному объекту по данному методу. При избирательном разграничении доступа возможность доступа определена однозначно для каждой тройки субъект-объект-метод, при полномочном разграничении доступа ситуация несколько сложнее.
Субъекта доступа называют суперпользователем, если он имеет возможность игнорировать правила разграничения доступа к объектам.
Правила разграничения доступа
Правила разграничения доступа, действующие в операционной системе,устанавливаются администраторами системы при определении текущей политики безопасности. За соблюдением этих правил субъектами доступа следит монитор ссылок - часть подсистемы защиты операционной системы.
Правила разграничения доступа должны удовлетворять следующим тре-
бованиям:
1. Правила разграничения доступа, принятые в операционной систе-
ме, должны соответствовать аналогичным правилам, принятым в организации, в которой установлена эта ОС. Иными словами, если согласно правилам организации доступ пользователя к некоторой информации считается несанкционированным, этот доступ должен быть ему запрещен.
2. Правила разграничения доступа не должны допускать разрушаю-
щие воздействия субъектов доступа на ОС, выражающиеся в несанкциониро-
ванном изменении, удалении или другом воздействии на объекты, жизненно
важные для нормальной работы ОС.
3. Любой объект доступа должен иметь владельца. Недопустимо при-
сутствие ничейных объектов - объектов, не имеющих владельца.
4. Недопустимо присутствие недоступных объектов - объектов, к ко-
торым не может обратиться ни один субъект доступа ни по одному методу доступа.
При избирательном разграничении доступа (discretionary access control)
определенные операции над конкретным ресурсом запрещаются или разрешаются субъектам или группам субъектов. Большинство операционных систем реализуют именно избирательное разграничение доступа.
Полномочное разграничение доступа заключается в том, что все объекты могут иметь уровни секретности, а все субъекты делятся на группы, образующие иерархию в соответствии с уровнем допуска к информации. Иногда эту модель называют моделью многоуровневой безопасности, предназначенной для хранения секретов.
Избирательное разграничение доступа
Система правил избирательного разграничения доступа формулируется
следующим образом:
1. Для любого объекта операционной системы существует владелец.
2. Владелец объекта может произвольно ограничивать доступ других
субъектов к данному объекту.
3. Для каждой тройки субъект-объект-метод возможность доступа
определена однозначно.
4. Существует хотя бы один привилегированный пользователь (ад-
министратор), имеющий возможность обратиться к любому объекту по любому методу доступа.
Этот привилегированный пользователь не может игнорировать разграничение доступа к объектам. Например, в Windows 7 администратор для обращения к чужому объекту (принадлежащему другому субъекту) должен вначале объявить себя владельцем этого объекта, используя привилегию администратора объявлять себя владельцем любого объекта, затем дать себе необходимые права, и только после этого администратор может обратиться к объекту. Последнее требование введено для реализации механизма удаления потенциально недоступных объектов.
При создании объекта его владельцем назначается субъект, создавший
данный объект. В дальнейшем субъект, обладающий необходимыми правами, может назначить объекту нового владельца. При этом субъект, изменяющий владельца объекта, может назначить новым владельцем объекта только себя.
Такое ограничение вводится для того, чтобы владелец объекта не мог отдать «владение» объектом другому субъекту и тем самым снять с себя ответственность за некорректные действия с объектом.
Для определения прав доступа субъектов к объектам при избирательном разграничении доступа используются такие понятия, как «матрица доступа»и «домен безопасности».
С концептуальной точки зрения текущее состояние прав доступа при избирательном разграничении доступа описывается матрицей, в строках которой перечислены субъекты доступа, в столбцах - объекты доступа, а в ячейках -операции, которые субъект может выполнить над объектом.
Домен безопасности (protection domain) определяет набор объектов и типов операций, которые могут производиться над каждым объектом операционной системы.
Возможность выполнять операции над объектом есть право доступа, каждое из которых есть упорядоченная пара
Скачать 151.36 Kb.