"Оранжевая книга" США

"Оранжевая  книга" США

С 1983 по 1988 год Министерство обороны США и Национальный комитет  компьютерной безопасности разработали  систему стандартов в области  компьютерной безопасности, которая  включает более десяти документов. Этот список возглавляют "Критерии оценки безопасности компьютерных систем", которые по цвету обложки чаще называют "Оранжевой книгой". В 1995 году Национальный центр компьютерной безопасности США опубликовал "Пояснения к критериям безопасности компьютерных систем", объединившие все имеющиеся на тот момент дополнения и разъяснения к "Оранжевой книге".

В "Оранжевой книге" надежная система определяется как "система, использующая достаточные  аппаратные и программные средства, чтобы обеспечить одновременную  обработку информации разной степени  секретности группой пользователей  без нарушения прав доступа".

Надежность систем оценивается по двум основным критериям:

Политика безопасности - набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию. В частности, правила определяют, в каких случаях пользователь имеет право оперировать с  определенными наборами данных. Чем  надежнее система, тем строже и многообразнее  должна быть политика безопасности. В  зависимости от сформулированной политики можно выбирать конкретные механизмы, обеспечивающие безопасность системы. Политика безопасности - это активный компонент защиты, включающий в себя анализ возможных угроз и выбор  мер противодействия.

Гарантированность - мера доверия, которая может быть оказана архитектуре и реализации системы. Гарантированность можно  определить тестированием системы  в целом и ее компонентов. Гарантированность  показывает, насколько корректны  механизмы, отвечающие за проведение в  жизнь политики безопасности. Гарантированность  можно считать пассивным компонентом  защиты, надзирающим за самими защитниками.

Важным средством  обеспечения безопасности является механизм подотчетности (протоколирования). Надежная система должна фиксировать  все события, касающиеся безопасности. Ведение протоколов должно дополняться  аудитом, то есть анализом регистрационной  информации.

При оценке степени  гарантированности, с которой систему  можно считать надежной, центральной  является концепция надежной вычислительной базы. Вычислительная база - это совокупность защитных механизмов компьютерной системы (включая аппаратное и программное  обеспечение), отвечающих за проведение в жизнь политики безопасности. Надежность вычислительной базы определяется исключительно  ее реализацией и корректностью  исходных данных, которые вводит административный персонал (например, это могут быть данные о степени благонадежности пользователей).

Основное назначение надежной вычислительной базы - выполнять  функции монитора обращений, то есть контролировать допустимость выполнения субъектами определенных операций над  объектами. Каждое обращение пользователя к программам или данным проверяется  на предмет согласованности со списком  действий, допустимых для пользователя.

От монитора обращений  требуется выполнение трех свойств:

Изолированность. Монитор  должен быть защищен от отслеживания своей работы;

Полнота. Монитор  должен вызываться при каждом обращении, не должно быть способов его обхода;

Верифицируемость. Монитор должен быть компактным, чтобы его можно было проанализировать и протестировать, будучи уверенным в полноте тестирования.

Основные элементы политики безопасности

Согласно "Оранжевой  книге", политика безопасности должна включать в себя по крайней мере следующие элементы:

произвольное управление доступом;

безопасность повторного использования объектов;

метки безопасности;

принудительное управление доступом.

Рассмотрим перечисленные  элементы подробнее.

Произвольное управление доступом

Произвольное управление доступом - это метод ограничения  доступа к объектам, основанный на учете личности субъекта или группы, в которую субъект входит. Произвольность управления состоит в том, что  некоторое лицо (обычно владелец объекта) может по своему усмотрению давать другим субъектам или отбирать у  них права доступа к объекту.

Текущее состояние  прав доступа при произвольном управлении описывается матрицей, в строках  которой перечислены субъекты, а  в столбцах - объекты. В клетках, расположенных  на пересечении строк и столбцов, записываются способы доступа, допустимые для субъекта по отношению к объекту, например: чтение, запись, выполнение, возможность передачи прав другим субъектам и т.п.

Очевидно, прямолинейное  представление подобной матрицы  невозможно (поскольку она очень  велика), да и не нужно (поскольку  она разрежена, то есть большинство  клеток в ней пусты). В операционных системах более компактное представление матрицы доступа основывается или на структурировании совокупности субъектов (владелец/группа/прочие в ОС UNIX), или на механизме списков управления доступом, то есть на представлении матрицы по столбцам, когда для каждого объекта перечисляются субъекты вместе с их правами доступа. За счет использования метасимволов можно компактно описывать группы субъектов, удерживая тем самым размеры списков управления доступом в разумных рамках.

Большинство операционных систем и систем управления базами данных реализуют именно произвольное управление доступом. Главное его  достоинство - гибкость, главные недостатки - рассредоточенность управления и сложность централизованного контроля, а также оторванность прав доступа от данных, что позволяет копировать секретную информацию в общедоступные файлы.

Безопасность повторного использования объектов

Безопасность повторного использования объектов - важное на практике дополнение средств управления доступом, предохраняющее от случайного или преднамеренного извлечения секретной информации из "мусора". Безопасность повторного использования  должна гарантироваться для областей оперативной памяти, в частности  для буферов с образами экрана, расшифрованными паролями и т.п., для дисковых блоков и магнитных  носителей в целом.

Важно обратить внимание на следующий момент. Поскольку информация о субъектах также представляет собой объект, необходимо позаботиться о безопасности "повторного использования  субъектов". Когда пользователь покидает организацию, следует не только лишить его возможности входа в систему, но и запретить доступ ко всем объектам. В противном случае новый сотрудник  может получить ранее использовавшийся идентификатор, а с ним и все права своего предшественника.

Современные интеллектуальные периферийные устройства усложняют  обеспечение безопасности повторного использования объектов. Действительно, принтер может буферизовать несколько  страниц документа, которые останутся  в памяти даже после окончания  печати. Необходимо предпринять специальные  меры, чтобы "вытолкнуть" их оттуда.

Впрочем, иногда организации  защищаются от повторного использования  слишком ревностно - путем уничтожения  магнитных носителей. На практике заведомо достаточно троекратной записи случайных последовательностей бит.

Метки безопасности

Для реализации принудительного  управления доступом с субъектами и  объектами используются метки безопасности. Метка субъекта описывает его  благонадежность, метка объекта - степень  закрытости содержащейся в нем информации.

Согласно "Оранжевой  книге", метки безопасности состоят  из двух частей: уровня секретности  и списка категорий. Уровни секретности, поддерживаемые системой, образуют упорядоченное  множество, которое может выглядеть, например, так:

совершенно секретно;

секретно;

конфиденциально;

несекретно.

Категории образуют неупорядоченный набор. Их назначение - описать предметную область, к которой  относятся данные. В военной области  каждая категория может соответствовать, например, определенному виду вооружений. Механизм категорий позволяет разделить  информацию "по отсекам", что способствует лучшей защищенности. Субъект не может  получить доступ к "чужим" категориям, даже если его уровень благонадежности - "совершенно секретно". Специалист по танкам не узнает тактико-технические  данные самолетов.

Главная проблема, которую  необходимо решать в связи с метками, - это обеспечение их целостности. Во-первых, не должно быть непомеченных субъектов и объектов, иначе в  меточной безопасности появятся легко  используемые бреши. Во-вторых, при  любых операциях с данными  метки должны оставаться правильными. В особенности это относится  к экспорту и импорту данных. Например, печатный документ должен открываться  заголовком, содержащим текстовое и/или  графическое представление метки  безопасности. Аналогично, при передаче файла по каналу связи должна передаваться и ассоциированная с ним метка, причем в таком виде, чтобы удаленная  система могла ее протрактовать, несмотря на возможные различия в уровнях секретности и наборе категорий.

Метки безопасности субъектов более подвижны, чем  метки объектов. Субъект может  в течение сеанса работы с системой изменять свою метку, естественно, не выходя за предопределенные для него рамки. Иными словами, он может сознательно  занижать свой уровень благонадежности, чтобы уменьшить вероятность  непреднамеренной ошибки. Вообще, принцип  минимизации привилегий - весьма разумное средство защиты.

Принудительное управление доступом

Принудительное управление доступом основано на сопоставлении  меток безопасности субъекта и объекта.

Субъект может читать информацию из объекта, если уровень  секретности субъекта не ниже, чем  у объекта, а все категории, перечисленные  в метке безопасности объекта, присутствуют в метке субъекта. В таком случае говорят, что метка субъекта доминирует над меткой объекта. Смысл сформулированного  правила понятен - читать можно только то, что положено.

Субъект может записывать информацию в объект, если метка  безопасности объекта доминирует над  меткой субъекта. В частности, "конфиденциальный" субъект может писать в секретные  файлы, но не может - в несекретные (разумеется, должны также выполняться ограничения  на набор категорий). На первый взгляд, подобное ограничение может показаться странным, однако оно вполне разумно. Ни при каких операциях уровень  секретности информации не должен понижаться, хотя обратный процесс вполне возможен. Посторонний человек может случайно узнать секретные сведения и сообщить их куда следует, однако лицо, допущенное к работе с секретными документами, не имеет права раскрывать их содержание простому смертному.

Описанный способ управления доступом называется принудительным, поскольку он не зависит от воли субъектов (даже системных администраторов). После того как зафиксированы  метки безопасности субъектов и  объектов, оказываются зафиксированными и права доступа. В терминах принудительного  управления нельзя выразить предложение "разрешить доступ к объекту X еще и для пользователя Y". Конечно, можно изменить метку безопасности пользователя Y, но тогда он, скорее всего, получит доступ ко многим дополнительным объектам, а не только к X.

Принудительное управление доступом реализовано во многих вариантах  операционных систем и СУБД, отличающихся повышенными мерами безопасности. В  частности, такие варианты существуют для SunOS и СУБД Ingres. Независимо от практического использования принципы принудительного управления являются удобным методологическим базисом для начальной классификации информации и распределения прав доступа. Удобнее мыслить в терминах уровней секретности и категорий, чем заполнять неструктурированную матрицу доступа.

Классы безопасности

"Критерии оценки  безопасности компьютерных систем" Министерства обороны США открыли  путь к ранжированию информационных  систем по степени надежности. В "Оранжевой книге" определяется  четыре уровня надежности (безопасности) - D, C, B и A. Уровень D предназначен  для систем, признанных неудовлетворительными.  В настоящее время он пуст, и ситуация едва ли когда-нибудь  изменится. По мере перехода  от уровня C к A к надежности  систем предъявляются все более  жесткие требования. Уровни C и B подразделяются  на классы (C1, C2, B1, B2, B3) с постепенным  возрастанием надежности. Таким  образом, всего имеется шесть  классов безопасности - C1, C2, B1, B2, B3, A1. Чтобы система в результате  процедуры сертификации могла  быть отнесена к некоторому  классу, ее политика безопасности  и гарантированность должны удовлетворять  приводимым ниже требованиям.  Поскольку при переходе к каждому  следующему классу требования  только добавляются, будем говорить  лишь о том новом, что присуще  данному классу, группируя требования  в согласии с предшествующим  изложением.

Итак, ниже следуют  критерии оценки надежных компьютерных систем.

Требования к политике безопасности

Требования к политике безопасности, проводимой системой, подразделяются в соответствии с основными направлениями  политики, предусматриваемыми "Оранжевой  книгой".