82. Математические методы анализа политики безопасности. Модель Low-water-mark (Lwm).

Данная модель является конкретизацией модели Б-Л, а также дает пример того, что происходит, когда изменения уровня секретности объекта возможны. Политика безопасности прежняя: все объекты системы классифицированы по узлам решетки ценностей (MLS) и поток информации разрешен только "снизу вверх" .

В рассматриваемой системе один объект (неактивный), три операции с объектом, включающие запросы на доступ:

• read,write,reset.

Эти операции используются несколькими субъектами (процессами), имеющими фиксированные уровни секретности (для простоты - классы секретности образуют линейный порядок). Напомним формальное требование политики о том, что информация может двигаться только "снизу вверх". Поток информации возможен тогда и только тогда, когда реализуется доступ субъекта к объекту вида w или r. При помощи r поток считается разрешенным, если f_s(S)>f_o(0).

При команде w поток считается разрешенным, еслисубъект S не может прочитать информацию в объекте уровня f_s(S)<f₀(0) и записать в объект, для которого f_s(S)>f₀(O), причем хотя бы в одном из этих соотношений неравенство строгое (напомним, что по условию текущие уровни субъектов fc(S)=f_s(S) для любого S). Из этих свойств следует, что в системе должны выполняться условия ss и *. Условие ds автоматически выполняется, так как нет ограничений на доступ, кроме перечисленных.

Таким образом, условия ss в данной системе выглядят стандартно: если X=w или r, то могут быть разрешены доступы (S, 0, X) при выполнении f_s(S)>f₀(0).

Условие *:

если X=w, то f_s(S)=f₀(0),

если X=r, то f_s(S)>f_o(0).

Опишем функционирование системы и докажем,что выполняются условия ss и *. Уровень объекта О в LWM может меняться: при команде write может снизиться, а при команде reset подняться следующим образом. По команде reset класс объекта поднимается и становится максимальным в линейном порядке. После этого все субъекты приобретают право w, но read имеют право только субъекты, находящие на максимальном уровне решетки. При команде write гриф объекта снижается до уровня субъекта, давшего команду w. При снижении уровня секретности объекта вся прежняя информация в объекте стирается и записывается информация процессом, вызвавшем команду write. Право write имеет любой субъект, у которого f_s(S)<f_o(0), где f₀(О) - текущий уровень объекта. Право reset имеет только тот субъект, который не имеет право write. Право read имеет любой субъект, для которого fs(S)>f_o(0).Суммируем вышесказанное в следующей таблице.

Лемма. Для любого состояния системы LWMвыполнены условия ss и *.

Доказательство. Если f_s(S)>f_o(0), то r доступ S к О разрешен. Если f_s(S)=f_o(0), то w доступ S к О разрешен. Таким образом ss и * выполнены. Что и требовалось доказать.

Однако все рассуждения останутся теми же, если отказаться от условия, что при команде write в случае снижения уровня объекта все стирается. То есть здесь также будут выполняться условия * и ss, но ясно, что в этом случае возможна утечка информации. В самом деле, любой процесс нижнего уровня, запросив объект для записи, снижает гриф объекта, а получив доступ w, получает возможность r. Возникает канал утечки (w, r), при этом в предыдущей модели свойство * выбрано для закрытия канала ( r, w). Данный пример показывает, что определение безопасного состояния в модели Б-Л неполное и смысл этой модели только в перекрытии каналов указанных видов. Если "доверенный" процесс снижения грифа объекта работает неправильно, то система перестает быть безопасной.