Надежная система - Trusted system

в техника безопасности специальность Информатика, а надежная система это система, на которую в определенной степени полагаются для обеспечения соблюдения указанных политика безопасности. Это равносильно утверждению, что доверенная система - это система, отказ которой нарушит политику безопасности (если существует политика, которую доверенная система может применять).

Значение слова «доверие» имеет решающее значение, поскольку оно не несет того значения, которое можно было бы ожидать в повседневном использовании. Система, которой доверяет пользователь, - это система, которую пользователь чувствует в безопасности, и доверяет ей выполнять задачи, не выполняя тайно вредоносные или неавторизованные программы; в то время как доверенные вычисления относятся к тому, могут ли программы доверять платформе как неизменной по сравнению с ожидаемой, независимо от того, являются ли эти программы невиновными, злой или выполнять задачи, нежелательные для пользователя.

Доверенная система также может рассматриваться как базовая система безопасности, где защита обеспечивается и обрабатывается на разных уровнях. Это обычно встречается в вооруженных силах, где информация подразделяется на несекретную (U), конфиденциальную (C), секретную (S), совершенно секретную (TS) и другие. Они также обеспечивают соблюдение политик запрета чтения и записи.

Надежные системы в секретной информации

Подмножество доверенных систем («Подразделение B» и «Подразделение A») реализуют принудительный контроль доступа (MAC) этикетки; поэтому часто предполагается, что их можно использовать для обработки классифицированная информация. Однако в целом это неправда. Существует четыре режима, в которых можно работать с многоуровневой системой безопасности: многоуровневый режим, режим с разделением, выделенный режим и режим высокого уровня системы. В «Желтой книге» Национального центра компьютерной безопасности указано, что системы B3 и A1 могут использоваться только для обработки строгого подмножества защитных меток и только при эксплуатации в соответствии с особенно строгой конфигурацией.

Центральное место в концепции Министерство обороны США -стилем "доверенные системы" является понятие "эталонный монитор ", который является объектом, который занимает логическое сердце системы и отвечает за все решения по управлению доступом. В идеале контрольный монитор должен (а) защищен от взлома, (б) всегда активирован и (в) достаточно мал, чтобы его можно было подлежат независимому тестированию, полнота которого может быть гарантирована. Согласно США Национальное Агенство Безопасности 1983 год Критерии оценки доверенных компьютерных систем (TCSEC), или «Оранжевая книга», был определен набор «классов оценки», описывающих функции и гарантии, которые пользователь может ожидать от доверенной системы.

Ключом к обеспечению наивысшего уровня гарантии (B3 и A1) является приверженность серьезной системной инженерии к минимизации сложности (не размер, как часто цитируется) надежная вычислительная база (TCB), определяемая как комбинация аппаратного, программного и микропрограммного обеспечения, которая отвечает за обеспечение выполнения политики безопасности системы.

Внутренний инженерный конфликт, по-видимому, возникает в системах с более высоким уровнем надежности в том смысле, что чем меньше TCB, тем больше набор оборудования, программного обеспечения и микропрограмм, которые находятся за пределами TCB и, следовательно, не являются надежными. Хотя это может привести более технически наивных к аргументам софистов о природе доверия, этот аргумент путает вопрос «правильности» с вопросом «надежности».

В отличие от четко определенной иерархии шести классов оценки, установленной TCSEC, высший из которых, A1, практически идентичен B3, отличаясь только стандартами документации, представленный недавно Общие критерии (CC) - которые получены из смеси более или менее технически зрелых стандартов из различных НАТО страны - предоставляют более тонкий спектр из семи «классов оценки», которые смешивают характеристики и гарантии, возможно, неиерархическим образом, и не имеют философской точности и математической строгости TCSEC. В частности, CC допускает очень слабую идентификацию «объекта оценки» (TOE) и поддерживает - даже поощряет - сочетание требований безопасности, взятых из множества предопределенных «профилей защиты». Хотя можно привести веские доводы в пользу того, что даже более кажущиеся произвольными компоненты TCSEC вносят свой вклад в «цепочку доказательств» того, что выставленная система должным образом обеспечивает соблюдение объявленной политики безопасности, даже самый высокий (E7) уровень CC не может действительно предоставить аналогичная последовательность и строгость доказательной аргументации.[нужна цитата ]

Математические понятия доверенных систем защиты классифицированная информация происходят из двух независимых, но взаимосвязанных трудовых коллективов. В 1974 году Дэвид Белл и Леонард Лападула из MITER, работая под тесным техническим руководством и экономической поддержкой майора Роджера Шелла, доктора философии, Командования электронных систем армии США (Форт-Хэнском, Массачусетс), разработали то, что известно как Модель Bell-LaPadula, в котором более или менее надежная компьютерная система моделируется с точки зрения объекты (пассивные репозитории или места назначения данных, такие как файлы, диски, принтеры) и предметы (активные сущности - возможно, пользователи, системные процессы или потоки, работающие от имени этих пользователей - которые заставляют информацию перемещаться между объектами). Действительно, всю работу компьютерной системы можно рассматривать как «историю» (в теоретическом смысле сериализуемости) частей информации, перетекающих от объекта к объекту в ответ на запросы субъектов о таких потоках.

В то же время Дороти Деннинг из Университета Пердью публиковала свою докторскую диссертацию. диссертация, посвященная «решетчатым информационным потокам» в компьютерных системах. (Математическая «решетка» - это частично заказанный набор, характеризуемый как ориентированный ациклический граф, в котором отношения между любыми двумя вершинами являются либо «доминирует», «подчиняется», либо ни то, ни другое.) Она дала определение обобщенному понятию «метки» - более или менее соответствующему полному обозначению безопасности, которое можно встретить на секретных военных документах. , например, TOP SECRET WNINTEL TK DUMBO - прикрепленные к объектам. Белл и ЛаПадула интегрировали концепцию Деннинга в свой знаменательный технический отчет MITER, озаглавленный: Безопасная компьютерная система: единое представление и интерпретация мультиков- метки, прикрепленные к объектам, представляют конфиденциальность данных, содержащихся в объекте (хотя может быть и часто есть тонкая семантическая разница между чувствительностью данных в объекте и чувствительностью самого объекта), а прикрепленные метки для субъектов представляет надежность пользователя, выполняющего тему. Эти концепции объединены двумя свойствами: «простым свойством безопасности» (субъект может читать только из объекта, который он доминирует [больше, чем является достаточно близкой - хотя и математически неточной - интерпретацией]) и «свойством ограничения» или «* -свойством» (субъект может писать только в объект, который доминирует над ним). (Эти свойства в общих чертах называются «без чтения» и «без записи» соответственно.) Совместно применяемые, эти свойства гарантируют, что информация не может течь «под гору» в репозиторий, откуда недостаточно надежные получатели могут ее обнаружить. . В более широком смысле, если предположить, что ярлыки, присвоенные субъектам, действительно отражают их надежность, тогда правила запрета чтения и записи, жестко соблюдаемые монитором ссылок, доказуемо достаточны для ограничения троянские кони, один из самых общих классов атак (sciz., широко известный черви и вирусы являются специализациями концепции троянского коня).

Модель Белла-ЛаПадула технически обеспечивает только контроль «конфиденциальности» или «секретности», т.е., они обращаются к проблеме чувствительности объектов и сопутствующей надежности субъектов, чтобы не раскрывать ее ненадлежащим образом. Двойная проблема «целостности» (то есть проблема точности или даже происхождения объектов) и сопутствующей надежности субъектов не изменять или не уничтожать ее ненадлежащим образом решается математически аффинными моделями; самый важный из которых назван в честь его создателя, К. Дж. Биба. Другие модели целостности включают Модель Кларка-Уилсона и модель целостности программы Шокли и Шелла, "Модель SeaView"[1]

Важной особенностью MAC является то, что они полностью неподконтрольны любому пользователю. TCB автоматически прикрепляет ярлыки к любым темам, выполняемым от имени пользователей, и файлам, к которым они обращаются или изменяют. Напротив, дополнительный класс элементов управления, названный дискреционный контроль доступа (ЦАП), находятся под непосредственным контролем пользователей системы. Знакомые механизмы защиты, такие как биты разрешения (поддерживается UNIX с конца 1960-х годов и - в более гибкой и мощной форме - Мультики с тех пор еще) и список контроля доступа (ACL) - знакомые примеры DAC.

Поведение доверенной системы часто описывается математической моделью, которая может быть более или менее строгой в зависимости от применимых операционных и административных ограничений, которые принимают форму конечный автомат (FSM) с критериями состояния, состояние ограничения перехода, набор «операций», которые соответствуют переходам между состояниями (обычно, но не обязательно, один), и описательная спецификация верхнего уровня (DTLS), что влечет за собой заметную для пользователя интерфейс (например, API, набор системные вызовы [в UNIX язык] или система выходит [в мэйнфрейм жаргон]); каждый элемент которого порождает одну или несколько модельных операций.

Надежные системы в надежных вычислениях

В Группа доверенных вычислений создает спецификации, предназначенные для удовлетворения конкретных требований доверенных систем, включая подтверждение конфигурации и безопасное хранение конфиденциальной информации.

Надежные системы в анализе политик

Надежные системы в контексте национальный или же внутренняя безопасность, правоохранительные органы, или же социальный контроль политика - это системы, в которых некоторые условные прогноз О поведении людей или объектов в системе было определено до авторизации доступа к системным ресурсам.[2]

Например, доверенные системы включают использование «защитных конвертов» в приложениях для обеспечения национальной безопасности и борьбы с терроризмом »,доверенные вычисления "инициативы в области безопасности технических систем, а также использование оценка кредита или личности системы в финансовых приложениях и приложениях для борьбы с мошенничеством; как правило, они включают любую систему (i), в которой вероятностная угроза или анализ риска используется для оценки «доверия» к принятию решений перед авторизацией доступа или для выделения ресурсов против вероятных угроз (включая их использование при проектировании систем). ограничения для управления поведением в системе) или (ii) в котором анализ отклонений или системы наблюдение используется для обеспечения того, чтобы поведение в системах соответствовало ожидаемым или разрешенным параметрам.

Широкое распространение этих стратегий безопасности на основе авторизации (где состояние по умолчанию DEFAULT = DENY) для борьбы с терроризмом, противодействием мошенничеству и других целей помогает ускорить продолжающуюся трансформацию современных обществ от условной модели Бекари. уголовное правосудие основанные на ответственности за отклоняющиеся от нормы действия после их совершения - см. Чезаре Беккариа, О преступлениях и наказании (1764 г.) - к модели Фуко, основанной на разрешении, упреждении и общем социальном согласии посредством повсеместных превентивных мер. наблюдение и управление через системные ограничения - см. Мишель Фуко, Дисциплина и наказание (1975, Алан Шеридан, тр., 1977, 1995).

В этой возникающей модели «безопасность» ориентирована не на полицейский но управление рисками через наблюдение, обмен информацией, аудиторская проверка, общение и классификация. Эти события привели к общей озабоченности по поводу индивидуальных Конфиденциальность и гражданская свобода и в более широком смысле философский дискуссии о соответствующих формах социальное управление методологии.

Надежные системы в теории информации

Надежные системы в контексте теория информации Основано на определении доверия как «Доверие - это то, что важно для канала связи, но не может быть передано от источника к месту назначения с использованием этого канала» Эда Герка.[3]

В теории информации информация не имеет ничего общего со знанием или смыслом. В контексте теории информации информация - это просто то, что передается от источника к месту назначения с использованием канала связи. Если до передачи информация доступна в месте назначения, то передача равна нулю. Информация, полученная стороной, - это та информация, которую сторона не ожидает, поскольку она измеряется неуверенностью стороны в отношении того, каким будет сообщение.

Точно так же доверие, как определено Герком, не имеет ничего общего с дружбой, знакомствами, отношениями между работником и работодателем, лояльностью, предательством и другими чрезмерно изменчивыми понятиями. Доверие не понимается ни в чисто субъективном смысле, ни как чувство или что-то чисто личное или психологическое - доверие понимается как нечто потенциально передаваемое. Кроме того, это определение доверия является абстрактным, что позволяет различным экземплярам и наблюдателям в доверенной системе общаться на основе общей идеи доверия (в противном случае связь будет изолирована в доменах), где все обязательно разные субъективные и интерсубъективные реализации доверия в каждой подсистеме. (человек и машины) могут сосуществовать.[4]

Взятые вместе в модели теории информации, «информация - это то, чего вы не ожидаете» и «доверие - это то, что вы знаете». Связывая обе концепции, доверие рассматривается как «квалифицированная уверенность в полученной информации». Что касается доверенных систем, утверждение доверия не может основываться на самой записи, а на информации из других информационных каналов.[5] Углубление этих вопросов приводит к сложным концепциям доверия, которые были тщательно изучены в контексте деловых отношений.[6] Это также приводит к концепциям информации, в которых «качество» информации объединяет доверие или надежность в структуре самой информации и информационных систем (ы), в которых она задумана: более высокое качество с точки зрения конкретных определений точности и точности означает более высокую надежность.[7]

Примером исчисления доверия является «Если я соединю две доверенные системы, будут ли они более или менее доверять вместе?».[4]

В IBM Федеральная группа программного обеспечения [8] предположил, что [3] предоставляет наиболее полезное определение доверия для применения в среде информационных технологий, поскольку оно связано с другими концепциями теории информации и обеспечивает основу для измерения доверия. В среде сетевых сервисов предприятия такое понятие доверия считается [8] быть необходимым для достижения желаемого видения совместной, сервис-ориентированной архитектуры.

Смотрите также

Рекомендации

  1. ^ Лант, Тереза ​​и Деннинг, Дороти и Р. Шелл, Роджер и Хекман, Марк и Р. Шокли, Уильям. (1990). Модель безопасности SeaView .. IEEE Trans. Software Eng .. 16. 593-607. 10.1109 / SECPRI.1988.8114. (Источник)
  2. ^ Описанная здесь концепция доверенных систем обсуждается в Taipale, K.A. (2005). Проблема доверенных систем: защитные оболочки, статистический анализ угроз и презумпция невиновности, Национальная безопасность - тенденции и противоречия, IEEE Intelligent Systems, Vol. 20 No. 5, pp. 80-83 (сентябрь / октябрь 2005 г.).
  3. ^ а б Феххи, Дж. И П. Уильямс (1998) Очки доверия, в Цифровые сертификаты: прикладная безопасность в Интернете. Эддисон-Уэсли, ISBN  0-201-30980-7; К реальным моделям доверия: опора на полученную информацию
  4. ^ а б Доверие как безоговорочная уверенность в информации, часть I, Отчет COOK в Интернете, Том X, № 10, январь 2002 г., ISSN  1071-6327.
  5. ^ Грегори, Джон Д. (1997). Джон Д. Электронные юридические документы: довольно хорошая аутентификация?
  6. ^ Хьюмер, Л. (1998). Доверие в деловых отношениях: экономическая логика или социальное взаимодействие? Умео: Boréa. ISBN  91-89140-02-8.
  7. ^ Иванов, К. (1972). Контроль качества информации: О концепции достоверности информации в банках данных и в информационных системах управления..Стокгольмский университет и Королевский технологический институт.
  8. ^ а б Дэли, Кристофер. (2004). Структура доверия для среды DoD Network-Centric Enterprise Services (NCES), IBM Corp., 2004. (Запрос от IEEE Computer Society's ISSAA В архиве 2011-07-26 на Wayback Machine ).

внешняя ссылка