XTS-400 - XTS-400

XTS-400
РазработчикBAE Systems
Рабочее состояниеТекущий
Исходная модельЗакрытый источник
Последний релиз8.2 / ???
Платформыx86 x86-64
Ядро типМонолитное ядро
Официальный веб-сайтwww.baesystems.com

В XTS-400 это многоуровневый безопасный компьютер Операционная система. это многопользовательский и многозадачность который использует многоуровневое планирование при обработке данных и информации. Он работает в сетевых средах и поддерживает Гигабитный Ethernet и оба IPv4 и IPv6.

XTS-400 представляет собой комбинацию Intel x86 оборудование и Безопасная надежная операционная программа (ОСТАНОВКА) Операционная система. XTS-400 был разработан BAE Systems и первоначально выпущенная как версия 6.0 в декабре 2003 года.

СТОП обеспечивает надежный безопасности и была первой операционной системой общего назначения с Общие критерии рейтинг уровня доверия EAL5 или выше.[1] XTS-400 может размещать и использоваться для разделения нескольких одновременных наборов данных, пользователей и сетей с разными уровнями чувствительности.

XTS-400 обеспечивает как ненадежный среда для нормальной работы и доверенный среда для административной работы и для привилегированных приложений. Недоверенная среда похожа на традиционную Unix среды. Он обеспечивает двоичную совместимость с Linux приложения, выполняющие большинство команд и инструментов Linux, а также большинство приложений Linux без необходимости перекомпиляции. Эта ненадежная среда включает X Window System GUI, хотя все окна на экране должны иметь одинаковый уровень чувствительности.

Для поддержки доверенной среды и различных функций безопасности STOP предоставляет набор проприетарных API к приложениям. Для разработки программ, использующих эти проприетарные API, требуется специальная среда разработки программного обеспечения (SDE). SDE также необходим для переноса некоторых сложных приложений Linux / Unix на XTS-400.

Новая версия операционной системы STOP, STOP 7[2] с тех пор был представлен с заявлением о повышении производительности и новых функциях, таких как RBAC.

Использует

В качестве гарантии, MLS системы, XTS-400 можно использовать в междоменные решения, которые обычно требуют разработки привилегированного программного обеспечения, которое может временно обходить одну или несколько функций безопасности управляемым образом. Такие изделия не подлежат оценке CC XTS-400, но могут быть аккредитованы.

XTS-400 можно использовать как настольный компьютер, сервер или сетевой шлюз. Интерактивная среда, типичная для Unix инструменты командной строки, а также графический интерфейс для поддержки настольного решения. Поскольку XTS-400 поддерживает несколько одновременных сетевых подключений с разными уровнями чувствительности, его можно использовать для замены нескольких одноуровневый рабочие столы подключены к нескольким разным сетям.

Для поддержки серверных функций XTS-400 может быть реализован в монтаж в стойку конфигурации, принимает бесперебойный источник питания (ИБП), допускает несколько сетевых подключений, вмещает множество жесткие диски на SCSI подсистема (также сохранение дисковых блоков с помощью разреженный файл реализация в файловая система ) и предоставляет надежный инструмент для резервного копирования / сохранения. Серверное программное обеспечение, такое как Интернет-демон, можно портировать для работы на XTS-400.

Популярное применение систем с высокой степенью надежности, таких как XTS-400, - защита потока информации между двумя сетями с разными характеристиками безопасности. На базе систем XTS доступно несколько решений для защиты клиентов.

Безопасность

XTS-400 версии 6.0.E завершил оценку Common Criteria (CC) в марте 2004 г. на EAL4, дополненном ALC_FLR.3 (отчет о проверке CCEVS-VR-04-0058.) Версия 6.0.E также соответствовала профилям защиты, озаглавленным Маркированный профиль защиты безопасности (ЛСПП) и Профиль защиты контролируемого доступа (CAPP), хотя оба профиля превосходят по функциональности и надежности.

XTS-400 версии 6.1.E завершил оценку в марте 2005 г. на EAL5, дополненном ALC_FLR.3 и ATE_IND.3 (отчет о валидации CCEVS-VR-05-0094), по-прежнему соответствующим LSPP и CAPP. Оценка EAL5 + включала анализ скрытых каналов и дополнительный анализ уязвимостей и тестирование со стороны Национальное Агенство Безопасности.

XTS-400 версии 6.4.U4 завершил оценку в июле 2008 года на EAL5, дополненном ALC_FLR.3 и ATE_IND.3 (отчет о валидации CCEVS-VR-VID10293-2008), также все еще соответствующим LSPP и CAPP. Как и его предшественник, он также включал анализ скрытых каналов и дополнительный анализ уязвимостей и тестирование со стороны Национальное Агенство Безопасности.

Официальные сообщения обо всех оценках XTS-400 можно увидеть в Списке проверенных продуктов.[3][4]

Основная функция безопасности, которая отличает STOP от большинства операционных систем, - это обязательная политика конфиденциальности. Поддержка обязательной политики целостности также отличает STOP от большинства других MLS или доверенные системы. В то время как политика конфиденциальности касается предотвращения несанкционированного раскрытия информации, политика целостности имеет дело с предотвращением несанкционированного удаления или модификации (например, ущерба, нанесенного вирус может попытаться). Обычные (т.е. ненадежные) пользователи не имеют осмотрительность для изменения уровней чувствительности или целостности объектов. В Белл – ЛаПадула и Биба формальные модели являются основой этой политики.

Как политики конфиденциальности, так и политики целостности применяются ко всем пользователям и всем объектам в системе. STOP обеспечивает 16 иерархических уровней чувствительности, 64 неиерархических категории чувствительности, 8 уровней иерархической целостности и 16 категорий неиерархической целостности. Политика обязательной конфиденциальности обеспечивает соблюдение Соединенные Штаты Министерство обороны модель классификации конфиденциальности данных (например, «Несекретно», «Секретно», «Совершенно секретно»), но может быть настроена для коммерческих сред.

Другие функции безопасности включают:

  • Идентификация и аутентификация, который заставляет пользователей однозначно идентифицироваться и аутентифицироваться перед использованием каких-либо системных служб или доступом к какой-либо информации; идентификация пользователя используется для принятия решений по контролю доступа и отчетности через механизм аудита;
  • Дискреционный контроль доступа (DAC), который выглядит так же, как в Unix, в том числе наличие списки контроля доступа на каждый объект; функция set-id поддерживается управляемым образом;
  • Обязательный подтип политика, которая позволяет использовать некоторые функции доверенных систем, которые поддерживают полную исполнение типа или же принудительное применение доменного типа политика;
  • Аудит всех событий, связанных с безопасностью, и надежные инструменты, позволяющие администраторам обнаруживать и анализировать потенциальные нарушения безопасности;
  • Надежный путь, что позволяет пользователю быть уверенным, что он / она напрямую взаимодействует с доверенные функции безопасности (TSF) во время ответственных операций; это предотвращает, например, троянский конь из спуфинг процесс входа в систему и кражу пароля пользователя;
  • Изоляция кода операционной системы и файлов данных от активности недоверенных пользователей и процессов, что, в частности, предотвращает вредоносное ПО от повреждения или иного воздействия на систему;
  • Разделение процессов друг от друга (чтобы один процесс / пользователь не мог вмешиваться во внутренние данные и код другого процесса);
  • Контрольный монитор функциональность, так что никакой доступ не может обойти проверку операционной системы;
  • Сильное разделение ролей администратора, оператора и пользователя с помощью обязательной политики целостности;
  • Механизмы остаточной информации (т. Е. Повторное использование объекта) для предотвращения очистки данных;
  • Надежные, проверенные инструменты для настройки системы, управления критически важными для безопасности данными и восстановления файловых систем;
  • Самотестирование механизмов безопасности по запросу;
  • Исключение сетевых услуг более высокого уровня из ФБО, чтобы ФБО не были восприимчивы к общеизвестным уязвимостям в этих услугах.

STOP входит только в один пакет, поэтому не возникает путаницы в том, есть ли в конкретном пакете все функции безопасности. Обязательные политики нельзя отключить. Конфигурация политики не требует потенциально сложного процесса определения больших наборов доменов и типов данных (и сопутствующих правил доступа).

Для обеспечения надежности системы необходимо установить XTS-400, загружен, и настраивается доверенным персоналом. На сайте также необходимо предоставить физическая защита компонентов оборудования. Система и обновления программного обеспечения поставляются компанией BAE Systems в безопасном режиме.

Для клиентов, которым они нужны, XTS-400 поддерживает Криптографическая группа поддержки миссии (MSCU) и Fortezza открытки. MSCU выполняет Тип 1 криптография и был отдельно исследован Соединенные Штаты Национальное Агенство Безопасности.

Аппаратное обеспечение

Оценка CC требует особого аппаратное обеспечение для использования в XTS-400. Хотя это накладывает ограничения на конфигурацию оборудования, которое можно использовать, возможно несколько конфигураций. XTS-400 использует только стандартный ПК, коммерческая готовая продукция (COTS) компоненты, за исключением дополнительного Криптографическая группа поддержки миссии (MSCU).

Аппаратное обеспечение основано на Intel Xeon (P4 ) центральное процессорное устройство (ЦП) с частотой до 2,8 ГГц с поддержкой до 2 ГБ основной памяти.

А Подключение периферийных компонентов (PCI) шина используется для дополнительных карт, таких как Гигабитный Ethernet. До 16 одновременно Ethernet могут быть установлены соединения, каждое из которых может быть настроено на различных обязательных уровнях безопасности и целостности.

А SCSI Подсистема используется для подключения ряда высокопроизводительных периферийных устройств. Одно периферийное устройство SCSI - это Карта ПК читатель, который может поддержать Fortezza. Несколько Хост-адаптеры SCSI могут быть включены.

История

XTS-400 предшествовало несколько оцененных предков, все они были разработаны одной и той же группой: процессор защищенной связи (SCOMP), XTS-200 и XTS-300. Все продукты-предшественники оценивались по Критерии оценки доверенных компьютерных систем (TCSEC) (a.k.a. Оранжевая книга ) стандарты. SCOMP завершил оценку в 1984 году на самом высоком функциональном и гарантийном уровне, который существовал на тот момент: A1. С тех пор продукт превратился из проприетарного оборудования и интерфейсов в обычное оборудование и интерфейсы Linux.

XTS-200 была разработана как операционная система общего назначения, поддерживающая Unix-подобный приложение и пользовательская среда. XTS-200 завершил оценку в 1992 году на уровне B3.

XTS-300 перешел с проприетарного оборудования для мини-компьютеров на оборудование COTS, Intel x86. XTS-300 завершил оценку в 1994 году на уровне B3. XTS-300 также прошел несколько рейтинговых циклов обслуживания (также известных как RAMP), очень похожих на обеспечение непрерывности цикл под CC, в конечном итоге заканчивая версией 5.2.E, оцениваемой в 2000 году.

Разработка XTS-400 началась в июне 2000 года. Основным изменением, заметным для заказчиков, было конкретное соответствие Linux API. Хотя функции безопасности системы XTS накладывают некоторые ограничения на API и требуют дополнительных проприетарных интерфейсов, соответствие достаточно близко, чтобы большинство приложений запускалось на XTS без перекомпиляции. Некоторые функции безопасности были добавлены или улучшены по сравнению с более ранними версиями системы, а также улучшена производительность.

По состоянию на июль 2006 года в линейку продуктов XTS продолжаются улучшения.

5 сентября 2006 г. Патентные ведомства США предоставлено BAE Systems Information Technology, LLC. Патент США № 7,103,914 «Надежная компьютерная система».

Архитектура

СТОП - это монолитное ядро операционная система (как и Linux). Хотя он предоставляет API-интерфейс, совместимый с Linux, STOP не является производным от Unix или любой Unix-подобный система. STOP является многоуровневым, модульным, относительно компактным и простым. Эти характеристики исторически способствовали проведению оценок с высокой степенью уверенности.

СТОП разделен на четыре кольца и каждое кольцо дополнительно разделено на слои. Самое внутреннее кольцо имеет аппаратные привилегии, а приложения, включая привилегированные команды, выполняются в самом внешнем. Три внутренних кольца составляют ядро. Программное обеспечение во внешнем кольце защищено от несанкционированного доступа к программному обеспечению внутреннего кольца. Ядро является частью каждого процесса адресное пространство и требуется как обычным, так и привилегированным процессам.

А ядро безопасности занимает самое внутреннее и наиболее привилегированное кольцо и обеспечивает выполнение всех обязательных политик. Он обеспечивает виртуальную среду процессов, которая изолирует один процесс от другого. Он выполняет все низкоуровневое планирование, управление памятью, и обработка прерываний. Ядро безопасности также предоставляет Ввод / вывод услуги и МПК механизм сообщений. Данные ядра безопасности являются глобальными для системы.

Программное обеспечение доверенных системных служб (TSS) выполняется в кольце 1. TSS реализует файловые системы, реализует TCP / IP, и обеспечивает соблюдение дискреционный контроль доступа политика в отношении объектов файловой системы. Данные TSS являются локальными для процесса, в котором они выполняются.

Сервисы операционной системы (OSS) выполняются в кольце 2. OSS предоставляет Linux-подобный API для приложений, а также предоставляет дополнительные проприетарные интерфейсы для использования функций безопасности системы. OSS реализует сигналы, группы процессов и некоторые устройства памяти. Данные OSS локальны для процесса, в котором они выполняются.

Программное обеспечение считается доверенным, если оно выполняет функции, от которых зависит система для обеспечения соблюдения политика безопасности (например, установление авторизации пользователя). Это определение основывается на уровне целостности и привилегиях. Ненадежное программное обеспечение работает на уровне целостности 3, со всеми категориями целостности или ниже. Некоторым процессам требуются привилегии для выполнения своих функций - например, Secure Server должен получить доступ к базе данных аутентификации доступа пользователей, которая хранится в система высокая, при установлении сеанса для пользователя с более низким уровнем чувствительности.

Возможные недостатки

XTS-400 может обеспечить высокий уровень безопасности во многих прикладных средах, но для его достижения приходится идти на компромиссы. Возможные недостатки для некоторых клиентов могут включать:

  • Более низкая производительность из-за более жесткого внутреннего разделения и модульности, а также дополнительных проверок безопасности;
  • Меньшее количество функций уровня приложения доступно "из коробки";
  • Некоторые изменения исходного уровня могут потребоваться для запуска сложных приложений;
  • Надежный пользовательский интерфейс не использует графический интерфейс и имеет ограниченные возможности командной строки;
  • Ограниченный выбор оборудования;
  • Не подходит для встроенных сред или сред реального времени.

Рекомендации

  1. ^ http://www.commoncriteriaportal.org/products/
  2. ^ СТОП 7
  3. ^ [1]
  4. ^ [2]

внешняя ссылка