Исследование и разработка методов реализации мандатных средств управления доступом в сетевых ОС семейства UNIX

Массовое использование вычислительных систем для обработки информации выявило, кроме очевидных преимуществ, ряд новых проблем. Дело в том, что вычислительные мощности большинства современных компьютеров позволяют сразу нескольким пользователям одновременно обрабатывать в них разнообразную информацию, при этом вся вычислительная система используется наиболее рационально. Между тем необходимо обеспечить корректность этого процесса со стороны каждого из пользователей, а именно, нужно поддерживать в рамках системы защиту обрабатываемой информации:

Действительно, в общем случае не все пользователи должны и могут иметь в системе одинаковые права и возможности по обработке разнородной информации. Так, способность любого пользователя несанкционированно получить права неограниченного доступа ко всей информации в системе может привести к тому, что какая-либо важная и конфиденциальная ее часть будет случайно либо намеренно разглашена, искажена или уничтожена.

Развитие технологий передачи и обработки информации повлекшее за собой как улучшение функциональности компьютеров, так и значительное удешевление аппаратного и программного обеспечения, позволило существенно расширить рамки применения вычислительных средств. При этом возможные риски от несанкционированного доступа к информации приобретают характер катастрофы, затрагивая все жизненно важные аспекты существования современного общества и государства.

Для формализации требования к безопасности информационных систем правительство РФ разрабатывает и утверждает различные стандарты в области защиты информации. Существуют аналогичные стандарты правительства США и международный стандарт. Стандарты разных стран строятся на основе похожих подходов к защите, появившихся в результате общепризнанных научных и инженерных разработок в этой области. В частности, они определяют необходимый уровень безопасности вычислительных систем специального назначения, применяемых при обработке информации! различной степени конфиденциальности в интересах государства, или для других критических приложений.

Защита от несанкционированного доступа к информации, естественно, возлагается в основном на сами системы, обрабатывающие и передающие информацию. Однако, развитие информационных систем, особенно в части программного обеспечения, происходило преимущественного эволюционно, что определялось необходимостью сохранения совместимости с их более ранними версиями. Таким образом, возникла ситуация, когда средства защиты информации в существующем программном обеспечении не могут в полной мере противостоять всем современным рискам. Более того, анализ современных вычислительных систем со всей очевидностью демонстрирует, что скорость расширения областей их применения значительно опережает темпы развития в них механизмов защиты информации. Следовательно, становится актуальной необходимость разработки эффективных дополнительных средств защиты, улучшающих показатели защищенности от несанкционированного доступа к информации в существующем программном обеспечении, как наиболее критичном элементе современных информационных систем.

Разработку средств защиты принято начинать с построения формальной модели, описывающей их общие принципы и защитные свойства. Существуют два основных типа моделей: дискреционные и мандатные. Мандатные модели управления доступом применяются в вычислительных системах специального назначения, где требуется повышенная защита. Более подробно эти модели будут рассмотрены в первой главе.

Вычислительные системы специального назначения строятся на базе защищенных операционных систем, которые и определяют выбор той или иной модели управления доступом. Защищенные операционные системы являются по своей сути модифицированными версиями серийных, среди которых в настоящее время доминируют ОС «MS Windows NT/2000/XP» фирмы Microsoft Corporation и множество разновидностей ОС UNIX. ОС «MS Windows «, обладая удобным пользовательским интерфейсом, имеет репутацию менее надежной и масштабируемой системы, поэтому для защищенных применений различные версии UNIX, построенные на открытых стандартах, являются более приоритетными.

В наиболее развитые варианты защищенных операционных систем UNIX встраивается мандатная модель Белла-ЛаПадулы (Bell-LaPadula model), что обусловлено высокими функциональными характеристиками защиты модели и формальными требованиям государственных стандартов.

Модель Белла-ЛаПадулы подробно описывается в научных публикациях ее авторов [33, 34]. Однако эта модель обладает рядом недостатков, на которые указывается в более поздних работах критического характера [35, 45]. Для устранения некоторых из недостатков уже существуют общепринятые подходы, но часть вопросов остается открытыми до настоящего времени.

В практических реализациях модели Белла-ЛаПадулы преобладают прямые методы ее встраивания в существующие операционные системы. При этом в большинстве случаев никак не учитываются недостатки модели и особенности архитектуры самих операционных систем. Такие реализации, как правило, характеризуются повышенной сложностью, отсутствием совместимости со стандартными версиями ОС и малой эффективностью.

Исходя из приведенного выше, целью диссертационной работы являлся анализ существующих способов реализации мандатной модели управления доступом к информации Белла-ЛаПадулы в защищенных операционных системах и последующая разработка методов более простотой и эффективной ее реализации в ОС. При этом представлялось важным не только добиться удовлетворения требований действующих стандартов по защите информации, но и с максимальной полнотой учесть как особенности и недостатки модели Белла-ЛаПадулы, так и существующую архитектуру управления доступом к информации в ОС класса UNIX которые наиболее часто используются при построении защищенных операционных систем. В соответствии с этим, были определены следующие основные задачи диссертационного исследования:

1) Анализ мандатной модели управления доступом Белла-ЛаПадулы, включая варианты ее описания действующими нормативными документами в области информационной безопасности. Определение достоинств и недостатков модели по сравнению с другими мандатными моделями. Выявление существующих способов устранения этих недостатков.

2) Анализ известных реализаций мандатной модели Белла-ЛаПадулы в ОС класса UNIX, Определение их особенностей, достоинств и недостатков.,.

3) Теоретическая разработка улучшенного, по сравнению с известными аналогами, способа интеграции модели Белла-ЛаПадулы в ОС UNIX, основанная на полученных ранее результатах.

4) Практическая реализация разработанного способа интеграции мандатного управления доступом для одной из операционных систем класса UNIX.

Таким образом, объектом исследований являлось основанное на модели Белла-ЛаПадулы мандатное управление доступом к информации в операционных системах, а предметом исследований были способы интеграции этой модели в ОС класса UNIX.

Для достижения указанной выше цели, в диссертационной работе применялись следующие методы исследований:

1) Анализ обоснования классической модели Белла-ЛаПадулы, имеющегося в научных публикациях ее авторов, а также изучение критических работ по этой теме.

2) Анализ требований международных и отечественных стандартов в области защиты информации с целью конкретизации того представления модели Белла-ЛаПадулы, которое в них заложено.

3) Анализ архитектуры систем защиты в стандартных версиях ОС UNIX на основе изучения технической литературы, документации и доступных исходных текстов этой системы.

4) Анализ известных реализации модели Белла-ЛаПадулы в ОС класса UNIX на основании доступной технической документации и, в ряде случаев, исходных текстов таких систем.

5) Синтез при помощи полученных ранее результатов улучшенной, по сравнению с известными аналогами, схемы интеграции модели Белла-ЛаПадулы в ОС UNIX.

6) Практическая реализация полученной схемы мандатного управления доступом в одной из ОС UNIX для доказательства ее эффективности и жизнеспособности.

К составляющим научную новизну диссертационной работы решениям можно отнести:

1) Схему организации мандатного управления доступом к файловым объектам в ОС UNIXuz основе связывания классификационной метки объекта с его субъектом-владельцем;

2) Метод ограничения доступных для субъектов уровней секретности информации посредством введения дополнительных атрибутов безопасности для субъектов.

3) Схему организации «локально-ассиметричного» мандатного управления доступом в сетях TCP/IP на основе назначения: классификационных меток объектов IP адресам компьютеров и логическим сетевым портам.

4) Метод контроля и изменения разрешенных потоков информации в системе с мандатным управлением доступом посредством введения дополнительных атрибутов безопасности для объектов.

Теоретическая значимость работы заключается в следующем:

1) Разработан принцип назначения атрибутов безопасности объектов, не адресуемый в стандартной модели Белла-ЛаПадулы. В его основу положены базовые свойства архитектуры ОС UNIX.

2) Показана более высокая по сравнению с известными реализациями логическая совместимость архитектурных элементов защиты информации в ОС UNIX и модели Белла-ЛаПадулы.

3) Выявлена логическая совместимость архитектуры сетевых протоколов TCP/IP и модели Белла-ЛаПадулы.

Прикладная ценность результатов исследований состоит в возможности реализации на их основе такой подсистемы мандатного управления доступом для любой ОС из семейства UNIX, которая не только полностью удовлетворяет требованиям действующих нормативных документов в области защиты информации, но и обладает высокой эффективностью и полной совместимостью на уровне форматов данных и протоколов со стандартными версиями этих операционных систем. Кроме того, предложенные схемы мандатного управления доступом допускают простую реализацию, что одновременно повышает уровень надежности всей системы защиты.

Описанный в диссертационной работе улучшенный способ интеграции мандатной модели Белла-ЛаПадулы в ОС класса UNIX был практически реализован в виде подсистемы мандатного управления доступом для операционной системы «Solaris 2.5.1». Полученная в результате этого защищенная версия ОС «Solaris 2.5.1» успешно прошла сертификацию на соответствие требованиям РД [23] для СВТ 2-го класса защищенности от НСД к информации и была внедрена в состав общего программного обеспечения вычислительного комплекса «Эльбрус-90 микро».

Апробация материалов работы, проходила на XXI научно-технической конференции войсковой части 3 425 (г. Москва, 2003 г.) и на IX Санкт-Петербургской международной конференции «Региональная информатика -2004» («РИ-2004», г. Санкт-Петербург, 2004 г.), где докладывались основные положения настоящей диссертационной работы. Ключевые элементы работы обсуждалась на ряде научно-тематических семинаров ЗАО «МЦСТ» и i ИМВС РАН, а также с представителями заказчика и сертифицирующей организации-при утверждении технического проекта по увеличению степени защищенности вычислительного комплекса «Эльбрус-90 микро» от несанкционированного доступа к информации: Часть материалов работы была использована в июне 2004 года при чтении курса лекций «Вычислительный комплекс „Эльбрус-90 микро“. Функционирование, диагностика и техническое обслуживание», которое проходило в ЗАО «МЦСТ» (г. Москва) с целью повышения квалификации инженерно-технических работников.

По теме диссертационной работы опубликованы шесть печатных работ, список которых приводится далее.

1) Хартиков Д М. Реализация мандатной модели защиты информации в операционной системе UNIX //Информационные технологии и вычислительные системы.№ 2, 2004, с. 94−105.

2) Хартиков Д. М: Исследование дискреционного управления доступом в ОС класса UNIXII Высокопроизводительные вычислительные системы и микропроцессоры. Сборник научных трудов, вып. 6 — М.: ИМВС РАН, 2004. С. 65−76.

3) Хартиков Д. М. Простая схема мандатного управления доступом в ОС класса UNIXII Компьютеры в учебном процессе. № 7, 2004. С. 3−14.

4) Хартиков Д. М. Исследование общей структуры комплекса средств защиты в ОС класса UNIXII Компьютеры в учебном процессе. № 8, 2004. С. 3−10.

5) Хартиков Д. М. Способ мандатного управления доступом в ОС UNIX для сетей TCP/IP //Тезисы докладов IX Санкт-Петербургской международной конференции «Региональная информатика-2004» («РИ-2004»). — СПб.: СПИИ РАН, 2004.

6) Хартиков Д. М. Эффективный способ реализации средств мандатного управления доступом на основе меток секретности в операционных системах класса UNIX. //Тезисы докладов XXI научно-технической конференции войсковой части 3 425: — М: в/ч 3 425, 2003.

Кроме того, многие материалы работы вошли в состав проектной, опытно-конструкторской и эксплуатационной документации общего программного обеспечения вычислительного комплекса «Эльбрус-90 микро».

Рассмотрим теперь структурные этапы дальнейшего изложения.

Работа состоит из настоящего введения, трех глав, заключения и шести приложенийЛогика описания строится на переходе от анализа и развития теоретических вопросов мандатного управления доступом в операционных системах, затрагиваемых в первой и второй главах, к основным аспектам их практической реализации и применения, описываемым на конкретном примере в третьей главе. Дополнительные, но не менее важные материалы приводятся в приложениях.

Первая глава посвящена принципам управления доступом к информации в операционных системах. Сначала поясняется суть проблем управления доступом и базовые подходы к их решению, затрагиваются вопросы их стандартизации. Обосновывается приоритетность выбора систем класса UNIX, среди других операционных систем, для построения защищенных версий программного обеспечения вычислительных систем специального применения. Далее рассматриваются основные модели безопасности и область их применения. Подробно описывается мандатная модель Белла-ЛаПадулы, обеспечивающая высокие характеристики защиты. Приводится анализ недостатков этой модели и способов их устранения. Поскольку поддержка в защищенных операционных системах модели мандатного управления доступом Белла-ЛаПадулы является обязательным требованием стандартов, действующих в РФ, главу завершает подробный анализ доступных ее реализаций в различных версиях ОС UNIX. Делаются выводы о преимуществах и недостатках этих реализаций, а также о возможности их применения в нашей стране.

Во второй главе, с использованием результатов первой главы, предлагается новый способ интеграции мандатного управления доступом в UNIX, обладающий рядом преимуществ по сравнению с известными аналогами. Он учитывает как особенности архитектуры операционной системы UNIX, так и действующие нормативные документы по информационной безопасности. Для этого сначала описываются общие требования к модели управления доступом, затем определяются субъекты и объекты доступа, а также методы доступа, применительно к ОС UNIX. Далее подробно рассматривается и обосновывается собственно улучшенная схема интеграции мандатных правил разграничения доступа, которая просто и эффективно охватывает как объекты файлового типа, так и объекты сетевого взаимодействия. Приводятся способы устранения ограничений, имеющихся в предложенной схеме. Глава завершается описанием ряда дополнений к модели и параметров атрибутов безопасности субъектов и объектов ОС.

Третья глава посвящена вопросам практической реализации в ОС «Solaris 2.5.1» тех новых решений по интеграции мандатного управления доступом, которые описываются во второй главе. Таким образом, на практике обосновывается правильность и жизнеспособность предложенной модели для систем класса UNIX. Рассматривается общая структура мандатной подсистемы и ее основные компоненты: диспетчер доступа в ядре ОС, административная утилита и пользовательская библиотека, конфигурационные файлы. Большое внимание уделяется точкам вызова^ по управлению доступом, интегрированным в ядро операционной системы. Исследуются особенности функционирования ряда стандартных системных пакетов и утилит ОС UNIX при мандатном управлении доступом. Рассматривается администрирование мандатной подсистемы, и работа пользователей при мандатном управлении, доступом.

Основные выводы, сделанные по результатам всей работы, содержатся в заключении. Кроме того, приводятся наиболее перспективные направления дальнейших исследований в области средств управления доступом и защиты информации:

Определения ключевых терминов и понятий приводятся в тексте, по мере их использования. Стандартизованное определение терминов и понятий дано в приложении 1.

Любые исследования в области информационной безопасности должны учитывать требования соответствующих стандартов, поэтому приложение 2 содержит историю развития и обзор стандартов разных странв том числе и международных соглашений. Особое внимание уделяется вопросам практического применения при разработке средств защиты информации нормативных документов, действующих в РФ;

Первой задачей, возникающей при интеграции новых средств защиты информации от несанкционированного доступа для уже существующей вычислительной системы, является необходимость тщательного изучения принципов функционирования этой системы, поддерживаемых в ней информационных потоков, общей структуры комплекса средств защиты (КСЗ) и уже реализованных в нем моделей безопасности: Приложение 3 содержит такой анализ для ОС класса UNIX.

Серийные версии UNIX реализуют, как правило, только дискреционное управление доступом. Приложение 4 содержит краткое изложение данных, полученных в результате исследования дискреционных механизмов защйты, реализованных в стандартной версии ОС «Solaris 2.5.1». Таким образом, на конкретном примере рассматриваются базовые принципы организации управления доступом в UNIX. Описываются основные свойства дискреционной политики безопасности в системе, и степень ее соответствия действующим в РФ нормативным документам.

Приложение 5 содержит справочную информацию о конфигурации мандатной политики безопасности в доработанной версии ОС «Solaris 2.5.1». Также приводится ряд особенностей функционирования подсистемы мандатного управления доступом в операционной системе.

В приложении 6 приводятся исходные тексты некоторых важных модулей и функций подсистемы мандатного управления доступом для ОС «Solaris 2.5.1» на языке программирования С.

Следует отметить, что достаточно большой объем как самой работы, так и приложений к ней, объясняется, во-первых, спецификой рассматриваемых вопросов. Действительно, в области исследований и разработок средств защиты информации принято избегать голословных утверждений и выводов, напротив, необходимо стараться подробно объяснять, обосновывать и даже, в ряде случаев, формально доказывать предлагаемые методы и решения по информационной безопасности. Во-вторых, в настоящий момент наблюдается явный недостаток литературы по тематике работы, многие вопросы слабо освещены в открытых источниках, а по вопросам проектирования и реализации мандатных средств защиты не имеется доступной информации не только на русском, но и на иностранных языках. Поэтому, множество теоретических и практических данных, собранных и проанализированных в настоящей работе, могут быть полезными в качестве справочного пособия для разработчиков средств защиты.

В процессе исследований использовались только материалы, опубликованные в открытых и общедоступных информационных источниках, не содержащие конфиденциальных или секретных данных. Результаты работы также не являются конфиденциальными или секретными. Доступ к исходным текстам программ осуществлялся только с разрешения правообладателей.

Следует отметить, что вне зависимости от наличия каких-либо отдельных средств защиты информации в вычислительной системе, только полное удовлетворение всех требований действующих стандартов может гарантировать требуемый уровень защиты при обработке информации в ней. Иными словами, реализация только идей, приведенных в данной работе, не решает полностью задачу защиты, а является одним из шагов на пути ее успешного решения.

Развитие вычислительной техникипривело к тому, что она широко применяется для обработки различной рода конфиденциальной информации. При этом возникают проблемы обеспечения защиты информации от несанкционированного доступа. Задачи защиты информации рещаются введением? в системное программное обеспечение — операционные системы — специальных средств. Средства защиты строятся на основе формальных моделей, определяющих принципы. управления доступом пользователейвычислительных систем (субъектов) к обрабатываемой информации.

(объектам). Модели делятся на два класса — дискреционные и мандатные. Мандатные моделиобеспечивают больщую защиту, но менее удобны для пользователей, чем дискреционные модели. В силу этого, мандатное управление доступом применяется только при обработке особо конфиденциальной информации. Основное свойство всех мандатных моделей состоит в обязательном характере атрибутов управления доступом субъектов к объектам, назначаемых администратором политики безопасности системы. Наиболее известной и эффективной мандатной моделью является модель Белла-ЛаПадулы. Она назначает каждому субъекту и каждому объекту специальные атрибуты безопасности — классификационные метки. Классификационные метки содержат иерархические компоненты, задающие уровень секретности информации. Обще правило модели: все потоки, информации в системе должны проходить в сторону не уменьшения ее уровня секретности, или — «write up — read down» .Поддержка модели управления доступом Белла-ЛаПадулы в защищенных вычислительных системах является обязательным требованием стандартов РФ в области информационной безопасности: Анализ доступных реализаций мандатного управления доступом ;

модели Белла-ЛаПадулы — для операциоиных систем класса UNIX показал, что они часто не учитывают всех особенностей и недостатков модели, а также механизмы функционирования и элементы защиты, уже имеющиеся в UNIX. Таким образом, существует необходимость разработки более простой и эффективной реализации модели, соответствующей действующим стандартам. Использование естественного подхода к зшравлению доступом в 0G UNIX W фундаментальным: свойствам этой системы, позволило предложить улучшенную схему интеграции мандатной модели в систему. Базовые принципыфункционированияt 0G LW/X предполагают, что информацияхранимаяв объекте, принадлежит субъекту-владельцу этого объекта. Было решено расширить такой подход и для мандатной модели: степень секретности информации связана с ее владельцем. Таким образом, классификационную метку объекта можно однозначно связать с пользовательским идентификатором субъекта-владельца объекта, определив одновременно принцип назначения атрибутов безопасности объектов в реализации модели Белла-ЛаПадулы.Перечислим основные преимущества такой схемы мандатного управления доступом, по сравнению с доступными аналогами:

1) Модель имеет простую реализацию в ОС класса UNIX.2) Сохраняется совместимость со стандартными файловыми системами.3) Процедуры экспортирования и импортирования меток объектов при экспортировании и импортировании объектов выполняются автоматически и «прозрачно» для пользователей. Сохраняется совместимость для всех коммуникационных протоколов.4) Не происходит ухудшение производительности системы.5) Мандатное управление доступом осуществляется в системе полностью независимо, т. е. соответствующая функциональность может быть легко включена, либо выключена. Кроме того, представленная? модель содержит средства, поддержания^ целостности обрабатываемой информации, состоящие в ограничениидоступных уровней секретности для субъектов и в определении разрешенных потоков информации для объектов, что позволяет избежать дополнительной реализации модели Биба в ОС. На основе аналогичного естественного подхода к организации и архитектуре семейства протоколов TCP/IP, была предложена «локально ассиметричная» схема мандатного управления доступом в сети, полностью решающая эту проблему на сетевом уровне. Ее основу составляет назначение каждому сетевому IP адресу и каждой паре логический номер сетевого порта/транспортный протокол (TCP или UDP), как объектам доступа, соответствующей классификационной метки. Приведем достоинства такой схемы, по сравнению с другими защищенными ОС:

1) Не требуется модификация сетевых протоколов, сохраняется полная совместимость со стандартным стеком TCP/IP:

2) Не требуется модификация прикладных сетевых интерфейсов системы, сохраняется совместимость с сетевыми приложениями.3) Практическая реализация этой схемы управления доступом проста, и не требует значительных изменений в ОС.

4) Мандатное управление доступом в сети происходит компактно, на компьютере-инициаторе доступа. Были описаны способы устранения ограничений, имеющихся в представленной мандатной модели. Также отметим, что модель полностью соответствует требованиям стандартов РФ в области информационной безопасности, и не противоречит классической модели Белла-ЛаПадулы.Практическая реализация улучшенной схемы, мандатного управления доступом на базе ОС «Solans» версии? 2.5:1. подтвердила ее надежность и жизнеспособность. Общую структуру мандатной подсистемы в ОС составляют следующие основные компоненты КСЗ: диспетчер доступа в ядре OG, пользовательская библиотека и административная утилита, конфигурационные файлы. Отличительным свойством всей подсистемы является ее функциональная компактность. Надежность мандатного управления доступом в ОС может обеспечиваться только генерацией вызовов к диспетчеру мандатной подсистемы во всех случаях доступа субъектов к объектам. Таким образом, были определены и описаны все необходимые вызовы диспет^шра, интегрированные в ядро ОС, а также способы их реализации, включая методы решения солзо^ствующих этому проблем. ОС С/Лта" разрабатывалась и развивалась без учета мандатных правил разграничения достзша. Ввиду этого, был исследован ряд важных вопросов, связанных с функционированием существующих системных и пользовательских приложений в ОС после интеграции в нее мандатной подсистемы. Кроме того, рассмотрены основные принципы разработки и администрирования автоматизированных систем на базе ОС «Solaris» с поддержкой мандатного управления доступом. Указаны особенности работы пользователей в таких системах. В рамках проекта по усилению степени защищенности вычислительного комплекса «Эльбрус-90микро» [6], версия ОС «Solaris», в которую была интегрирована описанная мандатная подсистема, успешно прошла сертификацию на соответствие требованиям РД [23] для СВТ 2-го класса защищенности от НСД к информации. Подсистема содержит около 46 400 строк кода на языке Таким образом, можно говорить о выполнении в полном объеме всех целей данной диссертационной работы. Для дальнейшего развития предложенной модели, возможно ее расширение информационными метками для объектов доступа и перенос ее реализации в одну из операционных систем с открытыми исходными текстаминапример ОС «Linux «.Кроме того, полезно исследовать методы дальнейшего усиления защиты в ОС, путем интеграции в нее элементов модели Кларка-ВилсонаОсобый интерес при этом представляет эффективная и компактная реализация модели минимальных привилегий, которая позволит не только избавиться от суперпользователя в ОС класса UNIX, но и разделить полномочия администратора политики безопасности между несколькими субъектами, а также получить большую гибкость в реализации мандатной политики безопасности. Перспективным и мало изученным направлением исследований являются механизмы контекстной защиты информации в операционных системах для архитектур с мощной аппаратной поддержкой средств защиты, типа «Эльбрус». Здесь возможно создание ОС со структурой, принципиально отличной от большинства современных систем, обладающей весьма эффективными и простыми средствами защиты, в том числе и в файловых системах.