Исключение субъектов и объектов из схемы мандатного управления доступом

Особенность реализации мандатного механизма управления доступом состоит в том, что все субъекты и объекты доступа должны быть помеченными (им должна быть назначена метка безопасности). Вместе с тем, не все субъекты и объекты доступа могут подпадать под разграничительную политику, реализуемую мандатным механизмом управления доступом. Таким образом, возникает ряд противоречий, не позволяющих корректно реализовать мандатный механизм управления доступом в полном объеме. Например, пользователю «Администратор» явно недостаточно прав доступа с использованием операции «запись» только к собственному объекту, не говоря уже о виртуальном пользователе ОС Windows «Система». То же самое можно сказать и об объектах доступа, например, обобъекте «Корзина» для ОС Windows и др.

С целью разрешения данных противоречий в схему мандатного управления доступом могут быть включены группы субъектов и объектов с номером «О»: СО, ОО. Для разметки данных субъектов и объектов будем говорить о включении в схему управления доступом нулевой метки МО (признака «О»). Присвоение данной метки позволяет исключить субъект, либо объект доступа из схемы мандатного управления доступом. Соответственно, доступ субъекта, обладающего меткой МО, не подпадает под типовые мандатные разграничения, а доступ к объекту, обладающему меткой МО, не разграничивается (запрос диспетчером доступа не обрабатывается). Обратите внимание, что речь идет только об исключении из схемы мандатного управления доступом. При этом исключаемые из мандатной схемы субъекты и (или) объекты доступа остаются элементами схемы дискреционного управления доступом, реализуемого в дополнение к мандатному. Пример матрицы доступа D с возможностью исключения субъектов и объектов из схемы мандатного управления доступом, приведен ниже. Здесь исходное множество прав доступа, используемое для реализации канала взаимодействия субъектов доступа, дополняется элементом «НО» {Зп/Чт, Чт, Д, НО}, где элемент «НО» означает, что запрос не обрабатывается мандатным механизмом управления доступа. Приведенная модель управления доступом формально может быть описана следующим образом:

» Dij = Зп/Чт, если i = j;

* Dij = Чт, если k+1 > i > j; i j > 0;

» Dij = Д, если i < j < k+1; ij > 0;

» Dij = Чт, если i = k+1; ij > 0;

* Dij = НО, если i = 0 или j = 0,

где i -- порядковый номер объекта (номер строки в матрице доступа);

j -- порядковый номер субъекта (номер столбца в матрице доступа).

Таким образом, включение в схему мандатного управления метки МО (и соответствующих ей правил доступа) разрешает отмеченное выше противоречие. Теперь всем субъектам и объектам доступа могут и должны назначаться мандатные метки, и в то же время как субъекты, так и объекты доступа могут исключаться из схемы типовых мандатных разграничений доступа. В этом и заключается использование механизма исключения субъектов и объектов доступа из схемы мандатного управления.

Дата добавления: 2014-01-05