Модель Харрисона-Руззо-Ульмана

Модель Харрисона-Руззо-Ульмана (HRU-модель) — одна из формальных моделей управления доступом субъектов (пользователей) к объектам, реализованная с помощью матрицы доступов. Названа в честь трёх его авторов: Шаблон:Iw, Уолтера Руззо и Джеффри Ульмана.Шаблон:Sfn

Описание модели

Введение

В современном мире одной из главных ценностей является информация. Поэтому так важно сделать доступ к информации безопасным. В связи с этим были разработаны модели управления доступом. Одной из таких моделей является модель Харрисона-Руззо-Ульмана, главной особенностью которой является матрица с полным описанием пользовательских прав к файлам. Изменения в эту матрицу вводятся с помощью специальных команд.

Описание состояния системы

Основной задачей любой модели управления доступом является ограничение на выполнениe операций, которые разрешено проводить субъекту (пользователю) над объектом. Такими операциями могут являться, например, чтение (поток информации от объекта к субъекту) и запись (поток информации от субъекта к объекту). Введем некоторые обозначения:

$S$ — множество субъектов,

$O$ — множество объектов,

$R = (r_{1}, r_{2}, . . ., r_{n})$ — множество прав доступа.

Для реализации этих прав в данной модели используется матрица доступов $M$ , строки которой соответствуют субъектам, а столбцы — объектам. На пересечении строчек и столбцов указаны права доступа, которыми обладает данный субъект по отношению к данному объекту. Тогда текущее состояние системы $Q$ можно однозначно записать в таком виде:Шаблон:Sfn

$Q = (S, O, M)$

Переходы между состояниями системы

Для того чтобы был возможен переход из $Q = (S, O, M)$ в $Q^{'} = (S^{'}, O^{'}, M^{'})$ , нужно ввести некоторые элементарные операции. Для этой цели в данной модели существует шесть операторов $o p$ :Шаблон:Sfn

Добавление права r в ячейку M[s;o]:
- $o p = e n t e r r i n t o M [s, o]$
Удаление права r из ячейки M[s;o]:
- $o p = d e l e t e r f r o m M [s, o]$
Создание нового субъекта s:
- $o p = c r e a t e s u b j e c t s^{'}$
Создание нового объекта o:
- $o p = c r e a t e o b j e c t o^{'}$
Удаление субъекта s:
- $o p = d e s t r o y s u b j e c t s$
Удаление объекта o:
- $o p = d e s t r o y o b j e c t o$

Условия выполнения и новое состояние системы записаны в виде таблицы:Шаблон:Sfn

Оператор	Условия выполнения	Новое состояние системы
$o p = e n t e r r i n t o M [s, o]$	$s \in S, o \in O$	$S^{'} = S, O^{'} = O, A^{'} [s, o] = A [s, o] \cup {r},$ $i f (s^{'}, o^{'}) \neq (s, o) \Rightarrow A^{'} [s^{'}, o^{'}] = A [s^{'}, o^{'}]$
$o p = d e l e t e r f r o m M [s, o]$	$s \in S, o \in O$	$S^{'} = S, O^{'} = O, A^{'} [s, o] = A [s, o] ∖ {r},$ $i f (s^{'}, o^{'}) \neq (s, o) \Rightarrow A^{'} [s^{'}, o^{'}] = A [s^{'}, o^{'}]$
$o p = c r e a t e s u b j e c t s^{'}$	$s^{'} \notin S$	$S^{'} = S \cup {s^{'}}, O^{'} = O,$ $i f (s, o) \in S \times O \Rightarrow A^{'} [s, o] = A [s, o],$ $i f o \in O^{'} \Rightarrow A^{'} [s^{'}, o] = \emptyset$
$o p = c r e a t e o b j e c t o^{'}$	$o^{'} \notin O$	$S^{'} = S, O^{'} = O \cup {o^{'}},$ $i f (s, o) \in S \times O \Rightarrow A^{'} [s, o] = A [s, o],$ $i f s \in S^{'} \Rightarrow A^{'} [s, o^{'}] = \emptyset$
$o p = d e s t r o y s u b j e c t s$	$s^{'} \in S$	$S^{'} = S ∖ {s^{'}}, O^{'} = O,$ $i f (s, o) \in S^{'} \times O^{'} \Rightarrow A^{'} [s, o] = A [s, o],$
$o p = d e s t r o y o b j e c t o$	$o^{'} \in O$	$S^{'} = S, O^{'} = O ∖ {o^{'}},$ $i f (s, o) \in S^{'} \times O^{'} \Rightarrow A^{'} [s, o] = A [s, o],$

Любой переход может быть осуществлен с помощью такой команды:Шаблон:Sfn

command  $α (x_{1}, x_{2}, . . ., x_{n})$ 
    if  $r_{1} i n M [s_{1}, o_{1}] a n d$ 
        $r_{2} i n M [s_{2}, o_{2}] a n d$ 
        $. . .$ 
        $r_{m} i n M [s_{m}, o_{m}]$ 
    then
          $o p_{1},$ 
          $o p_{2},$ 
          $. . .$ 
          $o p_{k},$ 
end

Пример команды

Примером команды, которая является комбинацией элементарных операций $o p$ , может служить создание файла $F$ пользователем $P$ и получение им прав на чтение $r e a d$ :Шаблон:Sfn

command  $C r e a t e F i l e (F, P)$  
       $c r e a t e o b j e c t F,$ 
       $e n t e r r e a d i n t o M [P, F],$ 
end

Системы в модели Харрисона-Руззо-Ульмана

Любая система в модели Харрисона-Руззо-Ульмана характеризуется матрицей доступа $M$ , конечным количеством прав $R = (r_{1}, r_{2}, . . ., r_{n})$ , объектов $O = (o_{1}, o_{2}, . . ., o_{m})$ , субъектов $S = (s_{1}, s_{2}, . . ., s_{l})$ и операций $A = (α_{1}, α_{2}, . . ., α_{k})$ . Система является монооперационной, если каждая команда $α_{i}$ данной системы выполняет лишь одну элементарную операцию $o p$ .Шаблон:Sfn

Безопасность

Критерий безопасности системы

Для заданной системы исходное состояние $Q_{0} = (S_{0}, O_{0}, M_{0})$ называется безопасным относительно права $r$ , если не существует такой последовательности команд, которая изменила бы заданное начальное состояние системы так, что право $r$ записалось бы в ячейку $M [s; o]$ , в которой оно отсутствовало в начальном состоянии $Q_{0}$ . Если это условие не выполнено, то произошла утечка информации.Шаблон:Sfn

Теорема 1

Существует алгоритм, проверяющий на безопасность исходное состояние $Q_{0}$ монооперационной системы на безопасность относительно права $r$ .Шаблон:Sfn

Доказательство

Чтобы показать, что исходное состояние системы является безопасным относительно права $r$ , нужно перебрать все последовательности операций и проверить на отсутствие утечки права $r$ для каждого конечного состояния. Из этого следует, что условием возможности проверки на безопасность будет ограниченность количества последовательностей операций. Пусть $α_{1}, α_{2}, . . ., α_{k}$ — некоторая последовательность операций. Заметим, что её можно упростить. Команды $d e l e t e$ и $d e s t r o y$ уберем из последовательности, так как нас интересует наличие права в ячейке, а не его отсутствие. Добавим команду $c r e a t e s u b j e c t$ в начало последовательности операций и создадим таким образом субъект $s_{a d d}$ . Заменим ссылки на субъекты и объекты, создаваемые другими командами $c r e a t e s u b j e c t$ и $c r e a t e o b j e c t$ , ссылкой на $s_{a d d}$ . Остальные команды $c r e a t e s u b j e c t$ и $c r e a t e o b j e c t$ убираем, так как ввиду монооперационности системы нельзя создать субъект и определить для него права в одной операции. В результате остается одна команда $c r e a t e s u b j e c t$ и множество команд $e n t e r$ , максимальное число которых легко посчитать по формуле $N = | R | (| S_{0} | + 1) (| O_{0} | + 1)$ . Из этого следует, что число последовательностей операций ограниченно, а значит возможно перебором проверить на безопасность состояние системы относительно права $r$ .Шаблон:Sfn

Теорема 2

Задача определения безопасности исходного состояния $Q_{0}$ системы общего вида для данного права $r$ является неразрешимой.Шаблон:Sfn

Доказательство

Чтобы доказать данную теорему, достаточно свести задачу определения безопасности к задаче остановки машины Тьюринга, которая является заведомо неразрешимой.Шаблон:Sfn

Преимущества и недостатки

ПреимуществаШаблон:Sfn

Простота и наглядность, так как для данной модели не требуется сложных алгоритмов.
Эффективность в управлении, так как возможно управление правами пользователей с точностью до операции.
Сильный критерий безопасности.

НедостаткиШаблон:Sfn

Не существует алгоритма проверки на безопасность для произвольной системы.
Уязвимость для атаки с помощью троянского коня, так как в данной модели не существует контроля за потоками информации между субъектами.

Применение

Несмотря на то, что модель Харрисона-Руззо-Ульмана не предоставляет алгоритма проверки на безопасность для произвольной системы, данная модель нашла свою нишу в мире и используется при формальной верификации корректности построения систем разграничения доступа в высокозащищённых автоматизированных системах. На данный момент создание и развитие моделей управления доступом заключается в основном в проектировании различных модификаций модели Харрисона-Руззо-Ульмана и в поиске условий, при которых бы задача определения безопасности была алгоритмически разрешимой.Шаблон:Sfn Шаблон:Sfn

Сравнение с аналогом

Аналогом модели Харрисона-Руззо-Ульмана является модель Белла-Лападулы, которая предусматривает разделение объектов и субъектов на уровни секретности, а также контролирует поток данных от субъекта к субъекту. Так субъект, имеющий менее высокий уровень секретности, чем у объекта, не получит права доступа к этому объекту. Это создает ряд преимуществ и недостатков по сравнению с моделью Харрисона-Руззо-Ульмана. Модель Белла — Лападулы не подвержена атакам с помощью троянских коней, более безопасна. Но модель Харрисона-Руззо-Ульмана более эффективна в управлении и проста в использовании. Поэтому каждая из этих моделей нашла свое применение.Шаблон:Sfn

См. также

Примечания

Шаблон:Примечания

Литература

Модель Харрисона-Руззо-Ульмана

Содержание

Описание модели

Введение

Описание состояния системы

Переходы между состояниями системы

Пример команды

Системы в модели Харрисона-Руззо-Ульмана

Безопасность

Критерий безопасности системы

Теорема 1

Доказательство

Теорема 2

Доказательство

Преимущества и недостатки

ПреимуществаШаблон:Sfn

НедостаткиШаблон:Sfn

Применение

Сравнение с аналогом

См. также

Примечания

Литература

Навигация

Модель Харрисона-Руззо-Ульмана

Описание модели

Введение

Описание состояния системы

Переходы между состояниями системы

Пример команды

Системы в модели Харрисона-Руззо-Ульмана

Безопасность

Критерий безопасности системы

Теорема 1

Доказательство

Теорема 2

Доказательство

Преимущества и недостатки

ПреимуществаШаблон:Sfn

НедостаткиШаблон:Sfn

Применение

Сравнение с аналогом

См. также

Примечания

Литература

Навигация

Поиск