В инженерной безопасности узкой специализации в области информатики , доверенная система представляет собой система, которая полагаться на указанный объем для обеспечения заданной политики безопасности. Это равносильно тому, что доверенная система один отказ которого будет нарушать политику безопасности (если существует политика, доверенная система доверена исполнение).
Значение слова «доверие» имеет решающее значение, так как он не несет в себе значение , которое можно было бы ожидать в повседневном использовании. Система доверенным пользователем, является тот , который пользователь чувствует себя в безопасности в использовании, и доверяет выполнять задачи без тайно выполнения вредных или несанкционированных программ; в то время как доверенные вычислительный относится , можно ли доверять программы платформе быть неизмененными от ожидаемых, или нетого этих программ невинны, злонамеренных или выполнить задачи , которые являются нежелательными пользователем.
Доверенные системы в секретной информации
Подмножество доверенных систем ( «Отдел В» и «Отдел А») осуществлять обязательные этикетки контроля доступа; как таковой, часто предполагается , что они могут быть использованы для обработки секретной информации . Однако, это , как правило , не соответствует действительности. Есть четыре режима , в которых один может работать многоуровневую система безопасности ( то есть .. , многоуровневый режим, секционный режим, выделенный режим, и система высокий режим) и, как указан Центр Национальной компьютерной безопасности в «Желтой книге» B3 и системы A1 могут быть использованы только для обработки строгого подмножества меток безопасности, и только тогда , когда работают в соответствии с особенно жесткой конфигурацией.
Центральное место в концепции Министерства обороны США -style «доверенных систем» является понятие « эталонного монитора », который представляет собой объект , который занимает логическое ядро системы и несет ответственность за все решения контроля доступа. В идеале, ссылка монитор (а) неумелого, (б) всегда вызывается, и (с) достаточно мал , чтобы быть предметом независимой проверки, полнота которых может быть гарантирована. За США Агентства национальной безопасности «s 1983 критерии определения безопасности компьютерных систем (TCSEC), или„Оранжевая книга“, набор„классов оценки“были определены , что описаны особенности и гарантии того, что пользователь может ожидать от доверенной системы.
Ключ к предоставлению самого высокого уровня обеспечения (B3 и A1) является посвящение существенной системной инженерии в направлении минимизации сложности (не размер , как это часто цитирует) из проверенной вычислительной базы (Т), определяются как комбинация аппаратных средств , программное обеспечение и прошивка , которая отвечает за соблюдение политики безопасности системы.
Неотъемлемой инженерный конфликт, как представляется, возникают в системах высшего гарантии в том, что, чем меньше УТС, тем больше набор аппаратных средств, программного обеспечения и встроенного программного обеспечения, которая лежит вне УТС и, следовательно, ненадежных. Хотя это может привести технически более наивные аргументы софистов о природе доверия, аргумент сбивает с толком вопроса о „правильности“ с понятием „надежности“.
В отличии от точно определенной иерархии TCSEC в шести оценочных классах-самое высокое из которых, А1, является featurally идентична B3, отличающимся только стандарты в документации по более недавно представила Common Criteria (CC) -Какие извлекает из смеси более или менее технически зрелые стандарты из различных стран НАТО, обеспечить более разреженный спектр семи «классов оценки» , которые перемешиваются особенности и гарантии в возможно , не иерархическим образом и не имеют философскую точность и математическая стриктуры TCSEC. В частности, ЦК терпеть очень свободную идентификацию «целевая оценки» (ОО) и поддержку даже поощрять-собой смешение требований безопасности , взятые из различных заранее определенных профилей защиты «» В то время как сильный случай может быть сделан, что даже больше, казалось бы, произвольные компоненты TCSEC вклад в «цепи доказательств», что выставлял система должным образом навязывает свою объявленную политику безопасности, даже не самый высокий (E7) уровень CC действительно может обеспечить аналогичная последовательность и стриктура доказательной аргументации. [ Править ]
Математические понятия надежных систем защиты секретной информации , проистекают из двух независимых , но взаимосвязанных корпусов работы. В 1974 годе , Дэвид Белл и Леонард Лападула митры, работающие под пристальным руководством технического и экономическое спонсорствем майора. Роджер Шелл, доктор философия, армия США Электронных систем Command (Ft. Hanscom, MA), разработал то , что известно как модель Bell-LaPadula , в которых более или менее надежным компьютерная система моделируется в терминах объектов (пассивных хранилищ или мест для данных, таких как файлы, диски, принтеры) и предметов (активные объекты-возможно , пользователи или системные процессы или нити работают от имени тех пользователей , которые вызывают-информацию для потока между объектами).
В то же время, Дороти Деннинг в Университете Пердью печатал ее Ph.D. диссертация, которая касается «решетки на основе информационных потоков» в компьютерных системах. (Математическая «решетка» представляет собой частично упорядоченное множество, характеризуемое как ориентированный ациклический граф, в котором связь между любыми двумя вершинами является либо «доминирует», «доминируют» , или ни.) Она определяется обобщенное понятием " метки "-corresponding более или менее полная маркировка безопасности один сталкивается на секретных военных документах, например , TOP SECRET WNINTEL TK DUMBO-, которые присоединены к объектам. Белл и LaPadula интегрированной концепции Деннинга в их веха митру технический отчет, озаглавленный, Secure Computer System: Единая экспозиция и Multics Интерпретация -whereby ярлыками к объектам представлена чувствительность данных , содержащихся в объекте (хотя может быть, и часто бывает, тонкое семантическое различие между чувствительностью данных в пределах объекта и чувствительности самого объекта ), в то время как метки , прикрепленные к предметам представляли благонадежности пользователя , выполняющего эту тему. Понятия объединены с двумя свойствами, «простая собственностью безопасности» (субъект может читать только из объекта , что он доминирует [ больше , чем это достаточно близко, хотя и математически неточной-интерпретация]) и «удержание имущества» , или «* -property» (субъект может писать только на объект , который доминирует над его). (Эти свойства свободно упоминается как «не-чтения-вверх» и «не-списанием» соответственно.) Совместно применяются, эти свойства обеспечивают, чтобы информация не может течь «под гору» в хранилище, откуда недостаточно надежные получатели могут обнаружить, что , В расширительном, предполагая , что метки , присвоенные субъект действительно представитель их достоверности, то правила не читаемой неисправных и не-уценки жестко насильственные эталонного монитор доказуемо достаточно , чтобы ограничить троянские конь , один из наиболее общих классы атаки ( sciz. , в народе сообщенные черви и вирусы являются специализациями Троянской концепции лошади). ) Совместно применяются эти свойства, чтобы информация не может течь «под гору» в хранилище, откуда недостаточно надежные получатели могут обнаружить. В расширительном, предполагая , что метки , присвоенные субъект действительно представитель их достоверности, то правила не читаемой неисправных и не-уценки жестко насильственные эталонного монитор доказуемо достаточно , чтобы ограничить троянские конь , один из наиболее общих классы атаки ( sciz. , в народе сообщенные черви и вирусы являются специализациями Троянской концепции лошади). ) Совместно применяются эти свойства, чтобы информация не может течь «под гору» в хранилище, откуда недостаточно надежные получатели могут обнаружить. В расширительном, предполагая , что метки , присвоенные субъект действительно представитель их достоверности, то правила не читаемой неисправных и не-уценки жестко насильственные эталонного монитор доказуемо достаточно , чтобы ограничить троянские конь , один из наиболее общих классы атаки ( sciz. , в народе сообщенные черви и вирусы являются специализациями Троянской концепции лошади).
Модель Bell-LaPadula технически обеспечивает соблюдение только «конфиденциальность» или «секретность» управление, то есть , они решают проблему чувствительности объектов и сопутствующей достоверность субъектов не ненадо раскрывать ее. Двойная проблема «целостность» , то есть, проблема точности (даже провенанс) предметов и сопутствующей достоверность предметов не неуместно , чтобы изменить или уничтожить его, адресуется математически аффинные моделями, наиболее важными из которых является названной в честь его создателя , KJ Биба . Другие модели целостности включают модель Кларка-Вилсона и Шокли и Шелла целостности программы модели.
Важная особенность класса управления безопасности описана Supra , называемая мандатный контроль доступа , или MAC, является то , что они полностью вне контроля любого пользователя: УТС автоматически прикрепляет ярлыки к любым предметам , выполненных от имени пользователей; файлы , созданные, удаленные, читать, или написаны пользователями; и так далее. В отличие от этого , дополнительный класс управления, называемых дискреционных контроля доступа , находятся под прямым контролем пользователей системы. Знакомые механизмы защиты , такие как биты разрешений (поддерживаемые UNIX , начиная с конца 1960 - х годов и в более гибкой и мощной форме, по Multics , так как еще раньше) и списки управления доступом (ACL) являются известными примерами дискреционных контроля доступа.
Поведение доверенной системы часто характеризуются в терминах математической модели-который может быть более или менее строгим, в зависимости от применимых оперативных и административных ограничений, которая берет форму конечного автомата (FSM) с государственными критериями; государственные ограничения переходных ; набор «операций» , которые соответствуют переходам состояния (обычно, но не обязательно, один); и описательная спецификация верхнего уровня , илиDTLS , что влечет за собой пользовательский воспринимаемым интерфейс ( например , API , набор системных вызовов [в UNIX языке] или системных выходах [вмэйнфрейме языке]),
Надежные системы в надежных вычислений
Trusted Computing Group создает спецификацию, которые предназначены для решения конкретных требований надежных систем, в том числе аттестации конфигурации и безопасного хранения конфиденциальной информации.
Доверенные системы в анализе политики
Доверенные системы в контексте национальной или внутренней безопасности , правоохранительные органов или социальный контроль политики являются системами , в которых некоторые условные предсказания о поведении людей или объектов в системе были определены до разрешения доступа к системным ресурсам.
Например, доверенные системы включают в себя использование «огибающих безопасности» в приложениях национальной безопасности и борьбы с терроризмом, « доверенных вычислений » инициатив в области безопасности технических систем, а также с использованием кредитных или идентичности скоринговых систем в финансовых и борьбе с мошенничеством приложений; в общем, они включают в себя любую систему (I) , в которой вероятностная угроза или анализ рисков используются для оценки «доверия» для принятия решений до выдачи разрешения на доступ или для выделения ресурсов от возможных угроз ( в том числе их использования при проектировании систем ограничений для контроля поведение в системе),
Широкое распространение этих разрешений на основе стратегий безопасности (где состояние по умолчанию DEFAULT = ЗАПРЕТИТЬ) для борьбы с терроризмом, борьбы с мошенничеством, а также для других целей помогает ускорить продолжающуюся трансформацию современного общества от воображаемой Beccarian модели уголовного правосудия на основе подотчетности для девиантных действий после того, как они происходят - см Чезаре Беккариа о преступлениях и наказании (1764 г.) - к Фуко модели , основанной на разрешении, упреждения и общего социального соответствия путем повсеместного предупредительного надзора и контроля через систему ограничений - см Мишель Фоолт , дисциплины и наказании за нее (1975, Алан Шеридан , тр., 1977, 1995).
В этой нарождающейся модели, «безопасность» ориентирована не на полицейских , но к управлению рисками путем наблюдения , обмена информацией, аудита , связи и классификации . Эти события привели к общей обеспокоенности по поводу индивидуальной частной жизни и гражданской свободы и к более широкой философскойдискуссии о соответствующих формах социального управления методологией.
