Модели на принципах теории информации Шеннона

Информационные (потоковые) модели невмешательства и невыводимости определяют ограничения на отношение ввода/вывода системы, которые часто достаточны для реализации системы. Данные модели являются результатом применения шенноновской теории информации к проблеме безопасности систем.

Метод, реализующий данные спецификации, должен определять разработчик. Теория данных математических моделей бурно развивается в настоящее время.

Модель невмешательства базируется на понятии «невмешательство». Невмешательство — это ограничение, при котором ввод высокоуровневого пользователя не может смешиваться с выводом низкоуровневого пользователя. Модель невмешательства рассматривает систему, состоящую из четырех объектов: высокий ввод (high-in), низкий ввод (low-in), высокий вывод (high-out), низкий вывод (low-out).

Рассмотрим систему, вывод которой пользователю w определен функцией out (и, hist, read (и)), где и — команда чтения, исполненная пользователем; hist, read (и) — история ввода системы (traces), чей последний ввод был read (и). Безопасность определена в терминах очищения (purge) историй ввода, где purge удаляет команды, исполненные пользователем, чей уровень безопасности не доминирует над уровнем безопасности и.

При сравнении данной модели с моделью Белла — Лападула можно отметить, что последняя слабее, чем модель невмешательства, так как модель невмешательства запрещает многие скрытые каналы, которые остаются при реализации примитивной модели Белла — Лападула; модель невмешательства слабее, чем модель Белла — Лападула, поскольку она разрешает низкоуровневым пользователям копировать один высокоуровневый файл в другой высокоуровневый, что модель Белла — Лападула запретит, так как при этом нарушается ее безопасность по чтению.

В обоих случаях модель невмешательства ближе к интуитивному понятию безопасности, чем модель Белла — Лападула.

Было показано, что для определенных систем модель невмешательства особенно хороша в том, что если последовательность входа X не смешивается с последовательностью вывода Y, и X независима от ввода других пользователей, то I (X, Y) = 0, где I (?,?) - взаимная для X и Y информация.

Модель невыводимости выражается в терминах пользователей и информации, связанных с одним из двух возможных уровней секретности (высокий и низкий).

Система считается невыводимо безопасной, если пользователи с низкими уровнями безопасности не могут получить информацию с высоким уровнем безопасности в результате любых действий пользователей с высоким уровнем безопасности. Другими словами, в таких системах утечка информации не может произойти в результате посылки высокоуровневыми пользователями высокоуровневой информации к низкоуровневым пользователям. Интуитивно это определение относится не к информационным потокам, а к разделению информации, однако оно не предохраняет высокоуровневых пользователей от просмотра низкоуровневыми пользователями. Оно просто требует, чтобы низкоуровневые пользователи не были способны использовать доступную им информацию для получения высокоуровневой информации (это объясняет, почему определение названо невыводимостью).

Многие исследователи предложили рассматривать понятие посылки и интерпретации сигнала шире, чем понятия чтения и записи в модели Белла — Лападула. Иными словами, чтение и запись часто рассматриваются в контексте этой модели как явные операции, вызываемые пользователями компьютерной системы, и выполняются определенной автоматизированной последовательностью вычислительных действий. Посылку и интерпретацию сигналов или информации, часто можно рассматривать в контексте безопасности невыводимости, как действия, имеющие побочные эффекты работы, которые нельзя описать как чтение или запись информации. Поскольку данное определение неформально, то обычно появляется необходимость представить понятие невыводимости в более строгой форме. Это делается во избежание двусмысленности или других ошибок в характеристиках, поэтому мы представляем здесь это понятие, используя модель машины с ограниченными атрибутами как средство для более точного определения невыводимости. В частности, наша машина будет обладать детерминированным поведением и состоять из следующих частей: набор пользователей с высоким или низким уровнем безопасности при разумных правилах спокойствия; набор возможных последовательностей системных входов от пользователей и выходов к пользователям.

Предполагаем, что машина принимает входы от высокои низкоуровневых пользователей, обрабатывает эти входы некоторым незаданным образом и затем выдает на выходах к высокои низкоуровневым пользователям в детерминированном виде. Возможно также, что на входе и выходе находятся одни и те же пользователи. Единственным различием пользователей является то, какой у них уровень безопасности — высокий или низкий.

Если множество входов от пользователей в машину связано с множеством выходов, получаемых пользователями от машины каким-либо разумным образом (возможно основываясь на времени их поступления), то мы можем рассматривать выходную последовательность как трассировку системы. Безопасность невыводимости может быть определена в соответствии с множеством всех трассировок системы и множеством входов и выходов, видимых пользователями.

Точнее система может быть признана невыводимо безопасной, если для каждой метки безопасности х и определенной трассировки есть вторая трассировка, показывающая то же поведение, видимое пользователями с меткой безопасности меньшей или равной х, но не имеющая входов не меньших или равных х. Другими словами, высокоуровневые входы могут всегда быть удалены из трассировки, и это не повлияет на то, что видят низкоуровневые пользователи. Читатель может заметить, что это понятие невыводимости не охватывает ситуаций, основанных на концепции «интерпретации информации» в той степени, в которой этого можно было ожидать. Это исправляется с помощью ограничения понятия составляющих входов и выходов модели.

Предположим, что некоторая система принимает входы и обеспечивает выходы для множества высокои низкоуровневых пользователей. Каждый пользователь связан с определенным взглядом на систему (например, видимые входы и выходы) и может получить информацию, интерпретируя видимое ему поведение. Если система является невыводимо безопасной, то низкоуровневые пользователи не должны получить новой информации, если на входе системы есть дополнительные высокоуровневые пользователи. Кроме того, если низкоуровневые пользователи могут получить определенную информацию, основываясь на видимом ими поведении, то удаление высокоуровневых пользователей не должно изменить получаемой низкоуровневыми пользователями информации.