Pålitelig system - Trusted system

I datateknikkens underspesialitet innen sikkerhetsteknikk er et pålitelig system et system som man i en bestemt grad kan stole på for å håndheve en spesifisert sikkerhetspolicy . Dette tilsvarer å si at et pålitelig system er et system hvis feil ville bryte en sikkerhetspolicy (hvis det finnes en policy som systemet er klarert å håndheve).

Ordet "tillit" er kritisk, da det ikke har den betydningen som kan forventes i daglig bruk. Et pålitelig system er et som brukeren føler seg trygg å bruke, og klarerer å utføre oppgaver uten å utføre skadelige eller uautoriserte programmer i hemmelighet; klarert databehandling refererer til om programmer kan stole på at plattformen skal være uendret fra forventet, og om programmene er uskyldige eller ondsinnede eller om de utfører oppgaver som er uønsket av brukeren.

Et klarert system kan også sees på som et nivåbasert sikkerhetssystem der beskyttelse gis og håndteres]] d i henhold til forskjellige nivåer. Dette finnes ofte i militæret, der informasjon er kategorisert som uklassifisert (U), konfidensiell (C), hemmelig (S), topphemmelig (TS) og videre. Disse håndhever også retningslinjene om ingen opplesning og ingen nedskrivning.

Pålitelige systemer i klassifisert informasjon

En delmengde av pålitelige systemer ("divisjon B" og "divisjon A") implementerer obligatoriske tilgangskontrolletiketter (MAC), og som sådan antas det ofte at de kan brukes til behandling av klassifisert informasjon . Dette er imidlertid generelt usant. Det er fire moduser der man kan betjene et sikkert sikkerhetssystem på flere nivåer: flernivåer, kupéer, dedikerte og systemhøye moduser. National Computer Security Center's "Yellow Book" spesifiserer at B3- og A1 -systemer bare kan brukes til behandling av en streng undersett av sikkerhetsetiketter, og bare når de drives i henhold til en spesielt streng konfigurasjon.

Sentralt i konseptet med pålitelige systemer i US Department of Defense -stil er forestillingen om en " referansemonitor ", som er en enhet som opptar det logiske hjertet i systemet og er ansvarlig for alle adgangskontrollbeslutninger. Ideelt sett er referanseskjermen

  • manipuleringssikkert
  • alltid påberopt
  • liten nok til å bli gjenstand for uavhengig testing, hvis fullstendighet kan garanteres.

I følge US National Security Agency 's Trusted Computer System Evaluation Criteria (TCSEC) fra 1983 , eller "Orange Book", ble det definert et sett med "evalueringsklasser" som beskrev funksjonene og forsikringene som brukeren kunne forvente av et klarert system.

Engasjementet for betydelig systemteknikk for å minimere kompleksiteten (ikke størrelsen , som ofte sitert) til den pålitelige databasen (TCB) er nøkkelen til å gi de høyeste sikkerhetsnivåene (B3 og A1). Dette er definert som den kombinasjonen av maskinvare, programvare og fastvare som er ansvarlig for å håndheve systemets sikkerhetspolicy. En iboende ingeniørkonflikt ser ut til å oppstå i systemer med høyere sikkerhet, ettersom jo mindre TCB, desto større sett med maskinvare, programvare og fastvare som ligger utenfor TCB og derfor ikke er klarert. Selv om dette kan føre de mer teknisk naive til sofisters argumenter om tillits natur, forveksler argumentet spørsmålet om "korrekthet" med "troverdighet".

TCSEC har et presist definert hierarki med seks evalueringsklasser; den høyeste av disse, A1, er helt identisk med B3 - bare forskjellig i dokumentasjonsstandarder. I kontrast gir de mer nylig introduserte Common Criteria (CC), som stammer fra en blanding av teknisk modne standarder fra forskjellige NATO- land, et tøft spekter av syv "evalueringsklasser" som blander funksjoner og forsikringer på en ikke-hierarkisk måte, og mangler presisjonen og den matematiske strikturen til TCSEC. Spesielt tolererer CC svært løs identifikasjon av "evalueringsmål" (TOE) og støtter-til og med oppmuntrer-til en blanding av sikkerhetskrav hentet fra en rekke forhåndsdefinerte "beskyttelsesprofiler". Selv om det kan tas en sak om at selv de tilsynelatende vilkårlige komponentene i TCSEC bidrar til en "kjede av bevis" om at et feltbasert system håndhever sin annonserte sikkerhetspolitikk på riktig måte, kan ikke engang det høyeste (E7) nivået av CC virkelig gi analog konsistens og strengere bevisbevis.

De matematiske forestillingene om pålitelige systemer for beskyttelse av klassifisert informasjon stammer fra to uavhengige, men sammenhengende arbeidskorpora. I 1974, David Bell og Leonard LaPadula fra MITER, under teknisk veiledning og økonomisk sponsing av maj. Roger Schell, Ph.D., fra US Army Electronic Systems Command (Fort Hanscom, MA), utarbeidet Bell-LaPadula-modellen , der et pålitelig datasystem er modellert når det gjelder objekter (passive lagre eller destinasjoner for data som filer, disker eller skrivere) og emner (aktive enheter som får informasjon til å flyte mellom objekter, f.eks. brukere, eller systemprosesser eller tråder som opererer på på vegne av brukerne). Hele driften av et datasystem kan faktisk betraktes som en "historie" (i serialiserbarhetsteoretisk forstand) av informasjonsstykker som flyter fra objekt til objekt som svar på emneres forespørsler om slike strømmer. På samme tid publiserte Dorothy Denning ved Purdue University sin doktorgrad. avhandling, som omhandlet "gitterbaserte informasjonsflyter" i datasystemer. (Et matematisk "gitter" er et delvis ordnet sett , karakteriserbart som en rettet asyklisk graf , der forholdet mellom to hjørner enten "dominerer", "domineres av" eller ingen av dem.) Hun definerte en generalisert forestilling om "etiketter" "som er knyttet til enheter - som tilsvarer mer eller mindre de fulle sikkerhetsmerkene man møter på klassifiserte militære dokumenter, f.eks. TOP SECRET WNINTEL TK DUMBO. Bell og LaPadula integrerte Dennings konsept i sin landemerke MITER tekniske rapport - med tittelen Secure Computer System: Unified Exposition and Multics Interpretation . De uttalte at etiketter festet til objekter representerer sensitiviteten til data som finnes i objektet, mens de som er knyttet til emner representerer påliteligheten til brukeren som utfører motivet. (Imidlertid kan det være en subtil semantisk forskjell mellom sensitiviteten til dataene i objektet og følsomheten til selve objektet.)

Konseptene er forent med to egenskaper, den "enkle sikkerhetseiendommen" (et emne kan bare lese fra et objekt at det dominerer [ er større enn en nær, om enn matematisk upresis, tolkning]) og "innesperringsegenskapen" eller " *-property "(et emne kan bare skrive til et objekt som dominerer det). (Disse egenskapene kalles løst henholdsvis "ingen opplesning" og "ingen nedskriving". Disse egenskapene håndheves i fellesskap for å sikre at informasjon ikke kan flyte "nedoverbakke" til et depot der utilstrekkelig pålitelige mottakere kan oppdage det. I forlengelse av dette, forutsatt at etikettene som er tilordnet emner virkelig representerer deres pålitelighet, så er reglene om ikke-opplesning og ingen nedskrivning som er strengt håndhevet av referansemonitoren tilstrekkelige for å begrense trojanske hester , en av de mest generelle angrepsklassene. ( sciz. , populært rapporterte ormer og virus er spesialiseringer av det trojanske hestekonseptet).

Bell-LaPadula-modellen håndhever teknisk sett bare "konfidensialitet" eller "hemmelighold" -kontroller, det vil si at de tar opp problemet med følsomheten til gjenstander og tilhørende pålitelighet for fag for ikke å avsløre det på uheldig måte. Det dobbelte problemet med "integritet" (dvs. problemet med nøyaktighet, eller til og med opprinnelsen til objekter) og tilhørende pålitelighet for fagene for ikke å modifisere eller ødelegge det på en upassende måte, behandles av matematisk affine modeller; den viktigste er oppkalt etter skaperen, KJ Biba . Andre integritetsmodeller inkluderer Clark-Wilson-modellen og Shockley og Schells programintegritetsmodell, "The SeaView Model"

Et viktig trekk ved MAC -er er at de er helt utenfor kontrollen for enhver bruker. TCB fester automatisk etiketter til alle emner som utføres på vegne av brukere og filer de får tilgang til eller endrer. I motsetning til dette kan en ytterligere klasse av kontroller, betegnet erte tilgangskontroller (DAC), er under direkte kontroll av systembrukere. Kjente beskyttelsesmekanismer som tillatelsesbiter (støttet av UNIX siden slutten av 1960 -tallet og - i en mer fleksibel og kraftig form - av Multics siden tidligere stillbilder) og tilgangskontrolliste (ACL) er kjente eksempler på DAC -er.

Atferden til et pålitelig system er ofte preget av en matematisk modell. Dette kan være strengt avhengig av gjeldende operasjonelle og administrative begrensninger. Disse har form av en endelig tilstandsmaskin (FSM) med tilstandskriterier, tilstandsovergangs begrensninger (et sett med "drift" som svarer til tilstandsoverganger), og et beskrivende toppnivå spesifikasjonen , DTLS (innebærer en bruker-bart grensesnitt slik som et API , et sett med systemanrop i UNIX eller systemutganger i mainframes ). Hvert element i det nevnte gir en eller flere modelloperasjoner.

Pålitelige systemer innen klarert databehandling

The Trusted Computing Group lager spesifikasjoner som er beregnet på å imøtekomme spesielle krav til pålitelige systemer, inkludert attestering av konfigurasjon og sikker lagring av sensitiv informasjon.

Pålitelige systemer i policyanalyse

I forbindelse med nasjonal eller hjemlandssikkerhet , rettshåndhevelse eller politikk for sosial kontroll gir pålitelige systemer betinget forutsigelse om oppførselen til mennesker eller gjenstander før de gir tilgang til systemressurser. For eksempel inkluderer pålitelige systemer bruk av "sikkerhetskonvolutter" i nasjonale sikkerhets- og terrorbekjempelsesprogrammer, " pålitelige databehandling " -initiativer innen teknisk systemsikkerhet, og kreditt- eller identitetspoengsystemer i økonomiske og antisvindelprogrammer. Generelt inkluderer de ethvert system der

  • probabilistisk trussel eller risikoanalyse brukes til å vurdere "lit" for beslutningstaking før autorisasjon for tilgang eller for allokering av ressurser mot sannsynlige trusler (inkludert deres anvendelse i utformingen av systembegrensninger til kontroll oppførsel i systemet); eller
  • avviksanalyse eller systemovervåking brukes for å sikre at atferd i systemene overholder forventede eller autoriserte parametere.

Utbredt bruk av disse godkjenningsbasert sikkerhetsstrategier (der standardtilstanden er DEFAULT = nekte) for antiterror, anti-svindel, og andre formål er å hjelpe akselerere pågående transformasjon av moderne samfunn fra en tenkt Beccarian modell av rettssystemet basert på ansvarlighet for avvikende handlinger etter at de har skjedd - se Cesare Beccaria , On Crimes and Punishment (1764) - til en Foucauldian -modell basert på autorisasjon, forutsetning og generell sosial overholdelse gjennom allestedsnærværende forebyggende overvåking og kontroll gjennom systembegrensninger - se Michel Foucault , Disiplin and Punish (1975, Alan Sheridan , tr., 1977, 1995).

I denne nye modellen er "sikkerhet" ikke rettet mot politi, men til risikostyring gjennom overvåking, informasjonsutveksling, revisjon , kommunikasjon og klassifisering . Denne utviklingen har ført til generelle bekymringer for individets personvern og sivil frihet , og til en bredere filosofisk debatt om passende metoder for sosial styring.

Pålitelige systemer innen informasjonsteori

Pålitelige systemer i forbindelse med informasjonsteori er basert på følgende definisjon: "Tillit er det som er avgjørende for en kommunikasjonskanal, men som ikke kan overføres fra en kilde til en destinasjon ved hjelp av den kanalen" av Ed Gerck.

I informasjonsteori har informasjon ingenting å gjøre med kunnskap eller mening; det er ganske enkelt det som overføres fra kilde til destinasjon, ved hjelp av en kommunikasjonskanal. Hvis informasjonen er tilgjengelig på destinasjonen før overføring, er overføringen null. Informasjon mottatt av en part er den som partiet ikke forventer - målt på partiets usikkerhet om hva meldingen vil være.

På samme måte har tillit som definert av Gerck ingenting å gjøre med vennskap, bekjente, forhold mellom ansatte og arbeidsgiver, lojalitet, svik og andre altfor varierende begreper. Tillit tas heller ikke i subjektiv forstand, ei heller som en følelse eller noe rent personlig eller psykologisk - tillit forstås som noe potensielt kommuniserbart. Videre er denne definisjonen av tillit abstrakt, slik at forskjellige forekomster og observatører i et klarert system kan kommunisere basert på en felles ide om tillit (ellers ville kommunikasjon være isolert på domener), der alle nødvendigvis forskjellige subjektive og intersubjektive erkjennelser av tillit i hvert delsystem (mann og maskiner) kan sameksistere.

Til sammen i modellen for informasjonsteori er "informasjon det du ikke forventer" og "tillit er det du vet". Ved å koble begge konseptene, blir tillit sett på som "kvalifisert avhengighet av mottatt informasjon". Når det gjelder pålitelige systemer, kan en påstand om tillit ikke være basert på selve posten, men på informasjon fra andre informasjonskanaler. Utdypningen av disse spørsmålene fører til komplekse oppfatninger av tillit, som har blitt grundig studert i sammenheng med forretningsforhold. Det fører også til oppfatninger av informasjon der "kvaliteten" på informasjon integrerer tillit eller pålitelighet i strukturen til selve informasjonen og informasjonssystemet (e) der den er oppfattet - høyere kvalitet når det gjelder bestemte definisjoner av nøyaktighet og presisjon betyr høyere troverdighet.

Et eksempel på beregning av tillit er "Hvis jeg kobler til to klarerte systemer, er de mer eller mindre klarert når de tas sammen?".

Den IBM Federal Software Group har foreslått at "tillit poeng" gi den mest nyttige definisjonen av tillit for bruk i et IT-miljøet, fordi den er knyttet til andre informasjonsteori konsepter og gir et grunnlag for å måle tillit. I et nettverkssentrert foretakstjenestemiljø anses en slik forestilling om tillit å være nødvendig for å oppnå ønsket samarbeidende, serviceorientert arkitekturvisjon.

Se også

Referanser

Eksterne linker