Analysis of conditions for taking ownership access within the base role DP-model without memoryinformation flows.pdf На основе семейства ролевых моделей RBAC [1-3] и семейства ДП-моделей компьютерныхсистем (КС) с дискреционным или мандатным управлением доступом [4]построена базовая ролевая ДП-модель (БР ДП-модель) [5, 6]. Данная модель ориентированана анализ в КС с ролевым управлением доступом условий передачи правдоступа ролей и реализации информационных потоков по памяти и по времени.В настоящее время в рамках БР ДП-модели не удалось завершить исследованияКС с ролевым управлением доступом, на условия функционирования которых не наложеноограничений. В связи с этим в [5, 6] с применением БР ДП-модели выполненанализ необходимых и достаточных условий передачи прав доступа для случая, когдав системе существуют только две субъект-сессии двух пользователей.В докладе исследуется БР ДП-модель, в которой взаимодействуют произвольноечисло субъект-сессий, и они не получают доступа владения друг к другус использованием информационных потоков по памяти к функционально ассоциированнымс субъект-сессиями сущностям. Для этого определяется предикатsimple_can_access_own(x, у, G0), истинный тогда и только тогда, когда существуеттраектория функционирования системы с начальным состоянием G0 и с некоторымконечным состоянием, в котором субъект-сессия, функционирующая от имени недоверенногопользователя x, получает доступ владения к субъект-сессии, функционирующейот имени пользователя у.Для упрощения записи алгоритмически проверяемых необходимых и достаточныхусловий истинности предиката simple_can_access_own(x, у, G0) определятся предикатsimple_directly_access_own(x, у, G0), задающий легкопроверяемые условия, при выполнениикоторых субъект-сессия, функционирующая от имени недоверенного пользователяx, может непосредственно получить доступ владения к субъект-сессии, функционирующейот имени пользователя у. По аналогии с моделью Take-Grant [2, 3]также определяются:island: Nu П S ^ 2Nu U 2S - функция, задающая остров (подграф графа доступов,соответствующего состоянию системы) для субъект-сессии или недоверенного пользователя;is_simple_bridge: (Nu U (Ns П S )) х (Nu U S ) х (Nu U S) ^ {true, false} иis_bridge: (Nu U (NS П S )) х (Nu U S ) х (Nu U S ) ^ {true, false} - функции, длякоторых справедливы соответственно равенства is_simple_bridge(x, у, z ) = true илиis_bridge(x, у, z ) = true тогда и только тогда, когда субъект-сессия или недоверенныйпользователь у соединен соответственно простым мостом или мостом (путями специального вида в графе доступов) с субъект-сессией или недоверенным пользователем zчерез недоверенную субъект-сессию или недоверенного пользователя х.При этом при задании простых мостов и мостов в граф доступов добавлены вершины,соответствующие ролям, и ребра, задающие: принадлежность роли права доступак сущности, принадлежность роли множеству авторизованных ролей пользователяили субъект-сессии, принадлежность роли множеству текущих ролей субъект-сессии,возможность административной роли изменять принадлежащие роли права доступак сущности, принадлежность пользователей или субъект-сессий к островам.Теорем а 1. Пусть G0 - состояние системы E (G *, OP), в котором существуютнедоверенный пользователь х G Nu и субъект-сессия или недоверенный пользовательy G NU U S0, такие, что х = y. Предикат simple_can_access_own(х, y, G0) являетсяистинным тогда и только тогда, когда существуют последовательности недоверенныхсубъект-сессий или недоверенных пользователей х 1, . . . , xm G NU U (Ns П S0), субъект-сессий или недоверенных пользователей у1, ... , ym G Nu U S0, где m ^ 1, таких, чтох 1 = х, ym = у, yi G island(хг), где 1 ^ i < m, и выполняются следующие условия:1) Если m ^ 2, то справедливо равенство is_bridge(хт , ym-1, y) = true.2) Если m ^ 3, то для каждого 2 ^ i < m справедливо равенство или is_bridge(хг,yi-1 , yi) = true, или is_simple_bridge(хг, yi-1 , yi) = true.Таким образом, в рамках БР ДП-модели обосновываются необходимые и достаточныеусловия получения субъект-сессией, функционирующей от имени недоверенногопользователя, доступа владения к другой субъект-сессии для случая, когда в системевзаимодействуют произвольное число субъект-сессий и они не используют информационныепотоки по памяти.

Скачать электронную версию публикации