可信计算与多级安全

– 完全干预：安全规则作用于每次访问 – 隔离：保护参照监视器和数据库不被非授权 修改 – 可验证性：参照监视器的正确性是可证明的
• 必须从数学上证明参照监视器执行了安全规则并 提供了完全干预和隔离
广州大学
27
Trojan Horse Defence
Alice创建一个文件，给Bob 写的权限，引诱Bob执行攻 击木马。木马读出敏感信息 写入A创建的文件中
BLP 8条抽象操作规则
规则5和6用来改变访问许可 1. give access permission：添加访问方式到M中的 某个项 2. rescind access permission：删除M中的某个项的 某个访问方式 规则7和8用来改变层次结构 7. create an object:将一个客体添加到H中作为一个 叶节点 8. delete a group of objects：从H中移出一个客体及 所有子孙节点
Bell-LaPadula (BLP) Model
• 以机密性为中心的多级安全要求
– 高级别的主体不会把信息传送给低级别的主体
• Simple security property – no read up
– Someone with high clearance can read low-clearance documents, but not vice versa – Why?
MLS在操作系统MULTICS 上的实现
10.2 其它计算机安全形式化模型
• Biba完整性模型
– BLP侧重机密性，关心信息的非授权泄露 – Biba侧重完整性，关心数据的非授权修改
广州大学
18
10.2 其它计算机安全形式化模型
• Biba完整性模型
– 与BLP基本结构相同，每个主体和客体都有 一个完整性级别。 – 访问方式
• present some interrelated topics:
– – – – – formal models for computer security multilevel security trusted systems mandatory access control security evaluation
– Bell-LaPadula (BLP) model very influential
广州大学
3
10.1 计算机安全的BLP模型
• BLP模型的总体介绍
– 20世纪70年代作为访问控制的形式化模型 出现 – 每个主体和客体都被分配一个安全类别 – 安全类别分级，形成一个严格的层次结构
广州大学
4
Bell-LaPadula (BLP) Model
第10章 可信计算与多级安全
• • • • • • • 10.1 计算机安全的BLP模型 10.2 其它计算机安全形式化模型 10.3 可信系统概念 10.4 多级安全的应用 10.5 可信计算与可信平台模块 10.6 信息技术安全评估通用准则 10.7 保证与评估
广州大学
1
Trusted Computing and Multilevel Security
– if can query on restricted data can infer its existence
• * property – no write down
– Someone with high-clearance can write documents only for higher clearance – Why?
Multi-Level Security
Bell-LaPadula (BLP) Model
• • • • 修改（modify）：在客体中写入或更新信息 观察（observe）：读取客体中的信息 执行（execute）：执行客体 调用（invoke）：从一个主体到另一个主体的通 信
广州大学
19
Biba 完整模型
• strict integrity policy:
– simple integrity:
Dirk创建作业 f1,Carla 完成作业，并把答 案写入f2
Dirk必须以学生角 色创建评语文件f3
Dirk以教师角色创 建考试文件f4
BLP Example cont.
在系统外降低考试 文件f4密级到学生 ，以便Carla可以考 试
BLP Example cont.
Carla将答案写入文件f5，密级 为cl-t。这样只能由教师Dirk阅 读，Carla可以在其工作站上查 看其答案。
• developed in 1970s • as a formal access control model • subjects and objects have a security class
– – – – top secret > secret > confidential > unclassified subject has a security clearance level（安全许可） object has a security classification level （安全等级） class control how subject may access an object
广州大学 29
MLS Security for Role-Based Access Control
• role based access control (RBAC) can implement BLP MLS rules given:
– – – – security constraints on users constraints on read/write permissions read and write level role access definitions constraint on user-role assignments
– hence desire to prove design and implementation satisfy security requirements – led to development of formal security models
• initially funded by US DoD
– 信息：按三级层次结构组织的公司信息
• 客体：独立信息项，每项对应一家公司 • 数据集：对应一家公司的所有客体 • 利益冲突类：所有处于竞争地位的公司的数据集
中国墙模型
中国墙模型
• 实施中国墙策略的两条规则
– 简单安全规则
• 主体S可以读客体O，IFF • O与S已访问的一个客体在同一个DS（数据集）中； 或： • O属于S尚未访问任何信息的一个CI（冲突集）。
• BLP模型还规定了DAC • Ds特性
– 一个个体或角色可以基于文档属主的判断， 在MAC规则的约束下授予另一个个体或角 色对一个文档的访问权。
BLP 形式化描述
• based on current state of system (b, M, f, H):
(current access set b, access matrix M, level function f, hierarchy H) – 当前访问集b:(s,o,a)三元组的集合——S正以方式a访问o。 – 访问矩阵M：Mij记录主体si对客体oj的允许访问方式。 – 级别函数 f：
RBAC MLS Example
MLS Database Security
MLS Database Security Read Access
• DBMS enforces simple security rule (no read up) • easy if granularity entire database / table level • inference problems if have column granularity
• f o（Oj）：客体Oj的密级； • f s（Si）：主体S i的安全许可，即最大安全级别； • f c（Si）：主体S i的当前安全级别
– 层次M：系统中的客体组成的一棵树，每个节点的安全级别大于 其父节点的安全级别。
BLP 形式化描述
• three BLP properties:
ss-property: (Si, Oj, read) has fc(Si) ≥ fo(Oj). *-property:(Si, Oj, append) has fc(Si) ≤ fo(Oj) and (Si, Oj, write) has fc(Si) = fo(Oj) ds-property: (Si, Oj, Ax) implies Ax M[Si，Oj]
• BLP give formal theorems
– theoretically possible to prove system is secure – in practice usually not possible
BLP 8条抽象操作规则
每个规则的应用都必须满足上述三个特性 规则1和2用来改变当前访问集b 1. get access：增加三元组元素到b 2. release access：删除b中的元素 规则3和4用来改变级别函数 3. change object level:改变客体的安全级别 4. change current level：改变主体的当前级
• 主体S可以写客体O，IFF • S可以依据简单安全规则读O；并且： • S能访问的所有客体都与O在同一个DS中。
10.3 可信系统概念
• 表10-1：与信任相关的术语
广州大学
25
参照监视器
参照监视器
• 参照监视器执行安全规则（不上读，不 下写），特性如下：
• applicable if have info and user categories