3-信息安全模型

# 安全策略之间没有更好的说法，只是一种可以比一 种提供更多的保护。应根据应用环境灵活使用。
访问控制的一般策略
访问控制
自主 访问控制
强制 访问控制
基于角色 访问控制
2.1 自主访问控制
^自主访问控制
针对访问资源的用户或者应用设置访问 控制权限；根据主体的身份及允许访问的
权限进行决策；自主是指具有某种访问能
保密性
概述
访问控制 信息流
l
RBAC （非干扰性，非观察性）
完整性
Biba Clark-Wilson
the “Chinese Wall” Policy is a mandatory access control(MAC) policy for stock market(股票市场) analysts. This organizational policy is legally binding in the United Kingdom stock exchange(股票交易).
HRU模型 (5)
• 对HRU模型进一步的研究结果表明，即 使我们完全了解了扩散用户的访问权限 的程序，在HRU模型中也很难预测访问 权限怎样被扩散。
与此相关，由于用户通常不了解程序实际进行 的操作内容，这将引起更多的安全问题。例如， 用户甲接受了执行另一个用户乙的程序的权利， 用户甲可能不知道执行程序将用户甲拥有的与用 户乙完全不相关的访问权限转移给用户乙。类似 的，这类表面上执行某功能（如提供文本编辑功 能），而私下隐藏执行另外的功能（如扩散被编 辑文件的读权限）的程序称为特洛伊木马程序。
• Bell-LaPadula (BLP) 安全模型对主体和 客体按照强制访问控制系统的哲学进行 分类，这种分类方法一般应用于军事用 途。
BLP模型特征
• 解决保密性问题 • 描述访问控制的实施
• 强制访问控制结合自主访问控制 （MULTICS）
• 基于多级安全策略：每个实体均被标记
安全等级；安全等级被公正的指定
2 访问控制模型
2.1 自主访问控制（Discretionary Access Control-- DAC）保密性与完整性 木马程序
2.2 强制访问控制（Mandatory Access Control-- MAC） 保密性 隐通道
2.3 基于角色访问控制(RBAC) 管理方式
访问控制模型的基本组成
BLP模型中用户和信息安全分级
在通讯过程中的BLP模型
BLP模型原理
¾ 类似于HRU模型，是一个状态机模型， BLP 模型的组成元素包括访问主体、访问客体、访 问权限和访问控制矩阵。但BLP在集合S和O中 不改变状态
¾ 函数 F: S ∪ O →L，语义是将函数应用于某 一状态下的访问主体与访问客体时，导出相应 的安全级别。 安全级别L构成不变格。
访问控制的策略和机制
^访问控制策略(Access Control Policy)
访问控制策略在系统安全策略级上表示授权。
是对访 问如何控制,如何作出访问决定的高 层指南。
^访问控制机制（Access Control
Mechanisms)
是访问控制策略的软硬件低层实现。
# 访问控制机制与策略独立，可允许安全机制的重用
...
am in M [sm ; om ] then
op1 ... opn
HRU模型 (2)
• 系统请求分为条件和操作两部分，其中
ai ∈A，并且opi属于下列六种元操作之
一（元操作的语义如其名称示意）：
¾ enter a into (s, o), ¾ delete a from (s, o), ¾ create subject s , ¾ create object o , ¾ destroy subject s , ¾ destroy object o 。
• 体现的安全措施：
– 实际的访问权限由Reference monitor控制 – 通用访问权限由访问控制矩阵表示
安全等级
• BLP模型中，数据和用户被划分为以下 安全等级：
公开（Unclassified） 受限（Restricted） 秘密（ Secret ） 机密（ Confidential ） 绝密（Top Secret）
(3). 通过梯度安全标签实现单向信息流通模式。
强制访问控制
^规定
y 一般安全属性可分为四个级别：绝密级（Top Secret）、机密级（Confidential） 、 秘密级 （Secret）无级别级（Unclassified ）
y 规定如下的四种强制访问控制策略： – 下读:用户级别大于文件级别的读操作; – 上写:用户级别低于文件级别的写操作; – 下写:用户级别大于文件级别的写操作; – 上读:用户级别低于文件级别的读操作;
信息安全理论 信息安全模型
讲师：陈洪波
中国信息安全产品测评认证中心
信息安全模型OverView
• 什么是信息安全模型？ • 一个典型的例子：Bell-LaPadula模
型 • 其它的典型例子
– Biba – Clark-Wilson – Chinese Wall – 信息流模型
信息安全模型
1 安全模型概念 2 访问控制模型 3 信息流模型 4 完整性模型 5 信息安全模型
力的主体能够自主地将访问权的某个子集 授予其它主体。
特点：
根据主体的身份和授权来决定访问模式
缺点：
信息在移动过程中其访问权限关系会被 改变。如用户A可将其对目标O的访问权 限传递给用户B,从而使不具备对O访问权 限的B可访问O
状态机
• Lampson 模型
模型的结构被抽象为状态机，
状态三元组( S, O, M )， ——S访问主体集， ——O为访问客体集（可包含S的子集）， ——M 为 访 问 矩 阵 ， 矩 阵 单 元 记 为 M[s,o]，表示主体s对客体o的访问权限。所有 的访问权 限构成一有限集A。 ——状态变迁通过改变访问矩阵M实现。
一定的平台独立性，不过多抑制系统的 功能或实现； 形式化模型是对现实世界的高度抽象，可 以设定具体应用目标，并可以利用工具 来验证；形式化模型适用于对信息安全 进行理论研究。
安全模型目标
• “在功能说明书的安全功能中提供 额外保障，以增强TSP策略（TOE 安全策略）。”(CC, ADV_SPM类 目标).
该安全模型尽管简单，但在计算机安全研究史上具有较 大和较长的影响，Harrison、Ruzzo和Ullman提出HRU安 全模型以及Bell和LaPadula提出BLP安全模型均基于此。
HRU模型 (1)
if a1 in M [s1 ; o1 ] and a2 in M [s2 ; o2 ] and
鉴别
认证
保密性 可用性 完整性
访问控制
管理
审计
安全模型
安全目标：保密性，完整性，DoS，…… 控制目标：保障（TCB, Reference
Monitor），安全政策（Policy），审计 安全模型的形式化方法：
——状态机，状态转换，不变量 ——模块化，抽象数据类型（面向对象）
安全模型的特点
• 精确、无歧义 • 简单和抽象，容易理解 • 模型的一般的，只涉及安全性质，具有
¾ 状态集V在该模型中表现为序偶（F，M）的集 合，M是访问矩阵。
¾ 变迁函数T：V×R→V。 R请求集合，在系统 请求执行时，系统实现状态变迁。
¾ 如果一个系统的初始状态是安全的，并且三元 组序列中的所有状态都是安全的，那么这样的 系统就是一个安全系统。
BLP模型
“读安全”禁止低级别的用户获得高级别文件的 读权限。“写安全”防止高级别的特洛伊木马程 序把高级别文件内容拷贝到低级别用户有读访 问权限的文件。
¾ 对于一般的非单操作系统（NMOS）的安全 性是不可判定的。
HRU模型 (4)
• 基本定理隐含的窘境：
¾一般的HRU模型具有很强的安全政策 表达能力，但是，不存在决定相关安 全政策效果的一般可计算的算法；
¾虽然存在决定满足MOS条件的HRU 模型的安全政策效果的一般的可计算 的算法，但是，满足MOS条件的 HRU模型的表达能力太弱，以至于无 法表达很多重要的安全政策。
基本概念
主体（Subject):访问操作中的主动实体
客体（Object):访问操作中被动实体
访问矩阵（Access Matrix): 以主体为行索引、以客体为列索引的矩阵，矩
阵中的每一个元素表示一组访问方式，是若干访问 方式的集合。矩阵中第i 行第j 列的元素Mij 记录着 第i 个主体Si 可以执行的对第j 个客体Oj 的访问方式 ，比如Mij等于{read, write}表示Si 可以对Oj 进行读 和写访问。
• 对“TOE应增强的重要安全原则的 一个抽象陈述”(ITSEC)及其分析
安全模型作用
设计阶段 实现阶段 检查阶段（Review） 维护阶段
安全模型抽象过程
• Step 1: 确定外部界面需求(输入， 输出，属性)
• Step 2: 确定内部需求 • Step 3: 设计策略执行的操作规则 • Step 4: 确定哪些是已知的 • Step 5: 证明一致性和正确性 • Step 6: 证明适当性
1 安全模型概念
安全模型用于精确地和形式地描述信息系 统的安全特征，以及用于解释系统安全 相关行为的理由。
分类1：访问控制模型，信息流模型。 分类2：保密性要求，完整性，DoS，等 现有的“安全模型”本质上不是完整的“模
型”：仅描述了安全要求(如：保密性)， 未给出实现要求的任何相关机制和方法。
信息安全体系结构
• BLP不易于处理隐蔽通道 • BLP模型中可信主体不受星特性约束，
访问权限太大，不符合最小特权原则， 应对可信主体的操作权限和应用范围进 一步细化。可以使用RBAC模型克服