第4章 安全模型1

4.4 安全模型
4.4.1 安全模型概述 安全模型应具有以下特点: (1) 它是精确的,无歧义的 (2) 它是简单的,抽象,也是易于理解的 (3) 它仅涉及安全性质,不过分限制系统的 功能与实现
4.4.1 安全模型概述
非形式化的安全模型
形式化的安全模型
4.4.1 安全模型概述
一 非形式化的安全模型 它是用自然语言对系统的安全需求 进行描述,这种描述方法直观,易于理解, 但不够严谨,容易产生歧异,并且不简洁. 对于安全性要求不高,或改造一个已 存在的系统,增强其安全性时,可以使用这 种描述方法.
Байду номын сангаас
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（6）give-read/write/append/execute : ρ6(RK, v) ≡ if σ1≠sλ∈S or γ ≠g or (x ≠r,w,a and e) or σ2= Ф then ρ6(RK, v) = (? ,v) if x或c 不是 Mλj的元素 then ρ6(RK, v) = (no ,v) else ρ6(RK, v) =(yes , (b , M⊕[x]λj, f) ) end
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（10）delete-object : ρ10(RK, v) ≡ if σ1≠ Ф or γ ≠d or σ2= Ф or x ≠ Ф then ρ10(RK, v) = (? ,v) if c 不是 Mij的元素 then ρ10(RK, v) = (no ,v) else ρ10(RK, v) =(yes , (b, M ◎ [r,w,a,c,e]ij,1≤i≤n , f) ) end
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（4）get-write: ρ4(RK, v) ≡ if σ1≠Ф or γ ≠g or x ≠w or σ2= Ф then ρ4(RK, v) = (? ,v) if w ∉ Mij or (f1(si) ＜ f2(oj)orf3(si)不包含f4(oj) ρ4(RK, v) = (no ,v) then
if Uρ4={o|o∈b(si:r)and[f2(oj)<f2(o) or f4(oj)不包含 f4(o)的子集]} ∪{o|o∈b(si: a)and[f2(oj)>f2(o) or f4(oj)不是 f4(o)的子集]} ∪{o|o∈b(si: w)and[f2(oj) ≠f2(o) or f4(oj) ≠ f4(o)]} = Ф then ρ4(RK, v) =(yes , (b ∪{(si,oj,r)} ,M, f) ) else ρ4(RK, v) = (no ,v) end
if x或c 不是 Mλj的元素 then ρ7(RK, v) = (no ,v) else ρ7(RK, v) =(yes , b – {(si,oj,x)} , M ◎ [x]ij, f) ) end
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（8）change-f : ρ8(RK, v) ≡ if σ1≠ Ф or γ ≠c or σ2 ≠Ф or (x不是F的元素) then ρ8(RK, v) = (? ,v) if f1* ≠f1 or f3* f3 or [f2*(oj) ≠ f2(oj) or f4*(oj) ≠ f4(oj) for some j∈A(m)] then ρ8(RK, v) = (no ,v) else ρ8(RK, v) =(yes , (b, M, f*) ) end
F = CS×CO×PKS×PKO 是4个集合的笛卡儿积
CS = {f1|f1: S → C} CO = {f2|f2: O → C} PKS = {f3|f3: S → PK} f1给出系统中每个主体的密级 f2给出系统中每个客体的密级 f3给出系统中每个主体的部门集 (即范畴) f4给出系统中每个客体的部门集
(1)
4.4.2 Bell-La Padula 安全模型
三 安全特性 (安全策略)
(2) 简单安全性 状态v = (b, M ,f) 满足简单安全性 iff 对任意的(s ,o ,x) ∈b, 有 (ⅰ) x = e 或 x = a 或 x = c 或 (ⅱ) (x=r 或 x=w） 且( f1(s) ≧f2(o) , f3(s) ⊇ f4 (o) )
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（9）create-object: ρ9(RK, v) ≡ if σ1≠ Ф or γ ≠c or σ2 =Ф or (x ≠e and Ф) then ρ9(RK, v) = (? ,v) if j∈A(m) then ρ9(RK, v) = (no ,v) if x= Ф then ρ9(RK, v) =(yes , (b , M⊕[r,x,a,c]ij, f) ) else ρ9(RK, v) =(yes , (b , M⊕[r,x,a,c,e]ij, f) ) end
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（5）release-read/write/append/execute : ρ5(RK, v) ≡ if σ1≠Ф or γ ≠r or (x ≠r,w,a and e) or σ2= Ф then ρ5(RK, v) = (? ,v) else ρ4(RK, v) =(yes , (b -{(si,oj,x)} ,M, f) ) end
4.4.2 Bell-La Padula 安全模型
六 系统的定义
1．R×D×V×V={(r K,dm,v*,v) | rK∈R,dm∈D,v*,v∈V} 即，任意一个请求，任意一个结果（判断）和任意两 个状态都可组成一个上述的有序四元组，这些有序四 元组便构成集合R×D×V×V。 2.设ω={P1,P2,…Ps}是一组规则的集合，定义W(ω)是 R×D×V×V的子集. ⑴(rk ,?,v,v)∈W(ω) iff对每个i,1≤i≤s,Pi(rk,v)=(?,v) ⑵(rk ,error,v,v)∈W(ω) iff存在i1,i2,1≤i1,i2≤s,使得 对于任意的v*∈V有Pi1(rk,v)不等于(?,v*)且Pi2(rk,v)不等 于(?,v*)。
4.4.1 安全模型概述
二 形式化的安全模型 它使用数学符号精确描述系统的安 全需求,这种描述方法较非形式化描述方 法显得抽象和较难理解,但这种描述方法 的最大优点是简洁,准确,严谨,不会出现 歧义,并可以对其进行形式化的验证或证 明.
4.4.2 Bell-La Padula 安全模型
一 模型的基本元素 S = {s1,s2, …,sn} 主体的集合 O = {o1,o2, …,on} 客体的集合 C = {c1,c2, …,cn} 主体或客体的密级 (元素之间为偏序关系c1<c2<…<cq) K = {k1,k2, …,kn} 部门或类别的集合 A = {r ,w ,e ,a ,c} 访问属性集 (r:只读 w:读/写 e:执行 a:添加 c:控制)
4.4.2 Bell-La Padula 安全模型
四 请求 R = S+×RA× S+×O×X 是主体请求集，其中： S+=S∪{Ф}，X=A ∪ {Ф} ∪F
4.4.2 Bell-La Padula 安全模型
五 状态转换规则 系统状态的转换由一组规则定义，一个 规则定义为函数ρ：R×V→D×V。 BLP模型定义了10条基本规则，这些规则 规定了当主体向系统发出访问请求时， 系统应如何进行安全性检查。我们下面 逐条介绍。
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（1）get-read ρ1(RK, v) ≡
if σ1≠Ф or γ ≠g or x ≠r or σ2= Ф then ρ1(RK, v) = (? ,v) if r ∉ Mij or (f1(si) ＜f2(oj)orf3(si)不包含f4(oj) ρ1(RK, v) = (no ,v) if Uρ1={o|o∈b(si:w, a)and[f2(oj)>f2(o) or f4(oj)不是 f4(o)的子集]}= Ф then ρ1(RK, v) =(yes ,{b ∪(si,oj,r)} ,M, f) else then
(PK=2k= {H| H ⊆k})
PKO ={f4|f4: S → PK}
4.4.2 Bell-La Padula 安全模型
二 系统状态
V = P(S×O×A) ×U×F ( P(S×O×A) = 2 (S×O×A) ) 是系统状态的集合. V中的元素v=(b, M ,f)表示系统的某个状态. 其中: b∈ P(S×O×A), 即: b ⊆ S ×O× A 是当前访问集
ρ1(RK, v) = (no ,v)
end
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（2）get-append ρ2(RK, v) ≡ if σ1≠Ф or γ ≠g or x ≠a or σ2= Ф then ρ2(RK, v) = (? ,v) if a ∈ Mij then ρ2(RK, v) = (no ,v) if Uρ2={o|o∈b(si:r, w)and[f2(oj)>f2(o) or f4(oj)不包含 f4(o)]}= Ф then ρ2(RK, v) =(yes ,{b ∪(si,oj,a)} ,M, f) else ρ2(RK, v) = (no ,v) end
4.4.2 Bell-La Padula 安全模型
五 状态转换规则
（7）rescind-read/write/append/execute : ρ7(RK, v) ≡ if σ1≠sλ∈S or γ ≠r or (x ≠r,w,a and e) or σ2= Ф