Модель Харрисона-Руззо-Ульмана

Модель Харрисона-Руззо-Ульмана (HRU-модель) — одна из формальных моделей управления доступом субъектов (пользователей) к объектам, реализованная с помощью матрицы доступов. Названа в честь трёх его авторов: Майкла Харрисона^[en], Уолтера Руззо и Джеффри Ульмана.

Описание моделиПравить

ВведениеПравить

В современном мире одной из главных ценностей является информация. Поэтому так важно сделать доступ к информации безопасным. В связи с этим были разработаны модели управления доступом. Одной из таких моделей является модель Харрисона-Руззо-Ульмана, главной особенностью которой является матрица с полным описанием пользовательских прав к файлам. Изменения в эту матрицу вводятся с помощью специальных команд.

Описание состояния системыПравить

Основной задачей любой модели управления доступом является ограничение на выполнениe операций, которые разрешено проводить субъекту (пользователю) над объектом. Такими операциями могут являться, например, чтение (поток информации от объекта к субъекту) и запись (поток информации от субъекта к объекту). Введем некоторые обозначения:

 

Матрица доступа

$S$$S$  — множество субъектов,

$O$$O$  — множество объектов,

$R=(r_1,r_2,...,r_n)$$R=(r_{1},r_{2},...,r_{n})$  — множество прав доступа.

Для реализации этих прав в данной модели используется матрица доступов $M$$M$ , строки которой соответствуют субъектам, а столбцы — объектам. На пересечении строчек и столбцов указаны права доступа, которыми обладает данный субъект по отношению к данному объекту. Тогда текущее состояние системы $Q$$Q$  можно однозначно записать в таком виде:

$Q=(S,O,M)$$Q=(S,O,M)$ 

Переходы между состояниями системыПравить

Для того, чтобы был возможен переход из $Q=(S,O,M)$$Q=(S,O,M)$  в $Q^{\prime }=(S^{\prime },O^{\prime },M^{\prime })$$Q'=(S',O',M')$ , нужно ввести некоторые элементарные операции. Для этой цели в данной модели существует шесть операторов $op$$op$ :

1. Добавление права $r$$r$  в ячейку $M[s;o]$$M[s;o]$ :
   • $op=enterrintoM[s,o]$$op=enter~r~into~M[s,o]$ 
2. Удаление права $r$$r$  из ячейки $M[s;o]$$M[s;o]$ :
   • $op=deleterfromM[s,o]$$op=delete~r~from~M[s,o]$ 
3. Создание нового субъекта $s$$s$ :
   • $op=createsubject{s}^{\prime }$$op=create~subject~s'$ 
4. Создание нового объекта $o$$o$ :
   • $op=createobject{o}^{\prime }$$op=create~object~o'$ 
5. Удаление субъекта $s$$s$ :
   • $op=destroysubjects$$op=destroy~subject~s$ 
6. Удаление объекта $o$$o$ :
   • $op=destroyobjecto$$op=destroy~object~o$ 

Условия выполнения и новое состояние системы записаны в виде таблицы:

Оператор	Условия выполнения	Новое состояние системы
$op=enterrintoM[s,o]$$op=enter~r~into~M[s,o]$	$s\in <!--\; \in \; -->S,o\in <!--\; \in \; -->O$$s\in S~,o\in O$	$S^{\prime }=S,O^{\prime }=O,A^{\prime }[s,o]=A[s,o]\cup <!--\; \cup \; -->\{r\},$$S'=S,~O'=O,~A'[s,o]=A[s,o]\cup \{r\},$  $if(s^{\prime },o^{\prime })\ne <!--\; \ne \; -->(s,o)\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s^{\prime },o^{\prime }]=A[s^{\prime },o^{\prime }]$$if~(s',o')\neq (s,o)\Rightarrow A'[s',o']=A[s',o']$
$op=deleterfromM[s,o]$$op=delete~r~from~M[s,o]$	$s\in <!--\; \in \; -->S,o\in <!--\; \in \; -->O$$s\in S~,o\in O$	$S^{\prime }=S,O^{\prime }=O,A^{\prime }[s,o]=A[s,o]\setminus <!--\; \setminus \; -->\{r\},$$S'=S,~O'=O,~A'[s,o]=A[s,o]\setminus \{r\},$  $if(s^{\prime },o^{\prime })\ne <!--\; \ne \; -->(s,o)\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s^{\prime },o^{\prime }]=A[s^{\prime },o^{\prime }]$$if~(s',o')\neq (s,o)\Rightarrow A'[s',o']=A[s',o']$
$op=createsubject{s}^{\prime }$$op=create~subject~s'$	$s^{\prime }\notin <!--\; \notin \; -->S$$s'\notin S$	$S^{\prime }=S\cup <!--\; \cup \; -->\{s^{\prime }\},O^{\prime }=O,$$S'=S\cup \{s'\},~O'=O,$  $if(s,o)\in <!--\; \in \; -->S\times <!--\; \times \; -->O\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s,o]=A[s,o],$$if~(s,o)\in S\times O\Rightarrow A'[s,o]=A[s,o],$  $ifo\in <!--\; \in \; -->O^{\prime }\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s^{\prime },o]=\mathrm{\varnothing <!--\; \varnothing \; -->}$$if~o\in O'\Rightarrow A'[s',o]=\varnothing$
$op=createobject{o}^{\prime }$$op=create~object~o'$	$o^{\prime }\notin <!--\; \notin \; -->O$$o'\notin O$	$S^{\prime }=S,O^{\prime }=O\cup <!--\; \cup \; -->\{o^{\prime }\},$$S'=S,~O'=O\cup \{o'\},$  $if(s,o)\in <!--\; \in \; -->S\times <!--\; \times \; -->O\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s,o]=A[s,o],$$if~(s,o)\in S\times O\Rightarrow A'[s,o]=A[s,o],$  $ifs\in <!--\; \in \; -->S^{\prime }\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s,o^{\prime }]=\mathrm{\varnothing <!--\; \varnothing \; -->}$$if~s\in S'\Rightarrow A'[s,o']=\varnothing$
$op=destroysubjects$$op=destroy~subject~s$	$s^{\prime }\in <!--\; \in \; -->S$$s'\in S$	$S^{\prime }=S\setminus <!--\; \setminus \; -->\{s^{\prime }\},O^{\prime }=O,$$S'=S\setminus \{s'\},~O'=O,$  $if(s,o)\in <!--\; \in \; -->S^{\prime }\times <!--\; \times \; -->O^{\prime }\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s,o]=A[s,o],$$if~(s,o)\in S'\times O'\Rightarrow A'[s,o]=A[s,o],$
$op=destroyobjecto$$op=destroy~object~o$	$o^{\prime }\in <!--\; \in \; -->O$$o'\in O$	$S^{\prime }=S,O^{\prime }=O\setminus <!--\; \setminus \; -->\{o^{\prime }\},$$S'=S,~O'=O\setminus \{o'\},$  $if(s,o)\in <!--\; \in \; -->S^{\prime }\times <!--\; \times \; -->O^{\prime }\Rightarrow <!--\; \Rightarrow \; -->A^{\prime }[s,o]=A[s,o],$$if~(s,o)\in S'\times O'\Rightarrow A'[s,o]=A[s,o],$

Любой переход может быть осуществлен с помощью такой команды:

command $\mathrm{\alpha <!--\; \alpha \; -->}(x_1,x_2,...,x_n)$$\alpha (x_{1},x_{2},...,x_{n})$ 
    if $r_{1}inM[s_1,o_1]and$$r_{1}~in~M[s_{1},o_{1}]~and$ 
       $r_{2}inM[s_2,o_2]and$$r_{2}~in~M[s_{2},o_{2}]~and$ 
       $...$$...$ 
       $r_{m}inM[s_m,o_m]$$r_{m}~in~M[s_{m},o_{m}]$ 
    then
         $o{p}_1,$$op_{1},$ 
         $o{p}_2,$$op_{2},$ 
         $...$$...$ 
         $o{p}_k,$$op_{k},$ 
end

Пример командыПравить

Примером команды, которая является комбинацией элементарных операций $op$$op$ , может служить создание файла $F$$F$  пользователем $P$$P$  и получение им прав на чтение $read$$read$ :

command $CreateFile(F,P)$$CreateFile(F,P)$  
      $createobjectF,$$createobjectF,$ 
      $enterreadintoM[P,F],$$enterreadintoM[P,F],$ 
end

Системы в модели Харрисона-Руззо-УльманаПравить

Любая система в модели Харрисона-Руззо-Ульмана характеризуется матрицей доступа $M$$M$ , конечным количеством прав $R=(r_1,r_2,...,r_n)$$R=(r_{1},r_{2},...,r_{n})$ , объектов $O=(o_1,o_2,...,o_m)$$O=(o_{1},o_{2},...,o_{m})$ , субъектов $S=(s_1,s_2,...,s_l)$$S=(s_{1},s_{2},...,s_{l})$  и операций $A=({\mathrm{\alpha <!--\; \alpha \; -->}}_1,{\mathrm{\alpha <!--\; \alpha \; -->}}_2,...,{\mathrm{\alpha <!--\; \alpha \; -->}}_k)$$A=(\alpha _{1},\alpha _{2},...,\alpha _{k})$ . Система является монооперационной, если каждая команда ${\mathrm{\alpha <!--\; \alpha \; -->}}_i$$\alpha_i$  данной системы выполняет лишь одну элементарную операцию $op$$op$ .

БезопасностьПравить

Критерий безопасности системыПравить

Для заданной системы исходное состояние $Q_0=(S_0,O_0,M_0)$$Q_{0}=(S_{0},O_{0},M_{0})$  называется безопасным относительно права $r$$r$ , если не существует такой последовательности команд, которая изменила бы заданное начальное состояние системы так, что право $r$$r$  записалось бы в ячейку $M[s;o]$$M[s;o]$ , в которой оно отсутствовало в начальном состоянии $Q_0$$Q_0$ . Если это условие не выполнено, то произошла утечка информации.

Теорема 1Править

Существует алгоритм, проверяющий на безопасность исходное состояние $Q_0$$Q_0$  монооперационной системы на безопасность относительно права $r$$r$ .

ДоказательствоПравить

Чтобы показать, что исходное состояние системы является безопасным относительно права $r$$r$ , нужно перебрать все последовательности операций и проверить на отсутствие утечки права $r$$r$  для каждого конечного состояния. Из этого следует, что условием возможности проверки на безопасность будет ограниченность количества последовательностей операций. Пусть ${\mathrm{\alpha <!--\; \alpha \; -->}}_1,{\mathrm{\alpha <!--\; \alpha \; -->}}_2,...,{\mathrm{\alpha <!--\; \alpha \; -->}}_k$$\alpha _{1},\alpha _{2},...,\alpha _{k}$  — некоторая последовательность операций. Заметим, что её можно упростить. Команды $delete$$delete$  и $destroy$$destroy$  уберем из последовательности, так как нас интересует наличие права в ячейке, а не его отсутствие. Добавим команду $createsubject$$create~subject$  в начало последовательности операций и создадим таким образом субъект $s_{add}$$s_{add}$ . Заменим ссылки на субъекты и объекты, создаваемые другими командами $createsubject$$create~subject$  и $createobject$$create~object$ , ссылкой на $s_{add}$$s_{add}$ . Остальные команды $createsubject$$create~subject$  и $createobject$$create~object$  убираем, так как ввиду монооперационности системы нельзя создать субъект и определить для него права в одной операции. В результате остается одна команда $createsubject$$create~subject$  и множество команд $enter$$enter$ , максимальное число которых легко посчитать по формуле $N=|R|(|S_0|+1)(|O_0|+1)$$N=|R|(|S_{0}|+1)(|O_{0}|+1)$ . Из этого следует, что число последовательностей операций ограниченно, а значит возможно перебором проверить на безопасность состояние системы относительно права $r$$r$ .

Теорема 2Править

Задача определения безопасности исходного состояния $Q_0$$Q_0$  системы общего вида для данного права $r$$r$  является неразрешимой.

ДоказательствоПравить

Чтобы доказать данную теорему, достаточно свести задачу определения безопасности к задаче остановки машины Тьюринга, которая является заведомо неразрешимой.

Преимущества и недостаткиПравить

ПреимуществаПравить

1. Простота и наглядность, так как для данной модели не требуется сложных алгоритмов.
2. Эффективность в управлении, так как возможно управление правами пользователей с точностью до операции.
3. Сильный критерий безопасности.

НедостаткиПравить

1. Не существует алгоритма проверки на безопасность для произвольной системы.
2. Уязвимость для атаки с помощью троянского коня, так как в данной модели не существует контроля за потоками информации между субъектами.

ПрименениеПравить

Несмотря на то, что модель Харрисона-Руззо-Ульмана не предоставляет алгоритма проверки на безопасность для произвольной системы, данная модель нашла свою нишу в мире и используется при формальной верификации корректности построения систем разграничения доступа в высокозащищённых автоматизированных системах. На данный момент создание и развитие моделей управления доступом заключается в основном в проектировании различных модификаций модели Харрисона-Руззо-Ульмана и в поиске условий, при которых бы задача определения безопасности была алгоритмически разрешимой.

Сравнение с аналогомПравить

Аналогом модели Харрисона-Руззо-Ульмана является модель Белла-Лападулы, которая предусматривает разделение объектов и субъектов на уровни секретности, а также контролирует поток данных от субъекта к субъекту. Так субъект, имеющий менее высокий уровень секретности, чем у объекта, не получит права доступа к этому объекту. Это создает ряд преимуществ и недостатков по сравнению с моделью Харрисона-Руззо-Ульмана. Модель Белла — Лападулы не подвержена атакам с помощью троянских коней, более безопасна. Но модель Харрисона-Руззо-Ульмана более эффективна в управлении и проста в использовании. Поэтому каждая из этих моделей нашла свое применение.

См. такжеПравить

• Модель Грэхэма-Деннинга
• Модель Белла — Лападулы

ЛитератураПравить

• Цирлов В.Л. Основы информационной безопасности автоматизированных систем. — Феникс, 2008. — С. 34—40. — 173 с. — ISBN 978-5-222-13164-0.
• Harrison M., Ruzzo W., Ullman J. ESIGN: Protection in operating systems (англ.). — 1976. — Август (т. 19, № 8). — С. 461–471. — ISSN 0001-0782.
• Девянин П.Н. 2.1.1. Элементы теории ХРУ // Модели безопасности компьютерных систем. — Москва: Академия, 2005. — С. 18—25. — 144 с. — ISBN 5-7695-2053-1.
• Гаценко О. Ю. Защита информации. Основы организационного управления.. — Санкт-Петербург: Сентябрь, 2001. — С. 34—45. — 228 с. — ISBN 5-94234-015-3.