Курс лекций Защита Информации/Ролевая модель

Курс лекций Защита Информации/Текст с двух сторон В ролевой модели понятие субъект замещается понятиями пользователь и роль.

Курс лекций Защита Информации/Определение Курс лекций Защита Информации/Определение

Роль — активно действующая в системе абстрактная сущность, с которой связан ограниченный, логически связанный набор полномочий, необходимых для осуществления определенной деятельности.

При использовании ролевой политики управление доступом осуществляется в две стадии:

Для каждой роли указывается набор полномочий, представляющий набор прав доступа к объекту.
Каждому пользователю назначается список доступных ему ролей.

Полномочия назначаются ролям в соответствии с принципом наименьших привилегий. Из которого следует, что каждый пользователь должен обладать только минимально необходимым для выполнения своей работы набором полномочий.

Ролевая модель описывает систему в виде множеств:

$U$ — множество пользователей;
$R$ — множество ролей;
$S$ — множество сеансов работы пользователя с системой;
$P$ — множество полномочий на доступ к объекту.

$PA$ отображает множество полномочий на множество ролей, устанавливая для каждой роли набор присвоенных ей полномочий. $UA$ отображает множество пользователей на множество ролей, определяется для каждого пользователя набор доступных ему ролей.

Правило управления доступом в ролевой политике безопасности определяется следущими функциями:

$user:~S\rightarrow U$

Для каждого сеанса $S$ определяет пользователя $U$ , который осуществляет этот сеанс работы с системой. $user(S)=U$

$role:~S\rightarrow R$

Для каждого сеанса $S$ эта функция определяет набор ролей из множества $R$ , которые могут быть одновременно доступны пользователю в этом сеансе. $roles(S)=\{r_{1}|user(S)$ , $r\in UA\}$

$permissions:~S\rightarrow P$

Для каждого сеанса $S$ задает набор доступных в нем полномочий, которые определяются как совокупность полномочий всех ролей, заданных в этом сеансе. $permissions(S)=U_{rroles(S)}\{p_{i}|(p_{i}$ , $r)\in PA\}$

Критерий безопасности в ролевой модели

Система считается безопасной, если любой пользователь $U$ системы, работающий в сеансе $S$ , может осуществлять действия, требующие полномочия $P$ , только в том случае, если $P\in permissions(S)$

Следствие критерия

Управление доступом может осуществляться, главным образом, не с помощью назначения полномочий, а путем задания отношений $UA$ назначающих роли пользователя и функции $roles$ , определяющую доступным в сеансе набор ролей.

Иерархическая ролевая модель

Это наиболее распространенный тип ролевой модели, в которой роли упорядочиваются по уровню предоставленных полномочий. Иерархия ролей подразумевает то, что если $U$ присвоена некоторая роль, то ему автоматически назначаются и все подчиненные ей по иерархии роли.

$RH\subseteq R\times R$ Частичное отношение порядка на множестве $R$ , которе определяет иерархию ролей и задает на множестве $R$ оператор доминирования $\geq$

$UA\subseteq U\times R$ Назначают каждому $U$ набор ролей, причем вместе с каждой ролью в него включаются и все роли, подчиненные ей по иерархии. $\forall r,r'\in R,u\in U:~r\geq r'\land (u,r)\in UA^{n}\Rightarrow (u,r')\in UA^{n}$

Функция $roles^{h}:~S\rightarrow P(R)$ назначает каждому сеансу $S$ набор ролей их иерархии ролей пользователя, работающих в этом сеансе. $roles^{h}(S)\subseteq \{r|\exists r'\geq r~(user(s),r')\in UA^{h}\}$

$permissions^{h}:~S\rightarrow P$ $U_{roles^{h}(S)}\{p_{i}|\exists r'\leq r~(p_{i},r_{i})\in PA\}$

Таким образом, каждому пользователю назначается некоторое подмножество иерархии ролей, а в каждом сеансе доступна совокупность полномочий ролей, составляющих фрагмент этой иерархии. Как результат имеем уменьшение размерности роли.

Другие модели

Взаимоисключающие роли

Множество ролей разбирается на подмножества, объединяющие роли, которые не могут быть назначены пользователю одновременно и которое считаются несовместимыми. Таким образом, пользователю может быть назначено только по одной роли из каждого подмножетсва несовместимых ролей.

Для определения отношения несовместимости на множестве роле $R$ задается функция $exclusive$ , которая для каждой роли определяет множество несовместимых с ней ролей.

Взаимоисключающие роли реализуют так называемое статическое разделение обязанностей, когда конфликт полномочий разрешется на стадии назначения ролей.

Динамическое распределение обязанностей

Ограничение на одновременное использование ролей в рамках сессии. В этом случае множество ролей также разбивается на подмножества несовместимых ролей, но отношения $UA$ можно назначить пользователю любую комбинацию ролей. Однако, в ходе сеанса работы с системой пользователь может одновременно активировать не более одной роли каждого подмножества несовместимых ролей. Так как в процессе сеанса работы пользователь может переключаться между различными ролями, но должен при этом избегать конфликтов несовместимости между ними, эта политика получила название динамического распределения обязанностей. Она является более гибкой по сравнению со статичной, позволяет реализовывать более сложные схемы контроля доступа, позволяет защищаться от атаки "троянского коня". Например, пользователю можно запретить одновременно осуществлять доступ к ценной информации и запускать недоверенные программы, внесенные в систему другими пользователями.

Количественные ограничения при назначении ролей и полномочий

Модель предназначена для тех случаев, когда роль может быть назначена только ограниченному числу пользователей и/или при предоставлении полномочий для ограниченного числа ролей.

Группирование ролей и полномочий

Роли и полномочия, которые дополняют друг друга и назначение которых по-отдельности не имеет смысла, объединяются в группы, которые могут быть назначены только целиком. Для этого вводятся дополнительные правила, в соответствии с которыми любая роль может быть назначена пользователю только в том случае, если ему уже присвоен определенный набор ролей, а роль может быть наделена полномочиями только тогда, когда с ней уже связан определенный набор полномочий.

Ролевая политика управления доступом не гарантирует безопасность с помощью формального доказательства, а только определяет характер ограничений, соблюдение которым служит критерием безопасности. Курс лекций Защита Информации/Текст с двух сторон