第三章 操作系统安全模型

严格完整性策略
是BLP模型的对偶 规则:
1. 完整性*-属性: 主体S可以对客体O进行写操作,当 且仅当S的完整性等级支配客体O的完整性等级 2. 援引规则: 主体S1可以执行另一个主体S2(与S2通 信),当且仅当S1的完整性等级支配S2的完整性等 级 3. 简单完整性条件: 主体S可以对客体O进行读取操 作,当且仅当O的完整性等级支配S的完整性等级
第三章 操作系统安全模型
3.1 安全模型的概念及特点
安全策略:有关管理,保护和发布敏感信息的 法律,规定和实施细则 已授权的,安全的状态集合 未授权的,不安全的状态集合 如图,安全状态集合S={s1,s2,s3},不安全状态集 合US={s4}
S1 S2 S3 S4
3.1 安全模型的概念及特点
安全模型：是对安全策略所表达的安全需 求的简单、抽象和无歧义的描述。 安全模型的特点： 1、简单的、清晰的，只描述安全策略，对具 体实现的细节不作要求 2、抽象的、本质的 3、精确的、没有歧义的 现有的安全模型大多采用状态机模拟系统
BLP模型分析
BLP模型的安全策略包括MAC和DAC。 MAC由简单安全特性和*特性组成，DAC由存 取控制矩阵组成。 BLP中使用了可信主体，表示实际系统中不 受*特性约束的主体 BLP模型存在的问题
1、可信主体不受*特性约束，权限太大，不符合最 小特权原则 2、 BLP模型主要注重保密控制，不能控制向上写， 而向上写不能限制隐蔽通道
中国墙模型的*-属性
*-属性 主体S可以对客体O进行写操作,当 且仅当以下两个条件同时满足 1. 中国墙简单安全条件允许S读取O 2. S不能读取属于不同数据集的需要保护的 客体
简单安全条件
S可以读O,当且仅当S支配O且S对O具有自主型读 访问权限 *-属性: S可以写O,当且仅当O支配S且S对O具有自 主写权限 基本安全定理:设系统的初始安全状态为σ 0，T是状 态转换的集合。如果T中的每个元素都遵守简单安 全条件和*-属性，那么对于每个i≧0,状态σ i都是 安全的 只要该模型的初始状态是安全的,并且所有的转移函 数也是安全的,系统只要从某个安全状态启动,无论 按何种顺序调用系统功能,系统将总保持在安全状态.
系统状态定义
状态：是系统中元素的表示形式，由主体、 客体、访问属性、访问矩阵以及标识主体 和客体的访问类属性的函数组成 状态v ∈ V由一个有序的四元组（b, M, f, H） 表示 b表示在某个特定的状态下哪些主体以何种访 问属性访问哪些客体 M表示访问矩阵，f表示访问类函数，H表示 当前的层次结构，即客体的树形结构
模型的几个重要公理
简单安全性 S∈S=>[（O∈b(S :r, w))=>(fs(S)>fo(O)）] 若请求B中主体S能读或读写客体O，则S的安全级必支配O的安全级 *特性
(O∈ b (S :a))=>(fo (O)>fc (S)) 当客体安全级支配主体安全级，则可写。 S∈S’=> (O∈ b (S :w))=>(fo (O)=fc (S)) 当主客体安全级相同，则可读写 (O∈ b (S :r))=>(fc (S)>fo (O)) 当主体安全级支配客体安全级，则可读
中国墙模型
兼顾保密性和完整性的安全模型,也称为BN模 型，1989年由Brewer和Nash提出
主要用来解决商业中的利益冲突问题,目标是防 止利益冲突的发生 中国墙模型对数据的访问控制是根据主体已经 具有的访问权力来确定是否可以访问当前数据
中国墙模型的非形式化描述
最底层表示的是单个企业的数据项,即单个的客体 中间层表示的是把客体按所属的企业分组,叫企业数据集 最高层是利益冲突类,由具有竞争关系的企业数据集组成
功能规范
形式化规范
实现
实现
3.3 安全模型的分类
按实现的策略分类:



保密性模型：注重防止信息的非授权泄漏， 主要应用于军事（BLP模型） 完整性模型：注重信息完整性（Biba和 Wilson模型） 混合策略模型：兼顾保密性和完整性（中国 墙模型）
按实现的方法分类，可分为访问控制模型 和信息流模型
例:
设S2许可的安全等级为(机密,{A,B}),客体 O2B的安全等级为(机密,{B}),客体O3C的安全 等级为(秘密,{C}),客体O4A的安全等级为(内 部,{A}),则有: S2支配O2B,因为机密≤机密,且{B}包含于{A,B} S2支配O4A,因为内部≤机密,且{A}包含于{A,B} S2不能支配O3C,因为{C}不包含在{A,B}中
1. 存在一个S曾经访问过的客体O’,并且O’和O处于同一企 业数据集中 2.对于所有S访问过的O’,都有O’和O不在一个利益冲突类 中
三个推论
一旦主体读取了某个利益冲突类中的一个 客体,那么该主体在这个利益冲突类中所能 读取的客体必须与它以前读取的客体属于 同一个企业数据集 一个主体在每个利益冲突类中最多只能访 问一个企业数据集 要访问一个利益冲突类中的所有客体,所需 要的最少主体个数应该与利益冲突类中企 业数据集的个数相同
基本安全定理（简化版）
设系统的初始安全状态为σ 0，T是状态转换 的集合。如果T中的每个元素都遵守简单安 全条件（简化版）和*-属性（简化版）， 那么对于每个i≧0,状态σ i都是安全的
模型扩展解决分类粗糙
给每个安全密级增加一套类别,每种类别都描述一 种信息 例:如果类别分为A,B,C三类,则一个主体可访问的 类别的集合为: 空集, {A},{B},{C},{A,B},{A,C},{B,C},{A,B,C} 如果S2只需访问A类客体，则安全等级为（机密， {A}），客体O2B归于B类，它属于（机密，{B}）， 则即使S2和O2B都是机密级别，S2也不能访问O2B 引入支配关系:安全等级(L,C)支配安全等级(L’,C’), 当且仅当L’ ≤L且C’包含于C
Clark-Wilson模型
主要思想: 利用良性事务处理机制和任务分 离机制来保证数据的一致性和事务处理的 完整性 良性事务处理机制: 指用户不能任意地处理 数据,而必须以确保数据完整性的受限的方 式来对数据进行处理 任务分离机制:指将任务分成多个子集,不同 子集由不同的人来完成,其最基本规则是任 何一个验证行为正确性的人不能同时也是 被验证行为的执行人
状态机模型
状态变量表示系统的状态 转换函数或操作规则用以描述状态变量的 变化过程 可以正确描述状态可以怎样变化和不可以 怎样变化
3.2 安全模型的开发和验证
形式化安全模型：使用数学模型，精确地 描述安全性及其在系统中使用的情况 非形式化安全模型：仅模拟系统的安全功 能，没有严格的数学验证
非形式化开发途径 安全需求 形式化开发途径 抽象模型
安全等级转换机制
主体有一个最高安全等级和当前安全等级 主体可由最高安全等级降低到当前安全等 级（最高安全等级支配当前安全等级） 如： S2由最高安全等级（机密，{A，B}）降低 到当前安全等级（秘密，{A}） 则S2可以写（秘密，{A}）级别的文档，且 S3也可读取该文档
模型中的概念
S: 主体集合 O: 客体集合 A={r, w, a, e} ={a}: 访问权限集合 M: 访问控制矩阵集合 F={(fs, fo, fc)} : 安全等级的三元组的集合 fs表示主体的最高安全等级 fc表示主体的当前安全等级 fo表示客体的安全等级
环策略
主体和客体的完整性等级在执行操作的前 后是固定不变的 规则:
1. 主体S可以对给定客体O进行写操作,当且仅当S 的完整性等级支配O的完整性等级 2. 主体S1可以执行另一个主体S2(与S2通信),当且 仅当S2的完整性等级支配S1的完整性等级 3.主体S可以对具有任何完整性等级的客体O进行 读取操作


每个主体都有个安全许可，等级越高，可访问的信息就越 敏感 每个客体都有个安全密级，密级越高，客体信息越敏感
基本原理：系统由主体（进程）和客体（数据、文 件）组成，主体对客体的访问分为只读（R）、读写 （W）、只写（A）、执行（X）及控制（C）几种访 问模式，C指主体授予或撤消另一主体对某一客体访 问权限的能力。
Biba模型
由K. J. Biba等人于1977年提出的第一个完 整性安全模型,应用类似于BLP模型的安全 规则来保护信息的完整性 模型为系统中每个主体和客体分配一个完 整性等级,等级越高,可靠性越高 Biba模型提出三种策略: 下限标记策略,环 策略和严格完整性策略
下限标记策略
主要思想: 当主体访问一个客体时,将主体的 完整性等级变为该主体和该客体完整性等 级中较低的那个等级 该策略包括: ☆ 对于主体的下限标记策略 ☆ 对于客体的下限标记策略 ☆ 下限标记完整审计策略
访问控制模型
访问矩阵模型三要素: 1.主体：可以对其他实体施加动作的主动实体， 简记为S 2.客体：是主体行为的对象，简记为O 3.访问权限：访问权限有限集A={ 读，写，执行， 追加 } 控制策略：主体对客体的操作行为集和约束条件 集 访问矩阵：主体用行表示，客体用列表示，交叉 项表示该主体对该客体所拥有的访问权限
模型的基利益冲突的数据集内的信息 中国墙的含义: 最初,一个主体可以自由选择访问任 何客体,一旦主体访问了某个企业数据集内的客体, 它将不能再访问这个利益冲突中其他企业数据集内 的客体 中国墙简单安全条件 主体S可以读取客体O,当且仅 当满足以下任一条件
自主安全性 （Si, Oj, x）∈b=>x ∈ Mij 对任一主体S按照模式X对客体O的访问，X必在访问矩阵M中 兼容性公理 所有的O∈O，有O1∈H(O)=>fo(O1)>fo(O) 对任意客体，儿子的安全级支配父亲的安全级。即安全级继承性。
安全状态转换规则
规则3.1 get-read规则,表示主体对客体请求 只读访问 规则3.2 get-append规则,表示主体对客体 请求只写访问 规则3.3 get-execute规则,表示主体对客体 请求执行访问 规则3.4 get-write规则,表示主体对客体请求 读写访问