06-安全架构和设计-CISP.ppt

* * * * * * * * * * Integrity defined by three goals ?????? Data protected from modification by unauthorized users ?????? Data protected from unauthorized modification by authorized users ?????? Data is internally and externally consistent. ?????? 基于小于或等于关系的偏序的格Lattice Based uses less than or equal to relation ?????? 点阵结构是一系列最小上限(上确界)和最大下限(下确界)的集合A lattice structure is a set with a least upper bound (LUB) and a greatest lower bound (GLB) ??????格代表了完整性级别以及偏序的关系 Lattice represents a set of integrity classes (IC) and an ordered relationship Lattice = (IC,= , LUB, GUB) 　　七十年代，Ken Biba提出了Biba访问控制模型，该模型对数据提供了分级别的完整性保证，类似于BLP保密性模型，BIBA模型也使用强制访问控制系统。　　Biba完整性模型对主体和客体按照强制访问控制系统的哲学进行分类，这种分类方法一般应用于军事用途。 　数据和用户被划分为以下安全等级：公开(Unclassified)受限(Restricted)秘密(Confidential)机密(Secret)高密(Top Secret) 一．通过防止非授权的信息扩散来保证安全性，但不能防止非授权修改。 Biba，1977年，类似贝尔-拉帕丢拉，提出一安全策略系列： 非自主—— 主、客体有各自的安全级别； 自主—— 主、客体统一处理的安全级别。 二．具体非自主安全策略 1．对于主体的下限标记策略 动态的，主体会自己降低安全级别。缺点：不能完成原先能做的权限。 2．对于客体的下限标记策略 动态的，客体降低自己的安全级别。缺点：易泄漏信息，且不能调回原级。 3．下限标记完整审计策略 变化：在2中，固定客体级别。缺点：需审计纪录违反的操作。 4．环策略 固定主、客体安全级别。缺点：低级别信息会流向高级别主体，然后可执行级别高的操作。 5．严格完整性策略 No Read-Down，No Write-Up两条完整规则。 贝尔-拉帕丢拉模型的安全策略能用于完整性问题。 三．自主安全 1．存取控制列表 对客体分配一表 2．客体层次结构 带根树 3．环 对主体分配一权限属性(环)，环的数字越低，表示其权限越高。 * Integrity Axioms The Simple Integrity Axiom - no reading of lower object from higher subject (No Read Down) The * (star) Integrity Axiom – No writing from lower subject to higher object (No write Up) A subject at a lower level of integrity can not invoke a subject at a higher level of integrity * * 系统接受自由数据条目 (UDI)并将其转换为 受限数据条目 (CDI) 受限数据条目 (CDI)仅能被转换程序(TP)所改变 转换程序 (TP) 保证受限数据条目 CDI的完整性 每个受限数据条目(CDI) 拥有一个完整性检查程序 (IVP) 访问控制机制由三个元素组成 (主体, TP, CDI) Constrained Data Item (CDI) – A data Item whose integrity is to be preserved完整性保留的数据 Integrity Verification Procedure (IVP) – confirms that all CDIs have integrity保证所有受限数据条目的完整性 Transformation Procedure (TP) – transforms a CDI from one integrity state to another integrity state将受限数据