信息安全模型讲义.pptVIP

* * * * * * * 强制vs.信息流 隐通道：访问控制模型通过对访问主体与访问客体的控制实施安全策略，但恶意的用户仍然可能利用系统的副作用（边界效应）形成从高安全级别到低安全级别的隐通道。 信息流模型：不对访问主体与客体实施控制，而是直接控制用户间的信息流 例如：if a = 0 then b := c, information flows explicitly from c to b (when a = 0) and implicitly from a to b (when b= c). 3 信息流模型 信息流概念： 信息流可表述为“从对象a流向对象b的信息（信息流）是指对象b的值按某种方式依靠对象a的值”。 3 信息流模型 对于程序语言代码我们可以通过枚举所有程序变量间的信息流，从而验证是否存在不合法信息流。 信息流模型的形式化是状态机模型，因此可以形成一系列信息流“断言”，信息流“断言”也称为安全性质，安全性质包括非干扰性(noninterference)和非观察性(nonobservability)等 描述工具使用Hoare逻辑的SPA语言（Security Process Algebra –SPA）（trace） 3 信息流模型 4 完整性模型 数据完整性 信息保护，DATABASE（域，实体，引用，应用语义，并发控制） 系统完整性 系统保护，硬件保护，容错技术 完整性目标 Preventing Unauthorized Users From Making Modifications (机密性) Maintaining Internal and External Consistency (一致性) Preventing Authorized Users From Making Improper Modifications (逻辑一致性) 完整性原理 1 IDENTITY 2 CONSTRAINTS 3 OBLIGATION(职责) 4 ACCOUNTABILITY 5 AUTHORIZATION 6 LEAST PRIVILEGE 7 SEPARATION 8 MONITORING 9 ALARMS 10 NON-REVERSIBLE ACTIONS 11 REDUNDANCY 12 MINIMIZATION. Variable Minimization Data Minimization Target Value Minimization Access Time Minimization …… BIBA模型 完整性策略 BIBA认为内部威胁已经由程序测试与验证技术作了充分地处理；BIBA; 模型仅针对外部威胁。 低限策略 Low-Water Mark Policy 针对客体的低限策略 Low-Water Mark Policy for Objects 低限的完整性审计策略 Low Water Mark Integrity Audit Policy 环策略 Ring Policy 严格的完整性策略 Strict Integrity Policy 低限策略 for_all s element_of S, o element_of O s m o == il(o) leq il(s) for_all s1,s2 element_of S s1 i s2 == il(s2) leq il(s1) For each observe access by a subject s to an object o: il(s) = min {il(s), il(o)} where il(s) is the integrity level of s immediately following the access. Clark-Wilson模型 Clark-Wilson模型定义的四个要素: constrained data items (CDIs), unconstrained data items (UDIs), integrity verification procedures (IVPs),and transformation procedures (TPs). There are nine certification (C) and enforcement (E) rules that govern the interaction of these model elements. Certification is done by the security officer, system owner, and system custodian with respect to an