Невмешательство (безопасность) - Non-interference (security)

Невмешательство это строгий многоуровневая безопасность Модель политики, впервые описанная Гогуэном и Месегером в 1982 году, и получившая дальнейшее развитие в 1984 году.

Вступление

Проще говоря, компьютер моделируется как машина со входами и выходами. Входы и выходы классифицируются как низкий (низкая чувствительность, не классифицируется) или высоко (чувствительный, чтобы на него не могли смотреть неучтенные лица). Компьютер обладает свойством невмешательства тогда и только тогда, когда любая последовательность низких входов будет давать одинаковые низкие выходные данные, независимо от того, каковы входы высокого уровня.

То есть, если на машине работает низкий (не очищенный) пользователь, он будет реагировать точно так же (на низких выходах) независимо от того, работает ли высокий (очищенный) пользователь с конфиденциальными данными. Низкий пользователь не сможет получить никаких Информация о действиях (если таковые имеются) высокого пользователя.

Формальное выражение

Позволять ${displaystyle M}$ быть конфигурацией памяти, и пусть ${displaystyle M_ {L}}$ и ${displaystyle M_ {H}}$ быть проекцией памяти ${displaystyle M}$ на низкую и высокую части соответственно. Позволять ${displaystyle {= _ {L}}}$ быть функцией, которая сравнивает младшие части конфигураций памяти, т.е. ${displaystyle M {= _ {L}} M ^ {prime}}$ если только ${displaystyle M_ {L} = M_ {L} ^ {prime}}$ . Позволять ${displaystyle (P, M) ightarrow ^ {*} M ^ {prime}}$ быть исполнением программы ${displaystyle P}$ начиная с конфигурации памяти ${displaystyle M}$ и заканчивая конфигурацией памяти ${displaystyle M ^ {prime}}$ .

Определение невмешательства для детерминированной программы ${displaystyle P}$ следующее:^[1]

${displaystyle {egin {array} {rrl} forall M_ {1}, M_ {2}:; & M_ {1} {= _ {L}} M_ {2} & land & (P, M_ {1}) ightarrow ^ {*} M_ {1} ^ {prime} & land & (P, M_ {2}) ightarrow ^ {*} M_ {2} ^ {prime} & Rightarrow & M_ {1} ^ {prime} {= _ {L }} M_ {2} ^ {prime} end {array}}}$

Ограничения

Строгость

Это очень строгая политика, поскольку компьютерная система с скрытые каналы может соответствовать, скажем, Модель Белла – ЛаПадулы, но не будет соблюдать невмешательство. Обратное может быть правдой (при разумных условиях, когда в системе должны быть помечены файлы и т. Д.), За исключением исключений «Нет секретной информации при запуске», указанных ниже. Однако было показано, что невмешательство сильнее, чем невыводимость.

Эта строгость имеет свою цену. Сделать компьютерную систему с этим свойством очень сложно. Может быть только один или два коммерчески доступных продукта, которые были проверены на соответствие этой политике, и они по сути будут такими же простыми, как переключатели и односторонние информационные фильтры (хотя они могут быть организованы для обеспечения полезного поведения).

Нет секретной информации при запуске

Если в компьютере есть (в момент времени = 0) какая-либо высокая (т. Е. Секретная) информация внутри него, либо пользователи с низким уровнем доступа создают большую информацию после времени = 0 (так называемая «запись», которая разрешена многими политиками компьютерной безопасности ), то компьютер может законно передать всю эту важную информацию нижнему пользователю, и все же можно сказать, что он соблюдает политику невмешательства. Низкий пользователь не сможет узнать что-либо о высокой активности пользователей, но сможет узнать о любой высокой информации, которая была создана другими способами, кроме действий высоких пользователей. (Von Oheimb 2004)

Компьютерные системы, соответствующие модели Белла-ЛаПадулы, не страдают от этой проблемы, поскольку они явно запрещают «чтение». Следовательно, компьютерная система, отвечающая требованиям невмешательства, не обязательно будет соответствовать модели Белла-ЛаПадулы. Таким образом Модель Белла – ЛаПадулы и модель невмешательства несравнимы: модель Белла-ЛаПадула строже в отношении чтения, а модель невмешательства строже в отношении скрытые каналы.

Без обобщения

Некоторые законные многоуровневые действия по обеспечению безопасности рассматривают отдельные записи данных (например, личные данные) как конфиденциальные, но позволяют более широко раскрывать статистические функции данных (например, среднее значение, общее число). Этого нельзя добиться с помощью машины без помех.

Обобщения

Свойство невмешательства требует, чтобы система не раскрывала никакой информации о высоких входах из наблюдаемого выхода для различных низких входов. Однако можно возразить, что достижение невмешательства часто невозможно для большого класса практических систем, и, более того, это может быть нежелательно: программы должны раскрывать информацию, которая зависит от секретных входов, например выходные данные должны отличаться, когда пользователь вводит правильные учетные данные, и когда он вводит неправильные учетные данные. Энтропия Шеннона, предположение энтропии и минимальная энтропия - распространенные понятия утечки количественной информации, которые обобщают невмешательство^[2].

дальнейшее чтение

Маклин, Джон (1994). «Модели безопасности». Энциклопедия программной инженерии. 2. Нью-Йорк: John Wiley & Sons, Inc., стр. 1136–1145.

фон Охеймб, Давид (2004). «Возвращение к управлению информационным потоком: невлияние = невмешательство + отсутствие утечки». Европейский симпозиум по исследованиям в области компьютерной безопасности (ESORICS). София Антиполис, Франция: LNCS, Springer-Verlag. С. 225–243.

[1] Смит, Джеффри (2007). «Принципы безопасного анализа информационных потоков». Достижения в области информационной безопасности. 27. Springer США. С. 291-307.

[2] Борис Кёпф и Давид Басин. 2007. Теоретико-информационная модель для атак AdaptiveSide-channel. В материалах 14-й конференции ACM по безопасности компьютеров и коммуникаций (CCS ’07). ACM, Нью-Йорк, Нью-Йорк, США, 286–296.

[1]

[2]