Принцип наименьших привилегий - Principle of least privilege

Не путать с Правило наименьшей мощности.

В информационная безопасность, Информатика, и другие поля, принцип наименьших привилегий (PoLP), также известный как принцип минимальной привилегии или принцип наименьшего авторитета, требует, чтобы в конкретном слой абстракции вычислительной среды каждый модуль (например, процесс, а Пользователь, или программа, в зависимости от темы) должен иметь доступ только к информации и Ресурсы которые необходимы для его законной цели.[1][2]

Подробности

Принцип означает предоставление учетная запись пользователя или обрабатывать только те привилегии, которые необходимы для выполнения предполагаемой функции. Например, учетная запись пользователя с единственной целью создания резервных копий не требует установки программного обеспечения: следовательно, она имеет права только на запуск приложений резервного копирования и резервного копирования. Любые другие привилегии, такие как установка нового программного обеспечения, заблокированы. Этот принцип применим также к пользователю персонального компьютера, который обычно работает под обычной учетной записью и открывает привилегированную учетную запись, защищенную паролем (то есть суперпользователь ) только тогда, когда этого требует ситуация.

Применительно к пользователи, условия наименьший доступ пользователей или же учетная запись пользователя с минимальными привилегиями (LUA) также используются, имея в виду концепцию, что все учетные записи пользователей всегда должен работать с минимальным количеством привилегии по возможности, а также запустить Приложения с как можно меньшим количеством привилегий.

Принцип наименьших привилегий широко признан в качестве важного конструктивного решения для повышения защиты данных и функциональности от сбоев (Отказоустойчивость ) и вредоносное поведение (компьютерная безопасность ).

Преимущества принципа:

  • Лучшая стабильность системы. Когда код ограничен объемом изменений, которые он может внести в систему, легче протестировать его возможные действия и взаимодействия с другими приложениями. Например, на практике приложения, работающие с ограниченными правами, не будут иметь доступа для выполнения операций, которые могут привести к сбою машины или отрицательно повлиять на другие приложения, работающие в той же системе.
  • Лучшая безопасность системы. Когда код ограничен общесистемными действиями, которые он может выполнять, уязвимости в одном приложении не могут быть использованы для эксплуатации остальной части машины. Например, Microsoft заявляет: «Работа в стандартном пользовательском режиме дает клиентам повышенную защиту от непреднамеренного повреждения на уровне системы, вызванного»сокрушительные атаки " и вредоносное ПО, Такие как руткиты, шпионское ПО, и необнаруживаемый вирусы ”.[3]
  • Легкость развертывания. В общем, чем меньше привилегий требуется приложению, тем проще его развернуть в более крупной среде. Обычно это связано с первыми двумя преимуществами: приложения, устанавливающие драйверы устройств или требующие повышенных прав безопасности, обычно требуют дополнительных шагов при развертывании. Например, в Windows решение без драйверы устройств можно запускать напрямую без установки, в то время как драйверы устройств должны быть установлены отдельно с помощью службы установщика Windows, чтобы предоставить драйверу повышенные привилегии.[4]

На практике существует несколько конкурирующих определений истинных наименьших привилегий. В качестве сложность программы растет экспоненциально,[нужна цитата ] То же самое и с количеством потенциальных проблем, что делает прогнозный подход непрактичным. Примеры включают значения переменных, которые он может обрабатывать, адреса, которые ему потребуются, или точное время, когда такие вещи потребуются. Системы возможностей объектов позволяют, например, отложить предоставление привилегии одноразового использования до того момента, когда она будет использована. В настоящее время наиболее близким практическим подходом является устранение привилегий, которые можно вручную оценить как ненужные. Результирующий набор привилегий обычно превышает реальный минимум необходимых привилегий для процесса.

Еще одно ограничение - это степень детализации контроля, который операционная среда имеет над привилегиями для отдельного процесса.[5] На практике редко возможно контролировать доступ процесса к памяти, время обработки, адреса или режимы устройств ввода-вывода с точностью, необходимой для обеспечения только точного набора привилегий, которые потребуются процессу.

История

Оригинальная формулировка взята из Джером Зальцер:[6]

Каждая программа и каждый привилегированный пользователь системы должны работать с минимальным количеством привилегий, необходимых для выполнения работы.

— Джером Зальцер, Коммуникации ACM

Питер Дж. Деннинг в своей статье «Отказоустойчивые операционные системы» рассматривает ее в более широкой перспективе среди четырех основных принципов отказоустойчивости.

Динамическое назначение привилегий ранее обсуждалось Роджер Нидхэм в 1972 г.[7][8]

Исторически самым старым примером минимальных привилегий, вероятно, является исходный код login.c, который начинает выполнение с суперпользователь разрешения и - как только они больше не нужны - отклоняет их через setuid () с ненулевым аргументом, как показано в Версия 6 Unix исходный код.

Выполнение

В ядро всегда работает с максимальными привилегиями, так как это Операционная система core и имеет доступ к оборудованию. Одна из основных задач операционной системы, особенно многопользовательской операционной системы, - это управление доступностью оборудования и запросами на доступ к нему из запущенного процессы. Когда ядро ​​выходит из строя, механизмы, с помощью которых оно поддерживает государственный тоже терпят неудачу. Поэтому, даже если есть способ ЦПУ выздороветь без Аппаратный сброс, безопасность продолжает поддерживаться, но операционная система не может должным образом реагировать на сбой, потому что не удалось обнаружить сбой. Это связано с тем, что выполнение ядра либо остановлено, либо счетчик команд возобновил выполнение откуда-то из бесконечного и, как правило, нефункционального петля.[нужна цитата ] Это было бы похоже на переживание амнезия (сбой выполнения ядра) или попадание в замкнутый лабиринт, который всегда возвращается в начальную точку (замкнутые циклы).

Принцип наименьших привилегий демонстрируется кольцами привилегий для Intel x86

Если выполнение возобновляется после сбоя при загрузке и запуске троянский код, автор троянского кода может присвоить себе контроль над всеми процессами. Принцип минимальных привилегий заставляет код работать с минимально возможным уровнем привилегий / разрешений. Это означает, что код, который возобновляет выполнение кода - будь то троян или просто запуск кода из неожиданного места - не будет иметь возможности выполнять вредоносные или нежелательные процессы. Один метод, используемый для этого, может быть реализован в микропроцессор аппаратное обеспечение. Например, в Intel x86 Архитектура производитель разработал четыре (от кольца 0 до кольца 3) работающих «режимов» с градуированными степенями доступа - почти как проверка благонадежности системы в оборонных и спецслужбах.[нужна цитата ]

Как реализовано в некоторых операционных системах, процессы выполняются с потенциальный набор привилегий и активный набор привилегий.[нужна цитата ] Такие наборы привилегий наследуются от родителя в соответствии с семантикой вилка (). An запускаемый файл который выполняет привилегированную функцию, тем самым технически составляя компонент TCB, и одновременно называемый доверенной программой или надежным процессом, также может быть отмечен набором привилегий. Это логическое продолжение понятий установить идентификатор пользователя и установить идентификатор группы.[нужна цитата ] Наследование файловые привилегии процессом определяются семантикой exec () семья системные вызовы. Точный способ взаимодействия потенциальных привилегий процессов, фактических привилегий процессов и привилегий файлов может стать сложным. На практике наименьшие привилегии практикуются, заставляя процесс запускаться только с теми привилегиями, которые требуются задаче. Приверженность этой модели довольно сложна и подвержена ошибкам.

Подобные принципы

В Критерии оценки доверенных компьютерных систем (TCSEC) концепция надежная вычислительная база (TCB) минимизация является гораздо более строгим требованием, которое применимо только к наиболее функционально сильным классам доверия, а именно, B3 и A1 (которые являются доказательно разные, но функционально идентичны).

Наименьшие привилегии часто связаны с брекетинг привилегий: то есть, принятие необходимых привилегий в последний возможный момент и отказ от них, как только это больше не является строго необходимым, таким образом якобы уменьшая последствия ошибочного кода, который непреднамеренно использует больше привилегий, чем заслужено. Наименьшие привилегии также интерпретировались в контексте распределения дискреционный контроль доступа (DAC), например, утверждение, что предоставление пользователю U доступа на чтение / запись к файлу F нарушает наименьшие привилегии, если U может выполнять свои авторизованные задачи только с разрешением на чтение.

Смотрите также

Рекомендации

  1. ^ Зальцер и Шредер 75
  2. ^ Деннинг 76
  3. ^ Джонатан, Кларк; DABCC Inc. «Гуру виртуализации пишет» Пользовательский режим - хорошее дело - развертывание на заблокированных учетных записях без повышения уровня безопасности"". Получено 15 мар. 2013.
  4. ^ Аарон Маргозис (август 2006 г.). «Проблемы привилегий: поиск и исправление ошибок LUA». Microsoft.
  5. ^ Мэтт Бишоп, Компьютерная безопасность: искусство и наука, Бостон, Массачусетс: Addison-Wesley, 2003. pp. 343-344, цитируется Barnum & Gegick 2005.
  6. ^ Зальцер, Джером Х. (1974). «Защита и контроль обмена информацией в мультиках». Коммуникации ACM. 17 (7): 388–402. CiteSeerX  10.1.1.226.3939. Дои:10.1145/361011.361067. ISSN  0001-0782.
  7. ^ Нидхэм, Р. М. (1972). «Системы защиты и реализации защиты». Труды осенней совместной компьютерной конференции AFIPS '72, 5-7 декабря 1972 г., часть I. С. 571–578. Дои:10.1145/1479992.1480073.
  8. ^ Фред Б. Шнайдер. «Наименьшие привилегии и многое другое» (PDF).

Библиография

внешняя ссылка