В общем случае предполагается, что АБД предоставляет пользователям определенные права санкционированного доступа, указывает системе, какие операции разрешены пользователю, формирует паспорт пользователя и обеспечивает средства идентификации пользователей при работе с системой.
Перед началом сеанса работы с системой пользователи должны идентифицировать себя (указав, например, свой идентификационный системный номер) и подтвердить подлинность своей идентификации (доказать системе, что они именно те, за кого себя выдают). В общем случае (для важной информации) эти два шага могут многократно повторяться.
Процесс идентификации пользователя выполняется с использованием либо: системного идентификационного номера пользователя, машиночитаемых идентификационных карт или знаков, номера терминала, запросившего сеанс работы (в последнем случае должны быть использованы организационные меры, обеспечивающие возможность работы с определенного терминала только определенных лиц).
Процесс подтверждения подлинности представляет собой обмен между пользователем и системой информации, известной только системе и пользователю. В простейшем случае процесс подтверждения подлинности может отсутствовать, и система защиты использует только процесс идентификации пользователя.
Процесс подтверждения подлинности реализуется специальной процедурой, обычно, несложной, но характеризующейся очень низкой вероятностью ее раскрытия. Это могут быть одноразовые пароли, ответы на некоторые вопросы или реализация некоторых алгоритмов.
Например, система выдает пользователю псевдослучайное число х. Пользователь выполняет в уме преобразование этого числа по алгоритму, известному только ему и системе (например, составить число из 1-й и 7-й цифр числа х, затем сложить это число с некоторой константой и умножить на число, соответствующее времени начала сеанса, например на 3 часа дня) и передает результат у = Т (х)системе. Система выполняет такое же преобразование, сравнивает результаты и при их совпадении начинает работу с пользователем. Для постороннего наблюдателя, который если и увидит на экране дисплея идентификационный номер – числа h и у, – то этой информации явно недостаточно, чтобы ею воспользоваться.
|
|
Управление доступом
Для каждого пользователя система ведет паспорт пользователя, составленный АБД, в котором указан системный идентификационный номер пользователя, имя процедуры подтверждения подлинности, перечень разрешенных для данного пользователя операций. Паспорт определяет профиль (права) пользователя.
Однако в целом ряде случаев информации о правах пользователя на разрешенные операции оказывается недостаточно для решения вопроса о допустимости выполнения этих операций с конкретными данными. Поэтому каждое групповое данное должно иметь связанный с ним набор ограничений доступа. Этот набор ограничений содержит:
условие, которому должен удовлетворять пользователь, чтобы иметь доступ к этому групповому данному;
пароль, предъявляемый при выборке некоторых комбинаций данных из этого группового данного;
пароль, предъявляемый при модификации этих данных, и т.п.
Система управления БД проверяет, не нарушено ли какое-либо ограничение из набора, и если есть нарушение, то подавляет выполнение операции пользователя, выдает ему в какой-либо форме сигнал ошибки и фиксирует в специальном журнале факт попытки нарушения безопасности данных. В общем случае для решения вопроса о доступе пользователя к данным в составе СУБД должна быть специальная привилегированная программа, выполняющая проверку запроса пользователя на основании его паспорта, набора ограничений и конкретных значений данных в базе и решает вопрос о разрешении доступа. Поскольку эта программа должна иметь неограниченный (по выборке) доступ к любым данным в базе, АБД должны быть приняты специальные меры защиты этой программы, исключающие возможность ее использования не по назначению.
|
|
Алгоритмы подобной программы базируются на аксиоме безопасности и реализуют 14 различных проверок. Аксиома безопасности заключается в следующем. Если комбинация атрибутов А доступна (запрещена) пользователю X в зависимости от условия В,то каждая подкомбинация А также доступна (запрещена) пользователю X по условию В.
Состав проверок следующий:
1. Все ли отношения, упомянутые в запросе, доступны пользователю X?
2. Существует ли упомянутое в запросе отношение, запрещенное для X?
3. Все ли поколения, упомянутые в запросе, доступны X?
4. Существует ли упомянутое в запросе поколение, запрещенное для X?
5. Все ли атрибуты, упомянутые в запросе, доступны для X?
6. Существует ли упомянутый в запросе атрибут, запрещенный для X?
7. Все ли комбинации атрибутов, упомянутые в запросе, доступны для X?
8. Существует ли упомянутая в запросе комбинация атрибутов, запрещенная для X?
|
|
9. Существует ли квалифицирующее подвыражение, которое ограничивает диапазон значений атрибутов для каждой комбинации чувствительных атрибутов, упомянутых в запросе, и лежат ли их значения внутри диапазона, доступного для X?
10. Существует ли комбинация чувствительных атрибутов, упомянутая в запросе и содержащая подкомбинацию, значения которой ограничиваются квалифицирующими выражениями, и лежат ли их значения внутри диапазона, доступного для Х?
11. Выполняется ли проверка 7 для X, расширенного косвенными атрибутами пользователя?
12. Выполняется ли проверка 8 для X, расширенного косвенными атрибутами пользователя?
13. Выполняется ли проверка 9 для X, расширенного косвенными атрибутами пользователя?
14. Выполняется ли проверка 10 для X, расширенного косвенными атрибутами пользователя?
Под косвенными атрибутами в данном случае понимаются атрибуты, имеющиеся в БД, содержащие дополнительную информацию о пользователе X. Например, это информация о том, что пользователь, запросивший анкетные данные о сотрудниках некоторого отдела, является руководителем этого отдела, либо это может быть пароль, указанный пользователем в запросе на доступ, и т.п.