A számítógépes rendszerek biztonságának meghatározásának kritériumai ( eng. Trusted Computer System Evaluation Criteria ) az Egyesült Államok Védelmi Minisztériumának szabványa , amely meghatározza a számítógépes rendszerekben található számítógépes biztonsági eszközök hatékonyságának értékelésének alapvető feltételeit. Kritériumok segítségével meghatározzák, osztályozzák és kiválasztják a számítógépes rendszereket az érzékeny vagy érzékeny információk feldolgozására, tárolására és visszakeresésére.
A gyakran Orange Book néven emlegetett kritériumok központi szerepet töltenek be a DoD "Rainbow Series" kiadványaiban . Eredetileg a Nemzetbiztonsági Ügynökség részlege , a National Computer Security Center adta ki 1983 -ban , majd 1985 -ben frissítették .
Az Orange Book analógja a 2005-ben kiadott ISO / IEC 15408 nemzetközi szabvány. Ez egy univerzálisabb és fejlettebb szabvány, de a közkeletű tévhitekkel ellentétben nem váltotta fel az Orange Book-ot a dokumentumok eltérő joghatósága miatt – az Orange Book-ot kizárólag az Egyesült Államok Védelmi Minisztériuma használja , míg az ISO/IEC 15408 ratifikálta . sok ország, köztük Oroszország.
Department of Defense Trusted Computer System Evaluation Criteria, TCSEC , DoD 5200.28 -STD, 1985. december 26., ismertebb nevén " Orange Book" ) a borító színe miatt.
Ez a szabvány nemzetközi elismerésben részesült, és rendkívül erős befolyást gyakorolt az információbiztonság (IS) területén a későbbi fejlesztésekre.
Ez a szabvány értékelési szabványokra vonatkozik ( információs rendszerek és biztonsági eszközök osztályozása ), és nem a biztonságos, hanem a megbízható rendszerekről szól .
Életünkben nincsenek abszolút rendszerek (beleértve a biztonságosakat is). Ezért azt javasolták, hogy csak az adott rendszerrel szemben adható bizalom mértékét értékeljék.
A szabvány tartalmazza az információbiztonság fogalmi alapjait ( biztonságos rendszer , megbízható rendszer , biztonsági politika , biztosítási szint , elszámoltathatóság , megbízható számítási bázis , hívásfigyelő , biztonsági mag , biztonsági kerület ).
A biztonságot és a bizalmat ebben a szabványban az információ-hozzáférés szabályozása szempontjából értékelik, amely a titkosság és integritás biztosításának egyik eszköze .
Egy egész " Rainbow Series " követte az "Orange Book"-ot . A legjelentősebb benne az "Orange Book" értelmezése volt a hálózati konfigurációkhoz ( English National Computer Security Center. Trusted Network Interpretation , NCSC-TG-005, 1987), ahol az első rész az "Orange Book"-ot értelmezi, ill. A második rész a hálózati konfigurációkra jellemző szolgáltatások biztonságát írja le.
A biztonsági szabályzatoknak részletesnek, egyértelműen meghatározottnak és a számítógépes rendszerre nézve kötelezőnek kell lenniük. Két fő biztonsági irányelv létezik:
Az egyéni felelősségvállalásnak – a politikától függetlenül – kötelezőnek kell lennie. Három felelősségi követelmény van:
A számítógépes rendszernek tartalmaznia kell olyan hardver- és/vagy szoftvermechanizmusokat, amelyek önállóan meg tudják határozni, hogy kellő biztosítékot nyújtanak-e arra, hogy a rendszer megfelel a fenti követelményeknek. Ezenkívül a biztosítéknak tartalmaznia kell annak biztosítékát, hogy a rendszer biztonságos része csak rendeltetésszerűen működik. E célok eléréséhez kétféle garanciára és a hozzájuk tartozó elemekre van szükség:
Minden osztálynak van egy további dokumentumkészlete, amelyet a fejlesztőknek, felhasználóknak és rendszergazdáknak címeznek jogkörüknek megfelelően. Ez a dokumentáció a következőket tartalmazza:
Ez egy olyan rendszer, amely ellenőrzi az információkhoz való hozzáférést, így csak a felhatalmazott személyek vagy a nevükben eljáró folyamatok jogosultak az információval dolgozni.
A szabványban megbízható rendszer alatt olyan rendszert értünk, amely hardvert és szoftvert használ annak biztosítására, hogy a felhasználók egy csoportja a hozzáférési jogok megsértése nélkül egyidejűleg feldolgozza a különböző titkossági kategóriájú információkat.
Ez olyan törvények, szabályok, eljárások és magatartási kódexek összessége, amelyek szabályozzák, hogy egy szervezet hogyan dolgozza fel, védi és terjeszti az információkat. Sőt, a biztonsági politika az aktív védelmi módszerekre hivatkozik, mivel figyelembe veszi a lehetséges fenyegetések elemzését és a megfelelő ellenintézkedések megválasztását.
Ez magában foglalja az információs rendszer architektúrája és megvalósítása iránt adható bizalom mértékét, és megmutatja, hogy a mechanizmusok mennyire helyesek a biztonsági politika végrehajtásáért (a védelem passzív aspektusa).
Az elszámoltathatósági csoportnak a következő követelményeket kell tartalmaznia:
Ez egy információs rendszer (szoftver és hardver) védelmi mechanizmusainak összessége, amelyek biztonsági politikát valósítanak meg.
Az objektumokon végrehajtott bizonyos műveletek alanyok (felhasználók) általi teljesítményének szabályozása az (egy adott felhasználó) programokhoz és adatokhoz való hozzáférésének megengedhetőségének ellenőrzésével egy engedélyezett műveletsorral.
A hívásfigyelő kötelező tulajdonságai:
Egy hívásfigyelő konkrét megvalósítása, amely garantáltan megváltoztathatatlan.
Ez a megbízható számítási bázis határa.
Ellenkező esetben önkéntes hozzáférés-szabályozás.
Az önkéntes hozzáférés-szabályozás az objektumokhoz való hozzáférés korlátozásának módszere az alany vagy a csoport identitása alapján, amelyhez az alany tartozik. Az önkéntes kezelés azt jelenti, hogy egy személy (általában az objektum tulajdonosa) saját belátása szerint más alanyoknak hozzáférési jogokat adhat, vagy megvonhat tőlük az objektumhoz való hozzáférést.
A legtöbb operációs rendszer és DBMS önkéntes hozzáférés-vezérlést valósít meg. Legfőbb előnye a rugalmasság, fő hátránya az irányítás szétszórtsága és a központosított irányítás bonyolultsága, valamint a hozzáférési jogok adatoktól való elkülönítése, ami lehetővé teszi a titkos információk nyilvános állományokba, vagy titkos állományok nem védett könyvtárakba másolását.
Az objektumok újrafelhasználásának biztonsága a gyakorlati hozzáférés-szabályozás fontos kiegészítője, amely védelmet nyújt a titkos információk véletlen vagy szándékos kivonása ellen a "szemétből". Az újrafelhasználás biztonságát garantálni kell a fő memória területein (különösen a képernyőképeket tartalmazó pufferek, dekódolt jelszavak stb.), a lemezblokkok és általában a mágneses adathordozók esetében. Fontos figyelni a következő pontra. Mivel az alanyokkal kapcsolatos információk egyben objektumok is, ügyelnie kell a "tárgyak újrafelhasználásának" biztonságára. Amikor egy felhasználó elhagyja a szervezetet, nemcsak a bejelentkezést kell megakadályoznia, hanem meg kell tagadnia az összes objektumhoz való hozzáférést is. Ellenkező esetben az új munkavállaló megkaphatja a korábban használt azonosítót, és ezzel együtt elődjének minden jogát.
A mai intelligens perifériák megnehezítik az objektumok újrafelhasználásának biztonságát. A nyomtató valóban képes pufferelni egy dokumentum több oldalát, amelyek a nyomtatás befejezése után is a memóriában maradnak. Különleges intézkedésekre van szükség, hogy "kiszorítsák" őket onnan.
A címkék az alanyokhoz (megbízhatósági fok) és az objektumokhoz (információbizalmassági fok) tartoznak. A biztonsági címkék a biztonsági szintre és az adatok kategóriájára vonatkozó adatokat tartalmazzák. Az Orange Book szerint a biztonsági címkék két részből állnak – egy biztonsági szintből és egy kategóriák listájából. A rendszer által támogatott biztonsági szintek egy rendezett halmazt alkotnak, amely például így nézhet ki:
A különböző rendszerek esetében a biztonsági szintek készlete eltérő lehet. A kategóriák egy rendezetlen halmazt alkotnak. Céljuk, hogy leírják azt a tárgykört, amelyhez az adatok tartoznak. Katonai környezetben minden kategória megfelelhet például egy bizonyos típusú fegyvernek. A kategóriamechanizmus lehetővé teszi az információk rekeszekre való felosztását, ami hozzájárul a jobb biztonsághoz. Az alany nem férhet hozzá "idegen" kategóriákhoz, még akkor sem, ha azok biztonsági szintje "szigorúan titkos". A harckocsi-specialista nem ismeri fel a repülőgépek taktikai és műszaki adatait.
A fő probléma, amit a címkékkel kapcsolatban meg kell oldani, azok integritásának biztosítása. Először is, nem lehetnek címkézetlen alanyok és tárgyak, különben könnyen kihasználható lyukak lesznek a címkézett biztonságban. Másodszor, az adatokkal végzett műveleteknél a címkéknek helyesnek kell maradniuk. Ez különösen vonatkozik az adatok exportálására és importálására. Például egy nyomtatott dokumentumnak meg kell nyílnia egy fejléccel, amely a biztonsági címke szöveges és/vagy grafikus ábrázolását tartalmazza. Hasonlóképpen egy fájl kommunikációs csatornán történő átvitelekor a hozzá tartozó címkét is továbbítani kell, mégpedig úgy, hogy a távoli rendszer a titkossági szintek és a kategóriák esetleges eltérései ellenére is elemezni tudja.
A biztonsági címkék integritásának biztosításának egyik eszköze az eszközök felosztása többszintű és egyszintű eszközökre. A többszintű eszközök különböző titkossági szintű (pontosabban egy bizonyos szinttartományon belüli) információkat tárolhatnak. Az egyszintű eszköz egy többszintű eszköz degenerált esetének tekinthető, amikor a megengedett tartomány egyetlen szintből áll. Az eszköz szintjének ismeretében a rendszer el tudja dönteni, hogy szabad-e rá egy bizonyos címkével információt írni. Például meghiúsul a szigorúan titkos információk kinyomtatása egy nyilvános nyomtatón „nem titkos” szinttel.
A kényszerített hozzáférés-vezérlés az alany és az objektum biztonsági címkéinek megfeleltetésén alapul. Az alany akkor tud információt olvasni egy objektumról, ha az alany biztonsági szintje legalább olyan magas, mint az objektumé, és az objektum biztonsági címkéjében felsorolt összes kategória megtalálható az alany címkéjében. Ilyen esetben azt mondják, hogy az alany címkéje uralja a tárgy címkéjét. Az alany információkat írhat egy objektumra, ha az objektum biztonsági címkéje dominál az alany biztonsági címkéjén. Különösen a „bizalmas” alany írhat titkos aktákba, de nem titkosakba nem (természetesen a kategóriakészletre vonatkozó korlátozásokat is be kell tartani). Első pillantásra furcsának tűnhet ez a korlátozás, de teljesen ésszerű. Semmilyen művelet esetén sem szabad csökkenteni az információtitok szintjét, bár a fordított folyamat teljesen lehetséges.
A leírt hozzáférés-szabályozási módszert kényszerítettnek nevezzük, mivel nem függ az alanyok akaratától, akiknek a helyén akár rendszergazdák is helyet kaphatnak. Az alanyok és objektumok biztonsági címkéinek rögzítése után a hozzáférési jogok is rögzítésre kerülnek. Kényszervezérlés szempontjából lehetetlen kifejezni a "Hozzáférés engedélyezése az X objektumhoz Y felhasználó számára is" mondatot. Természetesen megváltoztathatja Y felhasználó biztonsági címkéjét, de akkor nagy valószínűséggel számos további objektumhoz fog hozzáférni, nem csak X-hez.
A kényszerített hozzáférés-vezérlést az operációs rendszerek és a DBMS számos változatában megvalósítják, amelyeket fokozott biztonsági intézkedésekkel különböztetnek meg. Különösen a SunOS és az Ingres DBMS esetében léteznek ilyen lehetőségek. A gyakorlati felhasználástól függetlenül a kényszervezérlés elvei kényelmes módszertani alapot jelentenek az információk kezdeti besorolásához és a hozzáférési jogok elosztásához. Kényelmesebb biztonsági szintekben és kategóriákban gondolkodni, mint egy strukturálatlan hozzáférési mátrixot kitölteni. A való életben azonban ugyanazon a rendszeren belül kombinálják az önkéntes és a kényszerített hozzáférés-szabályozást, ami lehetővé teszi mindkét megközelítés erősségének kihasználását.
A kritériumok 4 részre oszlanak: D, C, B és A, amelyek közül a legbiztonságosabb az A. Mindegyik részleg jelentős különbséget jelent az egyes felhasználók vagy szervezetek bizalmában. A C, B és A szekciók hierarchikusan alszekciókba vannak rendezve, amelyeket osztályoknak nevezünk: C1, C2, B1, B2, B3 és A1. Minden szakasz és osztály kibővíti vagy kiegészíti az előző szakaszban vagy osztályban meghatározott követelményeket.
Olyan rendszerek, amelyek biztonságát értékelték, de megállapították, hogy nem felelnek meg a magasabb szakaszok követelményeinek.
A kritériumok először négy megbízhatósági szintet vezettek be - D, C, B és A, amelyek osztályokra vannak osztva. Csak hat biztonsági osztály létezik - C1, C2, B1, B2, B3, A1 (a szigorítási követelmények sorrendjében).
Ez a szint a nem kielégítőnek ítélt rendszerek számára készült.
Ellenkező esetben tetszőleges hozzáférés-szabályozás.
C1 osztályEgy adott osztályra vonatkozó biztonsági politikának és bizonyossági szintnek meg kell felelnie a következő kritikus követelményeknek:
A C1-en kívül:
Más néven kényszerített hozzáférés-vezérlés.
B1 osztályA C2-n kívül:
A B1-en kívül:
A B2-n kívül:
Ezt hívják ellenőrizhető biztonságnak.
A1 osztályA B3 mellett:
Ez az Orange Book besorolása. Röviden a következőképpen fogalmazható meg:
Természetesen számos komoly megjegyzés tehető a "Criteria..."-hoz (például az elosztott rendszerekben felmerülő problémák teljes figyelmen kívül hagyása). Mindazonáltal hangsúlyozni kell, hogy az Orange Book megjelenése minden túlzás nélkül mérföldkőnek számító esemény volt az információbiztonság területén. Megjelent egy általánosan elismert fogalmi alap, amely nélkül az információbiztonság problémáinak megvitatása is nehézkes lenne.
Meg kell jegyezni, hogy a Narancssárga könyvben rejlő hatalmas ideológiai potenciál még mindig nagyrészt kihasználatlan. Ez mindenekelőtt a technológiai garancia fogalmát érinti, amely a rendszer teljes életciklusára kiterjed - a specifikációk kidolgozásától az üzemeltetési fázisig. A modern programozási technológiával az így létrejövő rendszer nem tartalmazza az eredeti specifikációban szereplő információkat, a programok szemantikájára vonatkozó információk elvesznek.