ГОСТ Р ИСО МЭК 15408-2 2007 (1027764), страница 32
Текст из файла (страница 32)
Он не накладываетникаких ограничений на операции, не входящие в это множество, в том числе и операции на объектах, на которых иные операции управляются.F.1.2.2 ОперацииF.1.2.2.1 НазначениеВ FDP_ACC.1.1 автору ПЗ/ЗБ следует специфицировать уникально именованную ПФБуправления доступом, осуществляемую ФБО.В FDP_ACC.1.1 автору ПЗ/ЗБ следует специфицировать список субъектов, объектов и операций субъектов на объектах, на которые распространяется данная ПФБ.160ГОСТ Р ИСО/МЭК 15408-2—…(проект, окончательная редакция)F.1.3 FDP_ACC.2 Полное управление доступомF.1.3.1 Замечания по применению для пользователяКомпонент FDP_ACC.2 содержит требование, чтобы ПФБ управления доступом распространялась на все возможные операции над объектами, включенными в ПФБ.Автору ПЗ/ЗБ необходимо продемонстрировать, что на любую комбинацию объектов и субъектов распространяется какая-либо ПФБ управления доступом.F.1.3.2 ОперацииF.1.3.2.1 НазначениеВ FDP_ACC.2.1 автору ПЗ/ЗБ следует специфицировать уникально именованную ПФБуправления доступом, осуществляемую ФБО.В FDP_ACC.2.1 автору ПЗ/ЗБ следует специфицировать список субъектов и объектов, на которые распространяется данная ПФБ.
ПФБ будет распространяться на все операции между этимисубъектами и объектами.F.2 Функции управления доступом (FDP_ACF)F.2.1 Замечания для пользователяСемейство FDP_ACF описывает правила для конкретных функций, которые могут реализовать политики управления доступом, именованные в FDP_ACC «Политика управления доступом».В FDP_ACC также определяется область действия этих политик.Это семейство позволяет автору ПЗ/ЗБ описать правила управления доступом. В результатеправила доступа к объектам системы не будут изменяться. Примером такого объекта являетсярубрика "Новости дня", которую читать могут все, а изменять – только уполномоченный администратор.
Это семейство также позволяет автору ПЗ/ЗБ устанавливать исключения из общих правилуправления доступом. Такие исключения будут явно разрешать или запрещать авторизацию доступа к объекту.Спецификация других возможных типов функций управления, таких как двойное управление,правила последовательности операций или управление исключениями, явно не предусмотрена.Однако эти механизмы, как и механизм дискреционного управления доступом, можно представитьс помощью имеющихся компонентов при внимательном отношении к формулированию правилуправления доступом.В этом семействе можно определить ряд ФБ управления доступом, имеющих в основе:– списки контроля доступа (матрица доступа);– спецификации управления доступом на основе времени;– спецификации управления доступом на основе источника;– атрибуты управления доступом, управляемые их владельцем.F.2.2 FDP_ACF.1 Управление доступом, основанное на атрибутах безопасностиF.2.2.1 Замечания по применению для пользователяКомпонент FDP_ACF.1 содержиттрибутах безопасности субъектов и объектов.
Каждый объект исубъект имеет совокупность ассоциированных с ним атрибутов, таких как расположение, время создания, права доступа (например, списки контроля доступа). Этот компонент позволяет автору ПЗ/ЗБспецифицировать атрибуты, которые будут использоваться для посредничества при управлении доступом, а также правила управления доступом на основе этих атрибутов.Примеры атрибутов, которые может назначать автор ПЗ/ЗБ, представлены ниже.161ГОСТ Р ИСО/МЭК 15408-2—…(проект, окончательная редакция)Атрибут "идентификатор" может быть ассоциирован с пользователями, субъектами или объектами для использования при посредничестве.
Примерами этого атрибута могут быть имя загрузочного модуля программы, используемой при создании субъекта, или атрибут безопасности, назначенный загрузочному модулю программы.Атрибут "время" может использоваться для определения, что доступ будет предоставлятьсятолько в указанные время суток, дни недели или календарный год.Атрибут "местоположение" мог бы определять место как формирования запроса на операцию, так и выполнения операции, либо то и другое. Применение таких атрибутов может основываться на внутренних таблицах для сопоставления логических интерфейсов ФБО с местами расположения терминалов, процессоров и т.д.Атрибут "группирование" позволяет, в целях управления доступом, ассоциировать единуюгруппу пользователей с некоторой операцией. При необходимости, для спецификации максимального числа групп пользователей, пользователей в группе и групп, в которые может одновременновходить пользователь, следует использовать операцию уточнения.Компонент FDP_ACF.1 содержит также требования, дающие функциям управления доступомвозможность явно предоставлять или запрещать доступ к объектам на основании атрибутов безопасности.
Его можно использовать для предоставления полномочий, прав доступа или разрешения доступа в пределах ОО. Такие полномочия, права или разрешения можно применять к пользователям, субъектам (представляющим пользователей или приложения) и объектам.F.2.2.2 ОперацииF.2.2.2.1 НазначениеВ FDP_ACF.1.1 автору ПЗ/ЗБ следует специфицировать имя ПФБ управления доступом,осуществляемой ФБО. Имя и область действия ПФБ управления доступом определяются в компонентах семейства FDP_ACC.В FDP_ACF.1.1 автору ПЗ/ЗБ следует специфицировать атрибуты безопасности и/или именованные группы атрибутов безопасности, которые функция будет использовать при спецификации правил, для каждого управляемого субъекта или объекта. Такими атрибутами безопасностимогут быть, например, идентификатор пользователя, идентификатор субъекта, роль, время суток,местоположение, списки контроля доступа, а также любые другие атрибуты, специфицированныеавтором ПЗ/ЗБ.
Для удобства ссылок на атрибуты безопасности неоднократного применения можно ввести именованные группы атрибутов безопасности. Именованные группы могут оказаться полезными при ассоциации "ролей", определенных в семействе FMT_SMR «Роли управления безопасностью», и соответствующих им атрибутов с субъектами. Другими словами, каждую роль можносвязать с именованной группой атрибутов.В FDP_ACF.1.2 автору ПЗ/ЗБ следует специфицировать для данной ПФБ правила управления доступом контролируемых субъектов к контролируемым объектам и к контролируемым операциям на контролируемых объектах.
Эти правила определяют, когда доступ предоставляется, а когда в нем отказано. В них могут быть специфицированы функции управления доступом общего характера (использующие, например обычные биты разрешения) или структурированные функцииуправления доступом (использующие, например, списки контроля доступа).В FDP_ACF.1.3 автору ПЗ/ЗБ следует специфицировать основанные на атрибутах безопасности правила, которые будут использоваться для явного разрешения доступа субъектов к объектам и дополняют правила, установленные в FDP_ACF.1.1. Они вынесены в отдельный элементFDP_ACF.1.3, поскольку описывают исключения из правил, установленных в FDP_ACF.1.1.
Например, правила явного разрешения доступа могут быть основаны на векторе полномочий, ассоциированном с субъектом и всегда обеспечивающим ему доступ к объектам, на которые распространяется специфицируемая ПФБ управления доступом. Если подобная возможность нежелательна,то автору ПЗ/ЗБ следует указать "Нет" в данной операции.В FDP_ACF.1.4 автору ПЗ/ЗБ следует специфицировать основанные на атрибутах безопасности правила, которые будут использоваться для явного отказа в доступе субъектов к объектам и162ГОСТ Р ИСО/МЭК 15408-2—…(проект, окончательная редакция)дополняют правила, установленные в FDP_ACF.1.1. Они вынесены в отдельный элементFDP_ACF.1.4, поскольку описывают исключения из правил, установленных в FDP_ACF.1.1.
Например, правила явного отказа в доступе могут быть основаны на векторе полномочий, ассоциированном с субъектом и явно отказывающем ему в доступе к объектам, на которые распространяется специфицируемая ПФБ управления доступом. Если подобная возможность нежелательна, тоавтору ПЗ/ЗБ следует указать "Нет" в данной операции.F.3 Аутентификация данных (FDP_DAU)F.3.1 Замечания для пользователяСемейство FDP_DAU описывает специальные функции, используемые для аутентификации"статических" данных.Компоненты этого семейства используют при наличии требования аутентификации "статических" данных, т.е., когда данные обозначаются, но не передаются. (Заметим, что при передачеданных для обеспечения неотказуемости отправления информации используют семействоFCO_NRO).F.3.2 FDP_DAU.1 Базовая аутентификация данныхF.3.2.1 Замечания по применению для пользователяКомпонент FDP_DAU.1 может быть реализован с помощью односторонних хэш-функций(криптографической контрольной суммы, отображения отпечатков пальцев, хэш-образа сообщения) для генерации хэш-значения определяемого документа, которое может использоваться приверификации правильности или подлинности содержащейся в нем информации.F.3.2.2 ОперацииF.3.2.2.1 НазначениеВ FDP_DAU.1.1 автору ПЗ/ЗБ следует специфицировать список объектов или типов информации, для которых ФБО должны быть в состоянии генерировать свидетельство аутентификацииданных.В FDP_DAU.1.2 автору ПЗ/ЗБ следует специфицировать список субъектов, которые будут всостоянии верифицировать свидетельства аутентификации данных для объектов, указанных впредыдущем элементе.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
