ГОСТ Р ИСО МЭК 15408-2 2007 (1027764), страница 51
Текст из файла (страница 51)
Ихпримерами могут быть: сообщения, запросы на обслуживание, ответы на запросы обслуживания,сеансы пользователей.В FPT_RPL.1.2 автору ПЗ/ЗБ следует специфицировать список действий, предпринимаемыхФБО при обнаружении повторного использования. Совокупность предпринимаемых действий может включать в себя игнорирование повторно используемой сущности, запрос подтверждениясущности из идентифицированного источника и отключение субъекта, пытавшегося инициироватьповторное использование.J.10 Посредничество при обращениях (FPT_RVM)J.10.1 Замечания для пользователяТребования семейства FPT_RVM связаны с аспектом "постоянная готовность" традиционного монитора обращений. Цель этого семейства состоит в обеспечении для заданной ПФБ, чтобы вОДФ все действия, требующие осуществления политики и инициируемые субъектами, недоверенными относительно одной или всех ПФБ, над объектами, управляемыми этой ПФБ, проверялисьФБО на соответствие ПФБ. Если помимо этого часть ФБО, осуществляющая ПФБ, выполняет требования соответствующих компонентов из семейств FPT_SEP «Разделение домена» и ADV_INT«Внутренняя структура ФБО», то эта часть ФБО обеспечивает "монитор обращений" для этойПФБ.Монитор обращений является частью ФБО, ответственной за осуществление ПБО, и обладает следующими тремя свойствами.a) Недоверенные субъекты не могут вмешиваться в работу монитора, т.е.
он устойчив к проникновению. Это свойство обеспечивается требованиями компонентов семейства FPT_SEP «Разделение домена».b) Недоверенные субъекты не могут обойти проверки монитора, т.е. он постоянно готов к работе. Это свойство обеспечивается требованиями компонентов семейства FPT_RVM «Посредничество при обращениях».c) Монитор достаточно прост, его устройство поддается анализу, его действия понятны (т.е.его построение концептуально несложно). Это свойство обеспечивается требованиями компонентов семейства ADV_INT «Внутренняя структура ФБО».В единственном компоненте семейства FPT_RVM содержится требование: "ФБО должныобеспечить, чтобы функции, осуществляющие ПБО, вызывались и успешно выполнялись прежде,чем разрешается выполнение любой другой функции в пределах ОДФ". В любой системе (распределенной или нет) имеется конечное число функций, ответственных за осуществление ПБО.
Вэтом требовании не утверждается, что для управления безопасностью применяется одна функция.Наоборот, утверждается, что роль механизма проверки правомочности обращений выполняют несколько функций, и именно их совокупность, осуществляющая ПБО, объединена под именем монитора обращений. При этом необходимо принимать во внимание задачу сохранения простоты"монитора обращений".ФБО при реализации ПФБ предоставляют эффективную защиту от несанкционированныхопераций тогда и только тогда, когда правомочность всех потенциально осуществляемых действий(например, доступа к объектам), запрошенных субъектами, недоверенными относительно всех илиименно этой ПФБ, проверяется ФБО до выполнения действий. Если действия по проверке будутвыполнены неправильно или проигнорированы (обойдены), то осуществление ПФБ в целом можетбыть поставлено под угрозу (ее можно обойти).
Тогда "недоверенные" субъекты смогут обходитьПФБ различными способами (такими, как обход проверки доступа для некоторых субъектов и объ-225ГОСТ Р ИСО/МЭК 15408-2—…(проект, окончательная редакция)ектов, обход проверки для объектов, чья защита управляется прикладными программами, сохранение права доступа после истечения установленного срока действия, обход аудита событий,подлежащих аудиту, обход аутентификации).
Важно отметить, что термин "недоверенный субъект"относится к субъектам, недоверенным относительно какой-либо или всех осуществляемых ПФБ;субъект может быть доверенным относительно одной ПФБ и недоверенным относительно другой.J.10.2 FPT_RVM.1 Невозможность обхода ПБОJ.10.2.1 Замечания по применению для пользователяДля получения эквивалента монитора обращений необходимо применить данный компонентсовместно либо с FPT_SEP.2 «Отделение домена ПФБ», либо с FPT_SEP.3 «Полный монитор обращений», а также с ADV_INT.3 «Минимизация сложности».
Кроме того, если требуется полноепосредничество при обращениях, требования компонентов из класса FDP «Защита данных пользователя» необходимо распространить на все объекты в составе ОО.J.11 Разделение домена (FPT_SEP)J.11.1 Замечания для пользователяКомпоненты семейства FPT_SEP обеспечивают, чтобы, по меньшей мере, один домен безопасности был доступен только для собственного выполнения ФБО, и чтобы они были защищены отвнешнего вмешательства и искажения (например, модификации кода или структур данных ФБО)со стороны недоверенных субъектов. Выполнение требований этого семейства устанавливает такую самозащиту ФБО, что недоверенный субъект не сможет модифицировать или повредить ФБО.Это семейство содержит следующие требования.a) Ресурсы домена безопасности ФБО ("защищенного домена") и ресурсы субъектов и активных сущностей, внешних по отношению к этому домену, разделяются так, что сущности, внешние по отношению к защищенному домену, не смогут получить или модифицировать данные иликод ФБО в пределах защищенного домена.b) Обмен между доменами управляется так, что невозможен произвольный вход в защищенный домен или произвольный выход из него.c) Параметры пользователя или прикладной программы, переданные в защищенный доменпо адресу, проверяются относительно адресного пространства защищенного домена, а переданные по значению – относительно значений, ожидаемых этим доменом.d) Защищенные домены субъектов разделены, за исключением случаев, когда совместноеиспользование одного домена управляется ФБО.Это семейство применяется, когда требуется уверенность в том, что ФБО не подверженывнешнему воздействию.Для получения эквивалента монитора обращений необходимо применить компонентFPT_SEP.2 «Отделение домена ПФБ» или FPT_SEP.3 «Полный монитор обращений» совместно сFPT_RVM.1 «Невозможность обхода ПБО» и ADV_INT.3 «Минимизация сложности».
Кроме того,если требуется полное посредничество при обращениях, требования компонентов из класса FDP«Защита данных пользователя» необходимо распространить на все объекты.J.11.2 FPT_SEP.1 Отделение домена ФБОJ.11.2.1 Замечания для пользователяБез отдельного защищенного домена для ФБО не может быть доверия тому, что ФБО неподвергались каким-либо воздействиям со стороны недоверенных субъектов. Такие воздействиямогут привести к модификации кода и/или структур данных ФБО.J.11.3 FPT_SEP.2 Отделение домена ПФБJ.11.3.1 Замечания по применению для пользователя226ГОСТ Р ИСО/МЭК 15408-2—…(проект, окончательная редакция)Наиболее важной функцией ФБО является поддержка осуществляемых ими ПФБ. Чтобы упростить разработку ПФБ и приблизить их свойства к свойствам монитора обращений, в частности,к стойкости к воздействиям, функции, проводящие ПФБ, необходимо сосредоточить в домене, отличном от остальной части ФБО.J.11.3.2 Замечания по применению для оценщикаВозможно, что монитор обращений в многоуровневом проекте предоставляет больше функций, чем требуется в ПФБ.
Это проистекает из практической реализации многоуровневого проектапрограммного обеспечения. При этом функции, не относящиеся к ПФБ, следует свести к минимуму.Допустимо, чтобы мониторы обращений для всех осуществляемых ПФБ находились как водном домене монитора обращений, так и в нескольких доменах (каждый используется для осуществления одной или нескольких ПФБ).
Если имеется несколько доменов монитора обращенийдля нескольких ПФБ, они могут или быть равноправными, или образовывать иерархию.Для FPT_SEP.2.1 фраза "неизолированная часть ФБО" относится к той части ФБО, котораяне охвачена в FPT_SEP.2.3.J.11.3.3 ОперацииJ.11.3.3.1 НазначениеВ FPT_SEP.2.3 автору ПЗ/ЗБ следует специфицировать те ПФБ управления доступом и/илиинформационными потоками, которым следует занимать отдельный домен.J.11.4 FPT_SEP.3 Полный монитор обращенийJ.11.4.1 Замечания по применению для пользователяНаиболее важной функцией из числа ФБО является поддержка осуществляемых ими ПФБ.Компонент FPT_SEP.3 завершает требования предыдущих компонентов семейства, устанавливая,что все функции безопасности, проводящие ПФБ управления доступом и/или информационнымипотоками, будут выполняться в домене, отличном от домена выполнения остальных ФБО.
Это упрощает разработку ФБО и приближает их свойства к свойствам монитора обращений, в частности,к стойкости к воздействиям.J.11.4.2 Замечания по применению для оценщикаВозможно, что монитор обращений в многоуровневом проекте предоставляет больше функций, чем требуется в ПФБ. Это проистекает из практической реализации многоуровневого проектапрограммного обеспечения. При этом функции, не относящиеся к ПФБ, следует свести к минимуму.Допустимо, чтобы мониторы обращений для всех осуществляемых ПФБ находились как водном домене монитора обращений, так и в нескольких доменах (каждый используется для осуществления одной или нескольких ПФБ). Если имеется несколько доменов монитора обращенийдля нескольких ПФБ, они могут или быть равноправными, или образовывать иерархию.J.12 Протокол синхронизации состояний (FPT_SSP)J.12.1 Замечания для пользователяРаспределенные системы могут иметь большую сложность, чем нераспределенные, из-замногообразия состояний частей системы, а также из-за задержек связи.
В большинстве случаевсинхронизация состояния между распределенными функциями включает в себя, вместо обычныхдействий, применение протокола обмена. Когда в среде распределенных систем существуют угрозы безопасности, потребуются более сложные защищенные протоколы.Семейство FPT_SSP «Протокол синхронизации состояний» устанавливает требование использования надежных протоколов некоторыми критичными по безопасности функциями из числа227ГОСТ Р ИСО/МЭК 15408-2—…(проект, окончательная редакция)ФБО. Оно обеспечивает, чтобы две распределенные части ОО (например, главные ЭВМ) синхронизировали свои состояния после действий, связанных с безопасностью.Некоторые состояния невозможно синхронизировать, или затраты на транзакцию будутслишком велики для практического применения; отмена ключа шифрования является примером,когда после выполнения действия состояние может стать неопределенным.
Либо действие предпринято, а подтверждение не может быть отправлено, либо сообщение проигнорировано получателем, и поэтому отмена не произойдет. Неопределенность присуща распределенным системам.Проблема неопределенности связана с необходимостью синхронизации состояний и может решаться соответствующими методами. Планировать неопределенные состояния бесполезно; в подобных случаях автору ПЗ/ЗБ следует прибегнуть к другим требованиям (например, подача сигнала тревоги, проведение аудита).J.12.2 FPT_SSP.1 Одностороннее надежное подтверждениеJ.12.2.1 Замечания по применению для пользователяВ компоненте FPT_SSP.1 необходимо, чтобы по запросу ФБО предоставляли подтверждение для другой части ФБО.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
