Kriterier for at bestemme sikkerheden af computersystemer ( eng. Trusted Computer System Evaluation Criteria ) er en standard fra det amerikanske forsvarsministerium , der fastlægger de grundlæggende betingelser for evaluering af effektiviteten af computersikkerhedsværktøjer indeholdt i et computersystem. Kriterier bruges til at definere, klassificere og udvælge computersystemer til behandling, lagring og hentning af følsomme eller følsomme oplysninger.
Ofte omtalt som Orange Book , er kriterierne centrale i DoD's "Rainbow Series" -publikationer . Oprindeligt udgivet af National Computer Security Center , en afdeling af National Security Agency, i 1983 og derefter opdateret i 1985 .
Analogen til Orange Book er den internationale standard ISO/IEC 15408 , udgivet i 2005. Dette er en mere universel og avanceret standard, men i modsætning til populær misforståelse erstattede den ikke Orange Book på grund af forskellige jurisdiktioner af dokumenter - Orange Book bruges udelukkende af det amerikanske forsvarsministerium , mens ISO/IEC 15408 er blevet ratificeret af mange lande, herunder Rusland.
Department of Defense Trusted Computer System Evaluation Criteria, TCSEC , DoD 5200.28 -STD, 26. december 1985, bedre kendt som " Orange Bog" ) på grund af omslagets farve.
Denne standard har modtaget international anerkendelse og har haft en usædvanlig stærk indflydelse på den efterfølgende udvikling inden for informationssikkerhed (IS).
Denne standard refererer til evalueringsstandarder (klassificering af informationssystemer og sikkerhedsværktøjer ), og den handler ikke om sikre, men om betroede systemer .
Der er ingen absolutte systemer (herunder sikre) i vores liv. Derfor blev det foreslået kun at vurdere graden af tillid, der kan gives til et bestemt system.
Standarden indeholder det konceptuelle grundlag for informationssikkerhed ( sikkert system , betroet system , sikkerhedspolitik , sikringsniveau , ansvarlighed , betroet computerbase , opkaldsmonitor , sikkerhedskerne , sikkerhedsperimeter ).
Sikkerhed og tillid vurderes i denne standard med hensyn til informationsadgangskontrol, som er et middel til at sikre fortrolighed og integritet .
En hel " Rainbow Series " fulgte "Orange Book" . Den mest betydningsfulde i den var fortolkningen af "Orange Book" til netværkskonfigurationer ( English National Computer Security Center. Trusted Network Interpretation , NCSC-TG-005, 1987), hvor den første del fortolker "Orange Book", og anden del beskriver tjenesternes sikkerhed, der er specifik for netværkskonfigurationer.
Sikkerhedspolitikker bør være detaljerede, klart definerede og bindende for et computersystem. Der er to hovedsikkerhedspolitikker:
Individuelt ansvar, uanset politik, bør være obligatorisk. Der er tre ansvarskrav:
Computersystemet skal indeholde hardware- og/eller softwaremekanismer, der selvstændigt kan afgøre, om der gives tilstrækkelig sikkerhed for, at systemet overholder ovenstående krav. Derudover skal sikkerhed omfatte sikkerhed for, at den sikre del af systemet kun fungerer efter hensigten. For at nå disse mål er der brug for to typer garantier og deres tilsvarende elementer:
Hver klasse har et ekstra sæt dokumenter, der er adresseret til udviklere, brugere og systemadministratorer i overensstemmelse med deres autoritet. Denne dokumentation indeholder:
Det er et system, der styrer adgangen til information, således at kun autoriserede personer eller processer, der handler på deres vegne, har tilladelse til at arbejde med oplysningerne.
Et betroet system i standarden forstås som et system, der bruger hardware og software til at sikre samtidig behandling af oplysninger af forskellige kategorier af hemmeligholdelse af en gruppe af brugere uden at krænke adgangsrettigheder.
Det er et sæt love, regler, procedurer og adfærdskodekser, der styrer, hvordan en organisation behandler, beskytter og distribuerer information. Desuden henviser sikkerhedspolitikken til aktive beskyttelsesmetoder, da den tager højde for analysen af mulige trusler og valget af passende modforanstaltninger.
Det indebærer en grad af tillid, der kan gives til arkitekturen og implementeringen af et informationssystem, og viser, hvor korrekte mekanismerne er ansvarlige for implementering af sikkerhedspolitik (passivt aspekt af beskyttelse).
Ansvarsgruppen bør omfatte følgende krav:
Dette er et sæt af beskyttelsesmekanismer i et informationssystem (både software og hardware), der implementerer en sikkerhedspolitik.
Kontrol over udførelsen af subjekter (brugere) af visse operationer på objekter ved at kontrollere adgangen (for en given bruger) til programmer og data ved hjælp af et tilladt sæt handlinger.
Obligatoriske egenskaber for en opkaldsmonitor:
En konkret implementering af en opkaldsmonitor, der med garanti er uforanderlig.
Dette er grænsen for den pålidelige computerbase.
Ellers frivillig adgangskontrol.
Frivillig adgangskontrol er en metode til at begrænse adgangen til objekter baseret på identiteten af subjektet eller den gruppe, som subjektet tilhører. Frivillig forvaltning er, at en person (normalt ejeren af objektet) efter eget skøn kan give andre subjekter eller fratage dem adgangsrettigheder til objektet.
De fleste operativsystemer og DBMS implementerer frivillig adgangskontrol. Dens største fordel er fleksibilitet, de største ulemper er spredningen af ledelsen og kompleksiteten af centraliseret kontrol, samt isoleringen af adgangsrettigheder fra data, som gør det muligt at kopiere hemmelige oplysninger til offentlige filer eller hemmelige filer til ubeskyttede mapper.
Genbrugssikkerhed for objekter er en vigtig tilføjelse til adgangskontrol i praksis, der beskytter mod utilsigtet eller bevidst udtrækning af hemmelige oplysninger fra "skraldet". Genbrugssikkerhed skal garanteres for områder af hovedhukommelsen (især for buffere med skærmbilleder, dekrypterede adgangskoder osv.), for diskblokke og magnetiske medier generelt. Det er vigtigt at være opmærksom på det næste punkt. Da information om emner også er et objekt, skal du sørge for sikkerheden ved at "genbruge emner". Når en bruger forlader organisationen, bør du ikke kun forhindre dem i at logge ind, men også nægte dem adgang til alle objekter. Ellers kan den nye medarbejder få den tidligere brugte identifikator og dermed alle sin forgængers rettigheder.
Nutidens smarte perifere enheder gør det sværere at sikre genbrug af objekter. Faktisk kan printeren buffer adskillige sider af et dokument, som forbliver i hukommelsen, selv efter at udskrivningen er afsluttet. Det er nødvendigt at træffe særlige foranstaltninger for at "skubbe" dem ud derfra.
Etiketter er givet for emner (grad af troværdighed) og objekter (grad af informationsfortrolighed). Sikkerhedsetiketter indeholder data om sikkerhedsniveauet og den kategori, som dataene tilhører. Ifølge Orange Book består sikkerhedsetiketter af to dele – et sikkerhedsniveau og en liste over kategorier. De sikkerhedsniveauer, der understøttes af systemet, danner et ordnet sæt, som kan se sådan ud, for eksempel:
For forskellige systemer kan sættet af sikkerhedsniveauer variere. Kategorierne udgør et uordnet sæt. Deres formål er at beskrive det emneområde, som dataene tilhører. I et militært miljø kan hver kategori fx svare til en bestemt type våben. Kategoriemekanismen giver dig mulighed for at opdele information i rum, hvilket bidrager til bedre sikkerhed. Emnet kan ikke få adgang til "fremmede" kategorier, selvom deres sikkerhedsniveau er "tophemmeligt". En tankspecialist vil ikke genkende de taktiske og tekniske data for fly.
Hovedproblemet, der skal løses i forbindelse med etiketter, er at sikre deres integritet. For det første må der ikke være umærkede emner og objekter, ellers vil der være let udnyttelige huller i mærket sikkerhed. For det andet, for enhver operation med dataene, skal etiketterne forblive korrekte. Det gælder især eksport og import af data. For eksempel skal et udskrevet dokument åbne med en overskrift, der indeholder en tekstlig og/eller grafisk repræsentation af sikkerhedsetiketten. På samme måde, når en fil overføres over en kommunikationskanal, skal den etiket, der er knyttet til den, også transmitteres, og på en sådan måde, at fjernsystemet kan parse den, på trods af mulige forskelle i hemmeligholdelsesniveauer og et sæt kategorier.
Et af midlerne til at sikre integriteten af sikkerhedsetiketter er opdelingen af enheder i multi-level og single-level enheder. Enheder på flere niveauer kan gemme information på forskellige niveauer af hemmeligholdelse (mere præcist, liggende i et bestemt niveau af niveauer). En enkelt-niveau enhed kan betragtes som et degenereret tilfælde af en multi-level enhed, når det tilladte område består af et enkelt niveau. Ved at kende enhedens niveau kan systemet beslutte, om det er tilladt at skrive information til den med en bestemt etiket. For eksempel vil et forsøg på at udskrive tophemmelige oplysninger på en offentlig printer med et "ikke-hemmeligt" niveau mislykkes.
Tvungen adgangskontrol er baseret på matchning af emne- og objektsikkerhedsetiketter. Et emne kan læse information fra et objekt, hvis emnets sikkerhedsniveau er mindst lige så højt som objektets, og alle kategorier, der er angivet i objektets sikkerhedsmærkat, er til stede i emnets etiket. I et sådant tilfælde siges emnets etiket at dominere objektets etiket. Et emne kan skrive information til et objekt, hvis objektets sikkerhedsmærke dominerer emnets sikkerhedsmærke. Især kan et "fortroligt" emne skrive til hemmelige filer, men ikke til ikke-hemmelige (selvfølgelig skal begrænsninger på kategorisættet også være opfyldt). Ved første øjekast kan denne begrænsning virke underlig, men den er ganske rimelig. Under ingen operation bør niveauet af informationshemmelighed sænkes, selvom den omvendte proces er meget mulig.
Den beskrevne metode til adgangskontrol kaldes tvungen, da den ikke afhænger af forsøgspersonernes vilje, i hvis sted selv systemadministratorer kan være. Efter at sikkerhedsetiketterne for emner og objekter er rettet, er adgangsrettighederne også fastsat. Med hensyn til tvangskontrol er det umuligt at udtrykke sætningen "Tillad adgang til objekt X også for bruger Y". Selvfølgelig kan du ændre sikkerhedsetiketten for bruger Y, men så vil han højst sandsynligt få adgang til mange ekstra objekter, og ikke kun X.
Tvungen adgangskontrol er implementeret i mange varianter af operativsystemer og DBMS, som er kendetegnet ved forbedrede sikkerhedsforanstaltninger. Især findes sådanne muligheder for SunOS og Ingres DBMS. Uanset praktisk anvendelse er principperne for tvungen kontrol et praktisk metodisk grundlag for den indledende klassificering af oplysninger og fordeling af adgangsrettigheder. Det er mere bekvemt at tænke i sikkerhedsniveauer og kategorier end at udfylde en ustruktureret adgangsmatrix. Men i det virkelige liv kombineres frivillig og tvungen adgangskontrol inden for det samme system, hvilket giver dig mulighed for at bruge styrkerne ved begge tilgange.
Kriterierne er opdelt i 4 sektioner: D, C, B og A, hvoraf sektion A er den sikreste. Hver deling repræsenterer en væsentlig forskel i tillid for individuelle brugere eller organisationer. Afsnit C, B og A er hierarkisk organiseret i en række underafsnit kaldet klasser: C1, C2, B1, B2, B3 og A1. Hver sektion og klasse udvider eller supplerer kravene specificeret i det foregående afsnit eller klasse.
Systemer, for hvilke sikkerheden er blevet vurderet, men fundet ikke at opfylde kravene i højere sektioner.
Kriterierne introducerede for første gang fire niveauer af tillid - D, C, B og A, som er opdelt i klasser. Der er kun seks sikkerhedsklasser - C1, C2, B1, B2, B3, A1 (angivet i rækkefølge efter skærpede krav).
Dette niveau er beregnet til systemer, der anses for utilfredsstillende.
Ellers vilkårlig adgangskontrol.
Klasse C1Sikkerhedspolitikken og sikkerhedsniveauet for en given klasse skal opfylde følgende kritiske krav:
Ud over C1:
Også omtalt som tvungen adgangskontrol.
Klasse B1Ud over C2:
Ud over B1:
Ud over B2:
Det kaldes verificerbar sikkerhed.
Klasse A1Ud over B3:
Dette er klassifikationen introduceret i Orange Book. Kort fortalt kan det formuleres som følger:
Der kan naturligvis komme en række alvorlige bemærkninger til "Kriterier ..." (såsom f.eks. fuldstændig tilsidesættelse af problemer, der opstår i distribuerede systemer). Ikke desto mindre skal det understreges, at udgivelsen af Orange Bog uden nogen overdrivelse var en skelsættende begivenhed inden for informationssikkerhed. Der er opstået et generelt anerkendt begrebsgrundlag, uden hvilket selv diskussion af problemerne med informationssikkerhed ville være vanskelig.
Det skal bemærkes, at det enorme ideologiske potentiale i Orange Book stadig stort set ikke er gjort krav på. Først og fremmest drejer det sig om konceptet teknologisk sikring, der dækker hele systemets livscyklus - fra udvikling af specifikationer til driftsfasen. Med moderne programmeringsteknologi indeholder det resulterende system ikke de oplysninger, der er til stede i de originale specifikationer, information om programmernes semantik går tabt.