Мандатное управление доступом#

Примечание

Термин «мандатный»» означает обязательный, необходимый, принудительный.

Мандатное управление доступом (МРД) обеспечивает защиту информации различных уровней конфиденциальности путем управления доступом к конфиденциальным данным.

Дискреционное управление доступом в ОС на основе Linux, позволяет пользователям самим назначать права доступа других пользователей к своим данным.

Это допускает возможность разглашения пользователем доступной ему конфиденциальной информации, путем предоставления доступа к ней другим пользователям, в т.ч. не имеющим допуска к конфиденциальной информации.

В целях ограничения возможностей по предоставлению доступа к конфиденциальным данным в СЗИ PARSEC ОС СН Astra Linux Special Edition реализовано мандатное управление доступом.

Реализация МРД основана на метках кофиденциальности, присваиваемых субъектам (пользователям, процессам) и сущностям (файлам, каталогам).

Метка конфиденциальности включает:

  • иерархический уровень конфиденциальности, реализованый в виде целого числа без знака длиной 1 байт и диапазоном значений от 0 до 255 (uint8_t);

  • неиерархическую категорию конфиденциальности, реализованную в виде 64-битной маски, беззнаковой величины (uint64_t).

При установке ОС по умолчанию предлагается диапазон уровней конфиденциальности от 0 до 3, и набор категорий конфиденциальности 0, 1 и 2. Диапазон значений допустимых уровней и категорий конфиденциальности при необходимости могут быть изменены после установки ОС.

МРД охватывает следующие компоненты:

  • межпроцессное взаимодействие IPC;

  • стек TCP/IP (IPv4, IPv6);

  • файловые системы ext2/ext3/ext4/XFS;

  • сетевые файловые системы CIFS, OCFS2, Ceph;

  • файловые системы proc, tmpfs.

Метка конфиденциальности присваивается каждому пользователю при входе в сеанс.

Метка конфиденциальности сущностей (файлов, каталогов), присваивается при их создании и равна метке конфиденциальности субъекта, который их создал.

Мандатное разграничение доступа к данным в соответствии с их уровнями конфиденциальности показано на рисунке 1.

../../../_images/mrd.jpg

Рисунок 1 - Мандатное разграничение доступа к данным различных уровней конфиденциальности#

В целях обеспечения возможности изменения правил назначения меток конфиденциальности или изменения значений уже созданных меток конфиденциальности, в ОС СН Astra Linux Special Edition реализованы PARSEC-привилегии, которые могут быть присвоены субъектам и позволяют изменить порядок назначения меток безопасности и предоставления доступа на чтение, исполнение и запись.

Совет

Подробнее об МРД можно узнать в Эксплуатационной документации на ОС СН Astra Linux Special Edition в Руководстве по КСЗ.