Сервер аутентифікації Kerberos. 6 страница

Варто враховувати ще принаймні два моменти. По-перше, для кожного сервісу основні межі ІБ (доступність, цілісність, конфіденційність) трактуються по-своєму. Цілісність із погляду системи керування базами даних і з погляду поштового сервера - речі принципово різні. Безглуздо говорити про безпеку локальної або іншої мережі взагалі, якщо мережа містить у собі різнорідні компоненти. Варто аналізувати захищеність сервісів, що функціонують у мережі. Для різних сервісів і захист будують по-різному. По-друге, основна загроза інформаційної безпеки організацій як і раніше виходить не від зовнішніх зловмисників, а від власних співробітників.

У силу викладених причин далі будуть розглядатися розподілені, різнорідні, багатосервісні еволюціонуючі системи. Відповідно, нас буде цікавити рішення, орієнтоване на подібні конфігурації.

7.3. Архітектурна безпека

Сервіси безпеки, якими б потужними вони не були, самі по собі не можуть гарантувати надійність програмно-технічного рівня захисту. Тільки перевірена архітектура здатна зробити ефективним об'єднання сервісів, забезпечити керованість інформаційної системи, її здатність розвиватися й протистояти новим загрозам при збереженні таких властивостей як висока продуктивність, простота й зручність використання.

Теоретичною основою рішення проблеми архітектурної безпеки є наступне фундаментальне твердження, що ми вже наводили, розглядаючи інтерпретацію "Помаранчевої книги" для мережевих конфігурацій.

"Нехай кожен суб'єкт (тобто процес, що діє від імені якого-небудь користувача) укладений усередині одного компонента й може здійснювати безпосередній доступ до об'єктів тільки в межах цього компонента. Далі нехай кожен компонент містить свій монітор обігів, що відслідковує всі локальні спроби доступу, і всі монітори проводять у життя погоджену політику безпеки. Нехай, нарешті, комунікаційні канали, шо зв'язують компоненти, зберігають конфіденційність і цілісність переданої інформації. Тоді сукупність усіх моніторів утворить єдиний монітор обігів для всієї мережевої конфігурації."

Звернемо увагу на три принципи, які містяться в наведеному твердженні:

* необхідність розробки й впровадження в життя єдиної політики безпеки;

* необхідність забезпечення конфіденційності й цілісності при мережевих взаємодіях;

* необхідність формування складових сервісів по змістовному принципу, щоб кожен отриманий у такий спосіб компонентів мав повний набір захисних засобів і із зовнішньої точки зору представляв собою єдине ціле (не повинно бути інформаційних потоків, що йдуть до незахищених сервісів).

Якщо який-небудь (складовий) сервіс не має повного набору захисних засобів (склад повного набору описаний вище), необхідне залучення додаткових сервісів, які ми будемо називати екранованими. Екрановані сервіси встановлюються на шляхах доступу до не досить захищених елементів; у принципі, один такий сервіс може екранувати (захищати) велику кількість елементів.

Із практичної точки зору найбільш важливими є наступні принципи архітектурної безпеки:

* безперервність захисту в просторі й часі, неможливість оминути захисні засоби;

* наслідування визнаним стандартам, використання апробованих рішень;

* ієрархічна організація ІС із невеликою кількістю сутностей на кожному рівні;

* посилення найслабшої ланки;

* неможливість переходу в небезпечний стан;

* мінімізація привілеїв;

* поділ обов'язків;

* системність оборони;

* розмаїтість захисних засобів;

* простота й керованість інформаційної системи. Пояснимо зміст перерахованих принципів.

Якщо у зловмисника або незадоволеного користувача з'явиться можливість оминути захисні засоби, він, зрозуміло, так і зробить. Визначені вище екрановані сервіси повинні виключити подібну можливість.

Наслідування визнаним стандартам і використання апробованих рішень підвищує надійність ІС і зменшує ймовірність потрапляння в тупикову ситуацію, коли забезпечення безпеки зажадає непомірно великих витрат і принципових модифікацій.

Ієрархічна організація 1С із невеликою кількістю сутностей на кожному рівні необхідна з технологічних міркувань. При порушенні даного принципу система стане некерованою й, отже, забезпечити її безпеку буде неможливо.

Надійність будь-якої оборони визначається найслабшою ланкою. Зловмисник не буде боротися проти сили, він віддасть перевагу легкій перемозі над слабкістю. (Зазвичай найслабшою ланкою виявляється не комп'ютер або програма, а людина, і тоді проблема забезпечення інформаційної безпеки набуває нетехнічного характеру).

Принцип неможливості переходу в небезпечний стан означає, що при будь-яких обставинах, у тому числі позаштатних, захисний засіб або повністю виконує свої функції, або повністю блокує доступ. Образно кажучи, якщо в міцності механізм звідного моста ламається, міст залишають піднятим, перешкоджаючи проходу ворога.

Стосовно програмно-технічного рівня принцип мінімізації привілеїв пропонує виділяти користувачам й адміністраторам тільки ті права доступу, які необхідні їм для виконання службових обов'язків. Цей принцип дозволяє зменшити збиток від випадкових або навмисних некоректних дій користувачів й адміністраторів.

Принцип поділу обов'язків припускає такий розподіл ролей і відповідальності, щоб одна людина не могла порушити критично важливий для організації процес або створити пролом у захисті за замовленням зловмисників. Зокрема, дотримання даного принципу особливо важливо, щоб запобігти зловмисним або некваліфікованим діям системного адміністратора.

Принцип ешелонованості оборони пропонує не покладатися на один захисний рубіж, яким би надійним він не здавався. Після засобів фізичного захисту повинні слідувати програмно-технічні засоби, за ідентифікацією й аутентифікацією - керування доступом й, як останній рубіж, - протоколювання й аудит. Ешелонована оборона здатна, принаймні, затримати зловмисника, а завдяки наявності такого рубежу, як протоколювання й аудит, його дії не залишаться непоміченими.

Принцип розмаїтості захисних засобів припускає створення різних за своїм характером оборонних рубежів, щоб від потенційного зловмисника вимагалося б оволодіння різноманітними й, по можливості, несумісними між собою навичками.

Для забезпечення високої доступності (безперервності функціонування) необхідно дотримуватися наступних принципів архітектурної безпеки:

* внесення в конфігурацію тієї або іншої форми надмірності (резервне устаткування, запасні канали зв'язку й т.п.);

* наявність засобів виявлення позаштатних ситуацій;

* наявність засобів реконфігурування для відновлення ізоляції й/або заміни компонентів, що відмовили або піддалися атаці на доступність;

* роззосередженість мережевого керування, відсутність єдиної крапки відмови;

* виділення підмереж та ізоляція груп користувачів один від одного. Даний захід, що є узагальненням поділу процесів на рівні операційної системи, обмежує зону поразки при можливих порушеннях інформаційної безпеки.

Ще один важливий архітектурний принцип - мінімізація обсягу захисних засобів, що виносять на клієнтські системи. Причин тому декілька:

* для доступу в корпоративну мережу можуть використовуватися споживчі пристрої з обмеженою функціональністю;

* конфігурацію клієнтських систем важко або неможливо контролювати. До необхідного мінімуму варто віднести реалізацію сервісів безпеки на мережевому й транспортному рівнях і підтримку механізмів аутентифікації, стійких до мережевих загроз.

Розділ 8. Ідентифікація й аутентифікація, керування доступом

 

8.1. Ідентифікація й аутентифікація

Ідентифікацію й аутентифікацію можна вважати основою програмно-технічних засобів безпеки, оскільки інші сервіси розраховані на обслуговування іменованих суб'єктів. Ідентифікація й аутентифікація - це перша лінія оборони, "прохідна" інформаційного простору організації.

Ідентифікація дозволяє суб'єктові (користувачеві, процесу, що діє від імені певного користувача, або іншому апаратно-програмному компоненту) назвати себе (повідомити своє ім'я). За допомогою аутентифікації друга сторона переконується, що суб'єкт дійсно той, за кого він себе видає. Як синонім слова "аутентифікація" іноді використовують словосполучення "перевірка дійсності".

(Помітимо в дужках, що походження україномовного терміна "аутентифікація" не зовсім зрозуміло. Англійське "authentication" скоріше можна прочитати як "аутентикація"; важко сказати, звідки в середині узялося ще "фі" - може, з ідентифікації? Проте, термін устоявся, він закріплений у Керівних документах України, використаний у численних публікаціях, тому виправити його вже неможливо.)

Аутентифікація буває однобічної (звичайно клієнт доводить свою дійсність серверу) і двосторонньої (взаємної). Приклад однобічної аутентифікації - процедура входу користувача в систему.

У мережевому середовищі, коли сторони ідентифікації/аутентифікації територіально рознесені, у розглянутого сервісу є два основних аспекти:

* що служить аутентифікатором (тобто використовується для підтвердження дійсності суб'єкта);

* як організований (і захищений) обмін даними ідентифікації/аутентифікації.

Суб'єкт може підтвердити свою дійсність, пред'явивши принаймні одну з наступних сутностей:

* щось, що він знає (пароль, особистий ідентифікаційний номер, криптографічний ключ і т.п.);

* щось, чим він володіє (особисту картку або інший пристрій аналогічного призначення);

* щось, що є частиною його самого (голос, відбитки пальців і т.п., тобто свої біометричні характеристики).

У відкритому мережевому середовищі між сторонами ідентифікації/аутентифікації не існує довіреного маршруту; це значить, що в загальному випадку дані, передані суб'єктом, можуть не збігатися з даними, отриманими й використаними для перевірки дійсності. Необхідно забезпечити захист від пасивного й активного прослуховування мережі, тобто від перехоплення, зміни й/або відтворення даних. Передача паролів у відкритому вигляді, мабуть, незадовільна; не рятує положення й шифрування паролів, тому що воно не захищає від відтворення. Потрібні більш складні протоколи аутентифікації.

Надійна ідентифікація й аутентифікація ускладнена не тільки через мережеві загрози, але й з цілого ряду причин. По-перше, майже всі аутентификаційні сутності можна довідатися, украсти або підробити. По-друге, є протиріччя між надійністю аутентифікації, з одного боку, і зручностями користувача й системного адміністратора з іншогої. Так, з міркувань безпеки необхідно з певною частотою просити користувача повторно вводити аутентифікаційну інформацію (адже на його місце могла сісти інша людина), а це не тільки клопітно, але й підвищує ймовірність того, що хтось може підглянути за уведенням даних. По-третє, чим надійніший засіб захисту, тим він дорожчий.

Сучасні засоби ідентифікації/аутентифікації повинні підтримувати концепцію єдиного входу в мережу. Єдиний вхід у мережу - це, у першу чергу, вимога зручності дтя користувачів. Якщо в корпоративній мережі багато інформаційних сервісів, що допускають незалежний обіг, то багаторазова ідентифікація/аутентифікація стає занадто обтяжною. На жаль, поки не можна сказати, що єдиний вхід у мережу став нормою, що домінантні рішення поки не сформувалися.

Таким чином, необхідно шукати компроміс між надійністю, доступністю за ціною й зручністю використання й адміністрування засобів ідентифікації й аутентифікації.

Цікаво відзначити, що сервіс ідентифікації/аутентифікації може стати об'єктом атак на доступність. Якщо система сконфігурована так, що після певного числа невдалих спроб пристрій уведення ідентифікаційної інформації (таке, наприклад, як термінал) блокується, то зловмисник може припинити роботу легального користувача буквально декількома натисканнями клавіш.

8.2. Парольна аутентифікація

Головне достоїнство парольної аутентифікації - простота й звичність. Паролі давно вбудовані в операційні системи й інші сервіси. При правильному використанні паролі можуть забезпечити прийнятний для багатьох організацій рівень безпеки. Проте, по сукупності характеристик їх варто визнати найслабшим засобом перевірки дійсності.

Щоб пароль був запам'ятовуваним, його найчастіше роблять простим (ім'я подруги, назва спортивної команди й т.п.). Однак простий пароль неважко вгадати, особливо якщо знати пристрасті даного користувача. Відома класична історія про радянського розвідника Рихарда Зорге, об'єкт уваги якого через слово говорив "карамба"; зрозуміло, цим же словом відкривався надсекретний сейф.

Іноді паролі із самого початку не зберігаються в таємниці, тому що мають стандартні значення, зазначені в документації, і далеко не завжди після установки системи виробляється їхня зміна.

Уведення пароля можна підглянути. Іноді для підглядання використовуються навіть оптичні прилади.

Паролі нерідко повідомляють колегам, щоб ті могли, наприклад, підмінити на якийсь час власника пароля. Теоретично в подібних випадках більш правильно залучити засоби керувань доступом, але на практиці так ніхто не робить: а таємниця, яку знають двоє, це вже не таємниця.

Пароль можна вгадати "методом грубої сили", використовуючи, скажемо, словник. Якщо файл паролів зашифрований, але доступний для читання, його можна скачати до себе на комп'ютер і спробувати підібрати пароль, запрограмувавши повний перебір (передбачається, що алгоритм шифрування відомий).

Проте, важливі заходи дозволяють значно підвищити надійність парольного захисту:

* накладення технічних обмежень (пароль повинен бути не занадто коротким, він повинен містити букви, цифри, знаки пунктуації й т.п.);

* керування терміном дії паролів: їхня періодична зміна;

* обмеження доступу до файлу паролів;

* обмеження числа невдалих спроб входу в систему, це утруднить застосування "методу грубої сили"):

* навчання користувачів;

* використання програмних генераторів паролів (така програма, грунтуючись на нескладних правилах, може породжувати тільки благозвучні й, отже, запам'ятовувані паролі).

Перераховані заходи доцільно застосовувати завжди, навіть якщо поряд з паролями використовуються інші методи аутентифікації.

8.3. Одноразові паролі

Розглянуті вище паролі можна назвати багаторазовими: їхнє розкриття дозволяє зловмисникові діяти від імені легального користувача. Набагато сильнішім засобом, стійким до пасивного прослуховування мережі, є одноразові паролі.

Найбільш відомим програмним генератором одноразових паролів є система S/KEY компанії Bellcore. Ідея цієї системи полягає в наступному. Нехай є однобічна функція f (тобто функція, обчислити зворотну якої за прийнятний час неможливо). Ця функція відома й користувачеві, і серверу аутентифікації. Нехай, далі, є секретний ключ К, відомий тільки користувачеві.

На етапі початкового адміністрування користувача функція f застосовується до ключа К п разів, після чого результат зберігається на сервері. Після цього процедура перевірки дійсності користувача виглядає таким чином:

* сервер надсилає на користувальницьку систему число (п-1);

* користувач застосовує функцію до секретного ключа К (п-1) разів і відправляє результат по мережі на сервер аутентифікації;

* сервер застосовує функцію f до отриманого від користувача значення й порівнює результат з раніше збереженою величиною. У випадку збігу дійсність користувача вважається встаноаченою, сервер запам'ятовує нове значення (прислане користувачем) і зменшує на одиницю лічильник (п).

Насправді реалізація влаштована навряд чи складніше (крім лічильника, сервер посилає значення, використовуване функцією f), але для нас зараз це не важливо. Оскільки функція f незворотня, перехоплення пароля, так само як і одержання доступу до сервера аутентифікації, не дозволяють довідатися секретний ключ К і передбачити наступний одноразовий пароль.

Система S/KEY мас статус Internet-стандарту (RFC 1938).

Інший підхід до надійної аутентифікації складається в генерації нового пароля через невеликий проміжок часу (наприклад, кожних 60 секунд), для чого можуть використовуватися програми або спеціальні інтелектуальні карти (із практичної точки зору такі паролі можна вважати одноразовими). Серверу аутентифікації повинен бути відомий алгоритм генерації паролів й асоційовані з ним параметри; крім того, годинники клієнта й сервера повинні бути синхронізовані.

Сервер аутентифікації Kerberos.

Kerberos - це програмний продукт, розроблений у середині 1980-х років у Масачусетському технологічному інституті і зазнав з тих часів, принципових змін. Клієнтські компоненти Kerberos присутні в більшості сучасних операційних систем.

Kerberos призначений для рішення наступного завдання. Є відкрита (незахищена) мережа, у вузлах якої зосереджені суб'єкти - користувачі, а також клієнтські й серверні програмні системи. Кожен суб'єкт має секретний ключ. Щоб суб'єкт С міг довести свою дійсність суб'єктові S (без цього S не стане обслуговувати С), він повинен не тільки назвати себе, але й продемонструвати знання секретного ключа. С не може просто надіслати S свій секретний ключ, по-перше, тому, що мережа відкрита (доступна для пасивного й активного прослуховування), а, по-друге, тому, що S не знає (і не повинен знати) секретний ключ С. Потрібен менш прямолінійний спосіб демонстрації знання секретного ключа.

Система Kerberos являє собою довірену третю сторону (тобто сторону, якій довіряють усе), яка володіє секретними ключами суб'єктів, яких обслуговують, і допомагаючої їм у попарній перевірці дійсності.

Щоб за допомогою Kerberos одержати доступ до S (звичайно це сервер), С (як правило - клієнт) посилає Kerberos запит, що містить відомості про нього (клієнта) і про запитувану послугу. У відповідь Kerberos повертає так званий квиток, зашифрований секретним ключем сервера, і копію частини інформації із квитка, зашифрований секретним ключем клієнта. Клієнт повинен розшифрувати другу порцію даних і переслати її разом із квитком серверу. Сервер, розшифрувавши квиток, може порівняти його вміст із додатковою інформацією, присланої клієнтом. Збіг свідчить про те, що клієнт зміг розшифрувати призначені йому дані (адже вміст квитка нікому, крім сервера й Kerberos, недоступний), тобто продемонстрував знання секретного ключа. Виходить, клієнт - саме той, за кого себе видає. Підкреслимо, що секретні ключі в процесі перевірки дійсності не передавалися по мережі (навіть у зашифрованому вигляді) - вони тільки використовувалися для шифрування. Як організований первинний обмін ключами між Kerberos і суб'єктами і як суб'єкти зберігають свої секретні ключі - питання окреме.

Проілюструємо описану процедуру.

1. Клієнт С —> Kerberos: c, s,... (клієнт надає Kerberos інформацію про себе і про запитуваний сервіс)

2. Kerberos —> клієнт С: (dl) Кс, (Tc.s) Ks (Kerberos повертає білет, закодований ключем сервера, і додаткову інформацію, закодовану ключем клієнта)

3. Клієнт С —> сервер S: d2, (Tc.s) Ks (клієнт надає на сервер білет і додаткову інформацію)

Тут с та s - відомості (наприклад, ім'я), відповідно, про клієнта й сервер, dl та d2 - додаткова (стосовно квитка) інформація, Tc.s - квиток для клієнта С на обслуговування в сервера S, Кс й Ks - секретні ключі клієнта й сервера, {info}K - інформація info, зашифрована ключем К.

Наведена схема - украй спрощена версія реальної процедури перевірки дійсності. Більш докладний розгляд системи Kerberos можна знайти, наприклад, у статті В. Галатенко "Сервер аутентифікації Kerberos" (Jet Info, 1996, 12-13). Нам же важливо відзначити, що Kerberos не тільки стійкий до мережевих загроз, але й підтримує концепцію єдиного входу в мережу.

8.4. Ідентифікація/аутентифікація за допомогою біометричних даних

Біометрія являє собою сукупність автоматизованих методів ідентифікації й/або аутентифікації людей на основі їх фізіологічних і поведінкових характеристик. До числа фізіологічних характеристик відносяться особливості відбитків пальців, сітківки й роговиці очей, геометрія руки й особи й т.п. До поведінкових характеристик відносяться динаміка підпису (ручний), стиль роботи із клавіатурою. На стику фізіології й поводження перебувають аналіз особливостей голосу й розпізнавання мови.

Біометрією в усьому світі займаються дуже давно, однак довгий час усе, що було пов'язане з нею, відрізнялося складністю й дорожнечею. Останнім часом попит на біометричні продукти, у першу чергу у зв'язку з розвитком електронної комерції, постійно й досить інтенсивно росте. Це зрозуміло, оскільки з погляду користувача набагато зручніше пред'явити себе самого, ніж щось запам'ятовувати. Попит народжує пропозиція, і на ринку з'явилися відносно недорогі апаратно-програмні продукти, орієнтовані в основному на розпізнавання відбитків пальців.

У загальному вигляді робота з біометричними даними організована в такий спосіб. Спочатку створюється й підтримується база даних характеристик потенційних користувачів. Для цього біометричні характеристики користувача знімаються, обробляються, і результат обробки (названий біометричним шаблоном) заноситься в базу даних (вихідні дані, такі як результат сканування пальця або роговиці, звичайно не зберігаються).

Надалі для ідентифікації (і одночасно аутентифікації) користувача процес зняття й обробки повторюється, після чого виробляється пошук у базі даних шаблонів. У випадку успішного пошуку особистість користувача і її дійсність уважаються встановленими.

Для аутентифікації досить зробити порівняння з одним біометричним шаблоном, обраним на основі попередньо уведених даних.

Звичайно біометрію застосовують разом з іншими аутентифікаторами, такими, наприклад, як інтелектуальні карти. Іноді біометрична аутентифікація є лише першим рубежем захисту й слугує для активізації інтелектуальних карт, що зберігають криптографічні секрети; у такому випадку біометричний шаблон зберігається на тій же карті.

Активність в області біометрії дуже велика. Організовано відповідний консорціум (див. http://www.biometrics.org). Активно ведуться роботи зі стандартизації різних аспектів технології (формату обміну даними, прикладного програмного інтерфейсу й т.п.), публікується маса рекламних статей, у яких біометрія підноситься як засіб забезпечення надбезпеки, що стало доступним широким масам.

На наш погляд, до біометрії варто ставитися досить обережно. Необхідно враховувати, що вона піддана тим же загрозам, що й інші методи аутентифікації. По-перше, біометричний шаблон порівнюється не з результатом первинної обробки характеристик користувача, а з тим, шо прийшло до місця порівняння. А, як відомо, під час маршрутизації багато чого може відбутися. По-друге, біометричні методи не надійніші, ніж база даних шаблонів. По-третє, варто враховувати різницю між застосуванням біометрії на контрольованій території, під пильним оком охорони, і в "польових" умовах, коли, наприклад до пристрою сканування роговиці можуть піднести муляж і т.п. По-четверте, біометричні дані людини змінюються, так що база шаблонів має потребу в супроводі, що створює певні проблеми і для користувачів, і для адміністраторів.

Але головна небезпека полягає в тому, що будь-яка "пробоїна" для біометрії виявляється фатальною. Паролі, при всій їхній ненадійності, у крайньому випадку, можна змінити. Загублену аутентифікаційну карту можна анулювати й завести нову. Палець же, око або голос змінити не можна. Якщо біометричні дані виявляться скомпрометовані, доведеться як мінімум робити істотну модернізацію всієї системи.

8.5. Керування доступом. Основні поняття

Із традиційної точки зору засоби керування доступом дозволяють специфікувати і контролювати дії, які суб'єкти (користувачі й процеси) можуть виконувати над об'єктами (інформацією й іншими комп'ютерними ресурсами). У даному розділі мова йде про логічне керування доступом, що, на відміну від фізичного, реалізується програмними засобами. Логічне керування доступом - це основний механізм багатокористувальницьких систем, покликаний забезпечити конфіденційність і цілісність об'єктів й, певною мірою, їхня доступність (шляхом заборони обслуговування неавторизованих користувачів).

Розглянемо формальну постановку завдання в традиційному трактуванні. Є сукупність суб'єктів і набір об'єктів. Завдання логічного керування доступом полягає в тому, щоб для кожної пари "об'єкт-об'єкт-суб'єкт-об'єкт" визначити безліч припустимих операцій (залежне, може бути, від деяких додаткових умов) і контролювати виконання встановленого порядку.

Відношення "об'єкт-об'єкти-суб'єкти-об'єкти" можна представити у вигляді матриці доступу, у рядках якої перераховані суб'єкти, у стовпчиках - об'єкти, а в клітинках, розташованих на перетині рядків і стовпчик, записані додаткові умови (наприклад, час і місце дії) і дозволені види доступу. Фрагмент матриці може виглядати, наприклад так:

Таблиця 8.1. Фрагмент матриці доступу

	Файл	Програма	Лінія зв'язку	Реляційна таблиця
Користувач - 1	orw системної консолі	е	ГУ/ з 8:00 до 18:00
Користувач - 2				а
„о"- означає дозвіл на передачу прав доступу іншим користувачам „г"- читання, „%'"- запис, „є"- виконання, „а"- додавання інформації

Тема логічного керування доступом - одна з найскладніших в області інформаційної безпеки. Справа в тому, що саме поняття об'єкта (а тим більше видів доступу) змінюється від сервісу до сервісу. Для операційної системи до об'єктів відносяться файли, пристрої й процеси. Стосовно файлів і пристроїв звичайно розглядаються права на читання, запис, виконання (для програмних файлів), іноді на видалення й додавання. Окремим правом може бути можливість передачі повноважень доступу іншим суб'єктам (так зване право володіння). Процеси можна створювати й знищувати. Сучасні операційні системи можуть підтримувати й інші об'єкти.

Дія систем керування реляційними базами даних об'єкт - це база даних, таблиця, подання, збережена процедура. До таблиць застосовуються операції пошуку, додавання, модифікації й видаленні даних, в інших об'єктів інші види доступу. Розмаїтість об'єктів і застосовуваних до них операцій призводить до: принципової децентралізації логічного керування доступом. Кожен сервіс повинен сам вирішувати, чи дозволити конкретному суб'єктові ту або іншу операцію. Теоретично це узгоджується із сучасним об'єктно-орієнтованим підходом, на практиці ж призводить до значних труднощів. Головна проблема в тім, що багатьом об'єктам можна одержати доступ за допомогою різних сервісів (можливо, при цьому доведеться перебороти деякі технічні труднощі). Так, до реляційних таблиць можна дістатися не тільки засобами СУБД, але й шляхом безпосереднього читання файлів або дискових розділів, підтримуваних операційною системою (розібравшись попередньо в структурі зберігання об'єктів бази даних). У результаті при завданні матриці доступу потрібно брати до уваги не тільки принцип розподілу привілеїв для кожного сервісу, але й існуючі зв'язки між сервісами (доводиться піклуватися про узгодженість різних частин матриці). Аналогічні труднощі виникають при експорті/імпорті даних, коли інформація про права доступу, як правило, губиться (оскільки на новому сервісі вона не має змісту). Отже, обмін даними між різними сервісами становить особливу небезпеку з погляду керування доступом, а при проектуванні й реалізації різнорідної конфігурації необхідно подбати про погоджений розподіл прав доступу суб'єктів до об'єктів і про мінімізацію числа способів експорту/імпорту даних.

Контроль прав доступу виробляється різними компонентами програмного середовища - ядром операційної системи, сервісами безпеки, системою керування базами даних, програмним забезпеченням проміжного шару (таким, як монітор транзакцій) і т.д. Проте, можна виділити загальні критерії, на підставі яких вирішується питання про надання доступу, і загальні методи зберігання матриці доступу.

При ухваленні рішення про надання доступу звичайно аналізується наступна інформація:

• ідентифікатор суб'єкта (ідентифікатор користувача, мережна адреса комп'ютера й т.п.). Подібні ідентифікатори є основою довільного (абодискреційного) керування доступом;

• атрибути суб'єкта (мітка безпеки, група користувача й т.п.). Мітки

безпеки - основа примусового (мандатного) керування доступом.

Матрицю доступу, через її розрідженість (більшість клітинок - порожні), нерозумно зберігати у вигляді двомірного масиву. Звичайно її зберігають по стовпчиках, тобто для кожного об'єкта підтримується список "допущених" суб'єктів разом з їхніми правами. Елементами списків можуть бути імена груп і шаблони суб'єктів, що слугує більшою допомогою адміністраторові. Деякі проблеми виникають тільки при видаленні суб'єкта, коли доводиться видаляти його ім'я із усіх списків доступу; втім, ця операція проробляється нечасто.

Списки доступу - винятково гнучкий засіб. З їхньою допомогою легко виконати вимогу про гранулярність прав з точністю до користувача. За допомогою списків нескладно додати права або явно заборонити доступ (наприклад, щоб покарати декількох членів групи користувачів). Безумовно, списки є кращим засобом довільного керування доступом.