DE69029880T2

DE69029880T2 - Verfahren zur Versorgung der Sicherung von Datei-Zwangsheimlichkeit und -Integrität in einem Computersystem

Info

Publication number: DE69029880T2
Application number: DE69029880T
Authority: DE
Inventors: Larry A Wehr
Original assignee: Novell Inc
Current assignee: Micro Focus Software Inc
Priority date: 1989-06-30
Filing date: 1990-06-20
Publication date: 1997-08-21
Anticipated expiration: 2010-06-21
Also published as: CA2018319A1; CA2018319C; EP0407060B1; JPH0341535A; EP0407060A2; DE69029880D1; EP0407060A3

Description

Technisches Sachgebiet

Die Erfindung bezieht sich auf das Gebiet der Sicherheit in Computersystemen allgemein und insbesondere auf die Zwangssteuerung eines sicheren Zugriffs auf Files bzw. Dateien in einem Computersystem durch Benutzer, die sowohl gemäß der Geheimhaltungs- als auch der Datenintegritäts-Klassifikationen autorisiert sind.

Hintergrund der Erfindung

Computersicherheit wird eine zunehmend wichtige und dringende Auflage. Als Beweis hierfür ist die heutige Besorgnis in Bezug auf Computerviren, die, wenn sie in Computersysteme eingebracht sind, die Fähigkeit besitzen, nicht geschützte Daten zu lesen und/oder zu zerstören. Tatsächlich hat eine Anzahl solcher Virusanschläge kürzlich weltweite Aufmerksamkeit auf sich gezogen.
Computersicherheit ist ein umfassender Ausdruck. Traditionell umfaßt er viele Aspekte des Schutzes eines Computers oder eines Computersystems. Sicherheitsauflagen umfassen einen Systemzugriff durch nicht autorisierte Benutzer oder Programme und eine Beschränkung eines Dateizugriffs von eingeschränkten Benutzern oder Gruppen von Benutzern basierend auf Begriffen einer Sicherheit. In den letzten paar Jahren hat die Sicherheit auch damit begonnen, Begriffe von Dateizugriffseinschränkungen basierend auf einer wahrgenommenen Integrität, d.h. Rechtschaffenheit oder Gültigkeit, der Daten, die in den Dateien gespeichert sind, zu umfassen. Die Idee einer Sicherheit, die auf einer Daten-Integrität basiert, begann mit einer Veröffentlichung von K.J. Biba im Aprill 1977 mit dem Titel "INTEGRITY CONSIDERATIONS FOR SECURE COMPUTER SYSTEMS"; Deputy for Command and Management Systems; Electronic Systems Division, ASFC; Hanscom Air Force Base; Bedford, MA; Technical Report ESD-TR-76-372. Derzeit ist allgemein erkannt, daß hohe Sicherheitssysteme Elemente sowohl eines Geheimschutzes als auch eines Integritätsschutzes umfassen. Ein Geheimschutz ist primär auf das Verhindern eines Lesezugriffs auf Informationen durch nicht autorisierte Benutzer gerichtet. Ein Integritätsschutz ist pirmär auf das Verhindern einer nicht autorisierten Modifikation der Informationen, die in einem Computersystem gespeichert sind, gerichtet. Dennoch umfassen die unterschiedlichen Zwecke eines Geheim- und Integritätsschutzes, d.h. eine Observation und Modifikation jeweils, beide Arten eines Schutzes Aspekte einer Observation (Lesen von Daten) und Modifikation (Schreiben von Daten). Ohne sich in unnötigem Detail zu verlieren werden Regeln, die eine Geheimhaltung und Integrität führen, gewöhnlich wie folgt angegeben. Für eine Geheimhaltung kann ein Benutzer nicht Daten beobachten (lesen), ohne daß der Benutzer eine Geheimhaltungserlaubnis gleich oder größer als diejenige der Daten besitzt, und ein Benutzer kann nicht Daten modifizieren (schreiben), ohne daß der Benutzer eine Geheimhaltungserlaubnis gleich zu oder niedriger als diejenige der Daten besitzt. Für Integritätszwecke werden die Regeln umgekehrt. Ein Benutzer kann Daten nicht modifizieren (schreiben), ohne daß der Benutzer eine Integritätserlaubnis gleich oder größer als diejenige der Daten besitzt, und ein Benutzer kann nicht Daten lesen, ohne daß der Benutzer eine Integritätserlaubnis gleich oder niedriger als diejenigen der Daten besitzt. In einigen Systemen wird ein Datei-Beschreiben verhindert, ohne daß die Geheimhaltungs- und/oder Integritäts-Label bzw. Kennzeichen identisch sind. Die Regeln, die einer Geheimhaltung zugeordnet sind, stellen sicher, daß Daten nur nach oben in Bezug auf ein Geheimhaltungs-Niveau übertragen werden können. Die Regeln, die einer Integrität zugeordnet sind, stellen sicher, daß Daten nur nach unten in Bezug auf ein Integritäts-Niveau übertragen werden können.
Derzeit setzten viele kommerzielle Systeme einen gewissen Grad einer Geheimhaltungskontrolle ein. Allerdings setzen sehr wenige Systeme sowohl einen Geheimhaltungs- als auch einen Integritätsschutz ein. Der Grund hierfür ist wie folgt. Obwohl es unter Fachleuten auf dem Fachgebiet ausreichend bekannt ist, daß eine Dualität zwischen einer Geheimhaltung und einer Integrität vorhanden ist, ist die Annahme und die Praxis diejenige, daß die Vorsehung von beiden ähnliche, allerdings separate Durchsetzungs- Verfahrensweisen und -ausführungen erfordert. Das bedeutet, daß die Realisierung sowohl eines Geheimhaltungs- als auch eines Integritätsschutzes in einem einzelnen System separate Label und einen separaten Code zum Durchsetzen der Geheimhaltungsverfahren erfordert, einschließlich des Testens der separaten Geheimhaltungs-Label und der Integritäts-Label bei allen und bei jedem eines direkten und indirekten Dateizugriffs in einem System. Das Testen separater Geheimhaltungs- und Integritäts-Label bei jedem Dateizugriff erfordert wiederum einen zusätzlichen Overhead im Hinblick auf Systemzeit, um die separaten Verfahrensweisen einer Geheimhaltung und einer Integrität durchzusetzen. Kurz gesagt wird derzeit angenommen, daß es zu teuer ist, beide Geheimhaltungsverfahrensweisen in demselben System auszuführen. Demzufolge werden die wenigen Systeme, die höhere Niveaus eines Schutzes umfassen, einschließlich eines Integritäts- und Geheimhaltungsschutzes, die höheren Schutzmaßnahmen gewöhnlich separat unter zusätzlichen Kosten und als optionale Sicherheitseinheiten vermarktet.

Zusammenfassung der Erfindung

Die vorliegende Erfindung schafft die Fähigkeit, Datenzugriffs-Sicherheits- Schutzmaßnahmen basierend auf beiden Geheimhaltungsaspekten zu erzielen, die sich auf Datenobervations- und Integritätsaspekte beziehen, die sich auf die Modifikation der Daten und die wahrgenommene Güte davon beziehen. Dies wird ohne zusätzliche Kosten oder einen Overhead gegenüber herkömmlichen Techniken erreicht, die sich nur auf Schutzmaßnahmen basierend auf nur Sicherheitsaspekten beziehen. Die Erfindung ist ein Verfahren zur Zwangsdurchsetzung von Sicherheits-Schutzmaßnahmen, um einen Zugriff zu Dateien eines Computersystems nur auf Computerprozesse, die geeignet für einen Zugriff autorisiert sind, sicherzustellen. Ein separates Sicherheits-Label wird jeder Datei und jedem Prozeß des Systems zugeordnet und definiert autorisierte Sicherheitsklassen, die sich auf die zugeordnete Datei oder den Prozeß beziehen. Jedes Sicherheits-Label, das einem Prozeß zugeordnet ist, enthält Informationen, die Autorisierungen basierend auf einer Daten-Geheimhaltung und einer Daten-Integrität beschreiben. Ähnlich enthält jede Autorisierung, die einer Datei zugeordnet ist, Informationen basierend sowohl auf Daten-Geheimhaltungs- als auch Daten-Integritäts-Klassen der Prozesse, denen erlaubt ist, in einem Zugriff auf die Datei zu lesen und zu schreiben. Ein Vergleich wird bei einem versuchten Zugriff auf eine Datei durch einen Prozeß des Sicherheits-Labels, das dem Prozeß zugeordnet ist, und des Sicherheits-Labels, das der Datei zugeordnet ist, vorgenommen. Eine Verifikation wird basierend auf dem Vergleich vorgenommen, daß der Prozeß autorisiert ist, um auf die Datei zuzugreifen. Wichtig ist, daß die Verifikation sowohl gemäß dem Geheimhaltungs- als auch dem Integritätsaspekt in einem Einzel-Verifikationsschriff durchgeführt wird.
In einer Ausführungsform folgt der Schritt eines Verifizierens den Regeln, die traditionell einer Datengeheimhaltungs-Durchsetzung zugeordnet sind, nämlich, daß ein Verifizieren bei einem versuchten Lesezugriff, dem das Sicherheits-Label für den Leseprozeß zugeordnet ist, über das Sicherheits-Label dominiert, das dem File bzw. der Datei zugeordnet ist, und eines Verifizierens bei einem versuchten Schreibzugriff, daß das Sicherheits-Label, das der Datei zugeordnet ist, über das Sicherheits-Label dominiert, das dem Schreibprozeß zugeordnet ist. Unter "dominieren" ist gemeint, daß das Geheimhaltungs- Niveau des dominierenden Teils gleich oder größer als dasjenige des dominierten Teils ist, und daß die abteilungsmäßige Erlaubnis für den dominierenden Teil mindestens den Satz abteilungsmäßiger Erlaubnisse für den dominierten Teil umfaßt. In dem vorstehenden Fall wird die Autorisierungs-Information in einem Sicherheits-Label, basierend auf einer Integrität, als das Inverse der tatsächlichen Integritäts-Information gespeichert. Allerdings sind alternative Ausführungsformen ebenso zufriedenstellend, wobei zum Beispiel eine Durchsetzung durch Verifizieren bei einem versuchten Lesezugriff durchgeführt wird, daß das Sicherheits-Label, das der Datei zugeordnet ist, über das Sicherheits-Label dominiert, das dem Prozeß zugeordnet ist, und durch Verifizieren bei einem versuchten Schreibzugriff, daß das Sicherheits-Label, das dem Prozeß zugeordnet ist, über das Sicherheits-Label dominiert, das der Datei zugeordnet ist. In diesem Fall wird die Autorisierungs-Information in einem Sicherheits-Label basierend auf einer Geheimhaltung als das Inverse der tatsächlichen Geheimhaltungs-Information gespeichert.
In einem mehr gattungsgemäßen Sinne kann die Erfindung wie folgt charakterisiert werden. Jedes Sicherheits-Label weist eine Vielzahl von Feldern der Zustände des Aggregats bzw. der Ansammlung auf, die eine Vielzahl von unterschiedlichen Sätzen für Prozesse und Dateien unterschiedlicher Geheimhaltungs-Autorisierungen basierend auf einer Geheimhaltung und Integrität definieren. Der Schritt eines Verifizierens stellt sicher, daß Daten nur zu autorisierten Sätzen bei einem versuchten Dateizugriff fließen. Dies wird durch Verifizieren ausgeführt, daß Daten ermöglicht wird, von einem ersten Satz zu einem zweiten Satz nur dann zu fließen, wenn die Inhalte des Sicherheits-Labels des zweiten Satzes gleich zu allen Autorisierungen ist oder diese umfaßt, die in dem Sicherheits-Label des ersten Satzes enthalten sind. In einem solchen Fall kann es sein, daß es, obwohl die Sicherheits-Label sowohl Sicherheits- als auch Integritäts-Informationen enthalten, nicht notwendigerweise einfach oder möglich ist, separat identifizierbare Teile eines Sicherheits-Labels zu Geheimhaltungs-Autorisierungen oder Integritäts-Autorisierungen zuzuordnen.

Kurze Beschreibung der Zeichnung

In der Zeichnung:
Figur 1 stellt ein erläuterndes Format eines Geheimhaltungs-Labels dar, das durch die Regierung, zum Beispiel verwendet wird, einschließlich eines Geheimhaltungsniveau- Felds und einer Vielzahl von Geheimhaltungs-Abteilungen;
Figur 2 stellt ein erläuterndes Diagramm unterschiedlicher Sätze von Benutzern, Prozessen und Daten-Dateien, die gemäß dem Zustand des Geheimhaltungs-Labels der Figur 1 für jeden Satz definiert sind, und den zugelassenen Datenfluß zwischen dem Satz gemäß den herkömmlichen Regeln, die sich auf Geheimhaltungs-Sicherheits-Kontrollen beziehen, dar;
Figur 3 stellt ein erläuterndes Format eines Integritäts-Label dar;
Figur 4 stellt ein erläuterndes Diagramm unterschiedlicher Sätze von Benutzern, Prozessen und Daten-Dateien, die gemäß dem Zustand des Integritäts-Label der Figur 3 für jeden Satz definiert sind, und den zugelassenen Datenfluß zwischen dem Satz gemäß den herkömmlichen Regeln, die sich auf Integritäts-Sicherheits-Kontrollen beziehen, dar;
Figur 5 stellt ein erläuterndes, einzelnes Sicherheits-Label dar, das in einem einzelnen Label sowohl Geheimhaltungs- als auch Integritäts-Informationen einbezieht;
Figur 6 stellt den zugelassenen Datenfluß zwischen den Sätzen der Figur 1 als Folge des Kombinierens der Geheimhaltungs-Schutzmaßnahmen der Figur 2 und der Integritäts-Schutzmaßnahmen der Figur 4 in einem einzelnen Label und Definieren und Testen der Inhalte des Labels, der Prozesse und der Dateien gemäß einem Aspekt der Erfindung, der die herkömmlichen Regeln eines Geheimhaltungs-Datenflusses einsetzt, dar;
Figur 7 stellt die Datenfluß-Äquivalenz der Figur 6 dar, die durch Definieren und Testen der Inhalte der Prozeß- und Datei-Sicherheits-Label der Figur 5 in einer alternativen Art und Weise erhalten sind, die die herkömmlichen Regeln eines Integritäts-Datenflusses einsetzt; und
Figuren 8, 9 und 10 stellen ein anderes Beispiel eines Systems mit definierten Sätzen von Prozessen und Datein dar, einschließlich erwünschter Einschränkungen in Bezug auf den Datenfluß zwischen den Sätzen, wobei die Sicherheits-Label, die den unterschiedlichen Sätzen zugeordnet sind, sowohl Sicherheits- als auch Integritäts-Informationen umfassen, die in den Labeln als Ganzes derart zusammengefaßt sind, daß sie nicht notwendigerweise separat als Geheimhaltungs-Informationen oder Integritäts-lnformationen identifiziert werden müssen.

Detaillierte Beschreibung

Figur 1 stellt ein vereinfachtes Geheimhaltungs-Label bzw. -Etikett dar, wie es typischerweise durch Systeme verwendet wird, die Geheimhaltungserfordernisse erfüllen, wie sie in dem sogenannten Federal Government Department of Defense ORANGE book, National Computer Security Center, "Department of Defense Trusted Computer System Evaluation Criteria", DOD 5200.28-STD, Dezember 1985, angegeben sind. Ein Abschnitt 10 des Geheimhaltungs-Labels gibt ein Geheimhaltungs-Niveau an, das einem Benutzer oder einer Datei bzw. einem File zugeordnet ist. Beispiele von Geheimhaltungs-Niveaus, die Regierungs- und anderen Systemen zugeordnet sind, umfassen die ausreichend bekannten Klassifikationen TOP SECRET, SECRET AND UNCLASSIFIED (streng geheim, geheim und nicht klassifiziert). In nicht regierungsbezogenen Systemen können diese Label irgendwelche Klassifikationen umfassen, die in erwünschter Weise behandelt werden. Allgemein sind diese Geheimhaltungs-Niveaus binär codiert. Zum Beispiel könnte TOP SECRET als ein Niveau 2 codiert sein, wogegen UNCLASSIFIED als ein Niveau 0 codiert sein könnte.
Ein zweiter Abschnitt 12 eines Geheimhaltungs-Labels gibt eine Zahl unterschiedlicher Abteilungen 14 und 16 in Figur 1 an, auf die sich das Geheimhaltungs-Niveau des Abschnitts 10 bezieht. Als ein Beispiel könnte sich jede Abteilung von 12 auf ein separates Land oder auf einen separaten Block aus Ländern beziehen. Es ist gewöhnlich eine große Anzahl Abteilungen von 12 in irgendeinem realistischen System vorhanden. Für die vorliegenden Zwecke sind nur zwei Abteilungen A und B, 14 und 16, jeweils zur Vereinfachung dargestellt. Die Definitionen der Abteilungen A und B sind für die vorliegenden Zwecke irrelevant. Falls es das Verständnis unterstützt, könnte der Leser zum Beispiel annehmen, daß sich A und B jeweils auf alle nicht kommunistischen und kommunistischen Länder bezieht.
Figur 2 stellt ein erläuterndes Zustandsdiagramm für vier Sätze von Benutzern, Prozessen und Dateien dar, in die ein System-Administrator es wünschen könnte, ein System für Geheimhaltungszwecke aufzuteilen. Die vier Benutzersätze sind illustrativ OBSERVER US, THEM und PUBLIC. Für dieses Beispiel ist anzumerken, daß nur zwei Geheimhaltungs-Niveaus, 0 und 1, erforderlich sind, wie dies durch die erste Ziffer in jedem Satz angegeben ist. Das Sicherheitsniveau ist von den Abteilungen A und B durch ein Komma in der Figur getrennt. Demzufolge besitzt der Satz US zum Beispiel ein Sicherheitsniveau von 0 und die Abteilungen A, B sind auf 1, 0 eingestellt. Die Definition der Abteilungen ist für die Diskussion nicht wichtig. Pfeile zwischen den Benutzersätzen zeigen Richtungen eines erlaubten Datenflusses an. Ein Datenfluß zwischen Sätzen wird durch Anwendung zuvor festgelegter Regeln für erlaubte Dateilesungen und -beschreibungen basierend auf den Geheimhaltungs-Labels der Dateien und Benutzer, oder Prozessen, die Benutzer repräsentieren, bestimmt. Um den Leser daran zu erinnern, sind die Geheimhaltungsregeln diejenigen, daß ein Benutzer oder ein Prozeß eine Datei nur lesen kann, wenn sein Label über dasjenige der Datei dominiert. Umgekehrt kann ein Benutzer oder ein Prozeß eine Datei nur beschreiben, wenn das Datei-Label über dasjenige des Benutzers oder des Prozesses dominiert. Anders ausgedrückt können Daten nur nach oben oder innerhalb eines Satzes in der Geheimhaltungs-Label-Kette fließen. Demzufolge können Benutzer und Prozesse in PUBLIC Dateien schreiben, die in OBSERVE, US, THEM und PUBLIC liegen, da die Geheimhaltungs-Label, die OBSERVE, US, THEM und PUBLIC zugeordnet sind, über die Geheimhaltungs-Label von PUBLIC dominieren. Zusätzlich können Benutzer und Prozesse in US und THEM ein Schreiben in Dateien in OBSERVE aus demselben Grund durchführen. Umgekehrt können Benutzer und Prozesse in OBSERVE Daten von Dateien lesen, die in US, THEM und PUBLIC liegen, da die Geheimhaltungs-Label der Prozesse und der Benutzer in OBSERVE über solche von US, THEM und PUBLIC dominieren. Mit "dominieren" ist gemeint, daß das Geheimhaltungs-Niveau des dominierenden Teils gleich zu oder größer als der dominierte Teil ist, und daß die abteilungsmäßigen Erlaubnisse für den dominierenden Teil mindestens den Satz der abteilungsmäßigen Erlaubnisse für den dominierten Teil umfassen.
Anhang A stellt den Quellencode eines Programms dar, das Geheimhaltungsregeln, die vorstehend diskutiert sind, bei Geheimhaltungs-Labeln anwendet, um die Zulässigkeit versuchter Dateizugriffe zu bestimmen. Der Code ist in der geläufigen C-Programmiersprache geschrieben und sollte leicht für irgendeinen, der mit dieser Sprache vertraut ist, verstanden werden.
Figur 3 stellt ein Integritäts-Label dar, das in einem System verwendet werden könnte, das eine Integritätserhöhung einsetzt. Wie zu sehen ist, ist das erläuternde Integritäts- Label ähnlich zu dem Geheimhaltungs-Label der Figur 1. Ein Integritäts-Niveau 30 ist das Gegenstück des Sicherheits-Niveaus 10 der Figur 1. Integritäts-Niveaus könnten irgendein Satz von Klassifikationen sein, der in einem gegebenen System Sinn macht. Die früher erwähnte Publikation von Biba verwendet dieselben Integritäts-Niveau-Klassifikationen wie die regierungsmäßigen Geheimhaltungs-Klassifikationen, d.h. TOP SECRET, SECRET und UNCLASSIFIED. Für die Zwecke hier werden die erläuternden Integritäts-Klassifikationen HIGH (H), MEDIUM (M) AND LOW (L) angenommen. Das Integritäts-Label kann auch Abteilungen 32 enthalten, die im Prinzip den Sicherheits-Abteilungen des Sicherheits-Labels, wie beispielsweise in Figur 1, entsprechen. Zwei lntegritäts-Abteilungen C und D, 34 und 36, jeweils, sind hier dargestellt. Es können dort so viele Integritäts-Abteilungen vorhanden sein, wie dies in irgendeinem System benötigt wird. Es sollte auch erkannt werden, daß im allgemeinen Integrität-Abteilungen in irgendeinem System bestehen können oder nicht bestehen können, oder nicht in einer Definition zu solchen eines Geheimhaltungs-Labels entsprechen können.
Figur 4 erläutert ein Beispiel eines eingeschränkten Datenflusses basierend auf Integritätsprinzipien. Die Integritäts-Label, die jedem der Sätze OBSERVE, US, THEM und PUBLIC zugeordnet sind, geben die Datenflußregeln wieder, die zuvor erwähnt sind. Dies bedeutet für Integritätszwecke, daß Daten nur nach unten zu Sätzen gleicher oder niedrigerer Integritäts-Label fließen. Demzufolge können in diesem Beispiel Benutzer oder Prozesse in OBSERVE und PUBLIC Dateien in US oder THEM lesen. Benutzer in PUBLIC können Dateien in OBSERVE lesen. Allerdings können Benutzer oder Prozesse in OBSERVE nicht Dateien in PUBLIC, zum Beispiel lesen, da dies, um dies vorzunehmen, ein Datenfluß nach oben erfordern würde (die C-Abteilung in OBSERVE ist höher als die C-Abteilung in PUBLIC). Ähnlich können Benutzer oder Prozesse in OBSERVE Dateien in PUBLIC schreiben, allerdings nicht in US oder THEM.
Gemäß der früheren Annahme und Praxis erfordert das Einsetzen von Geheim- und Integritäts-Schutzmerkmalen, wie dies in den Figuren 2 und 4 dargestellt ist, in einem einzelnen System separate Label, wie beispielsweise solche, die in den Figuren 1 und 3 dargestellt sind, und das separate Prüfen der Label mit einem unterschiedlichen Code, der die geeigneten Datenflußregeln bei jedem Datei-Zugriff, der durch das System durchgeführt wird, anwendet.
Gemäß der Erfindung werden allerdings sowohl ein Sicherheits- als auch Integritätsschutz in einem einzelnen Schritt erreicht, und zwar unter Anwendung nur der Geheimhaltungsregeln, oder alternativ der Integritätsregeln. Demzufolge wird sowohl ein Geheimhaltungs- als auch Integritätsschutz mit einem einzelnen Geheimhaltungs-Label und ohne den System-Overhead über denjenigen hinaus geschaffen, der erforderlich ist, um ein herkömmliches Geheimhaltungs- oder Integritäts-Label zu verarbeiten. Figur 5 stellt ein einzelnes, erläuterndes Geheimhaltungs-Label dar, das sowohl Geheimhaltungs- als auch Integritäts-Daten einsetzt. Ein erster Abschnitt 50 enthält Geheimhaltungs-Niveaus. Ein spearates Bit ist für jedes Niveau TS (TOP SECRET), S (SECRET) und U (UNCLASSIFIED) mit einer "1", zum Beispiel, in einem Bit versehen, das anzeigt, daß das entsprechende Niveau wirksam ist. In diesem Fall würden auch alle niedrigeren Geheimhaltungs-Niveau-Bits eine "1" enthalten, um eine geeignete Dominanz-Beziehung aufrechtzuerhalten. Die Vorsehung einer Niveau-Zahl wie in der herkömmlichen Praxis könnte hier verwendet worden sein. Allerdings wird die Vorsehung separater Geheimhaltungs-Bits zur Vereinfachung verwendet. Zwei Geheimhaltungs-Abteilungs-Bits E und F (52) sind erläuternd vorgesehen. Die Bedeutungen der zwei Abteilungen ist nicht wichtig. Ähnlich sind separate Bits 54 zum Spezifizieren von Integritäts-Niveaus vorgesehen. Zum Zwecke der Diskussion werden diese Integritäts-Niveaus als HIGH INTEGRITY (H), MEDIUM INTEGRITY (M) AND LOW INTEGRITY (L) angenommen. Es sind auch erläuternd zwei Integritätsräume G und H (56) dargestellt.
Im Gegensatz zu dem Fall eines separaten Integritäts-Labels wie in Figur 3 werden die Zustände der Integritäts-Niveau-Bits und der Integritäts-Abteilungen in Figur 5 als inverse Zustände der tatsächlichen Integritäts-Zustände gespeichert. Anders ausgedrückt werden, wenn ein Prozeß oder eine Datei dahingehend betrachtet wird, daß sie eine hohe Integrität für eine Abteilung G erfordern, die tatsächlichen Integritäts-Bit-Zustände von H,M,L,G,H (1,1,1,1,0) in dem Label der Figur 5 als 0,0,0,0,1 gespeichert, und die Datenfluß-Regeln, die sich auf eine Geheimhaltung beziehen, werden auf dieses einzelne Label für Dateizugriffe angewandt. Als eine gleichermaßen zufriedenstellende Alternative könnten die Integritäts-Bit-Zustände als tatsächliche Werte gespeichert werden und die Zustände der Geheimhaltungs-Bits 50 und 52 könnten als deren inverse Werte gespeichert werden. In diesem Fall würden die Datenflußregeln, die sich auf eine Integrität beziehen, bei dem einzelnen Label angewandt werden. Figur 6 stellt einen erlaubten Datenfluß zwischen den Sätzen OBSERVE, US, THEM und PUBLIC durch Kombinieren der Geheimhaltungs- und Integritäts-Label der Figuren 1 und 3 in einem einzelnen Sicherheits-Label dar, wobei die Integritäts-Bits invertiert sind, und durch Anwenden der Datenflußregeln der Geheimhaltung. In dieser Figur ist der Geheimhaltungsbereich der Label von den Integritäts-Bereichen der Label durch Spalten zur Vereinfachung separiert. Auch sind die Integritäts-Zustände invertiert, wie dies vorstehend diskutiert ist. Durch Anwenden der Datenflußregeln der Geheimhaltung, d.h. daß Daten nur nach oben fließen, führt zu der Richtung der Pfeile, wie dies in Figur 6 dargestellt ist. Demzufolge ist durch Kombinieren der Geheimhaltungs- und Integritäts-Einschränkungen der Figuren 2 und 4 jeweils das Ergebnis dasjenige, daß Benutzer und Prozesse in OBSERVE in der Lage sind, nur Dateien zu lesen, die dasselbe Label besitzen, oder von US und THEM, und Benutzer oder Prozesse in US und THEM sind in der Lage, nur Dateien in OBSERVE zu beschreiben. Benutzer und Prozesse in PUBLIC sind in der Lage nur Dateien zu lesen und zu schreiben, die Geheimhaltungs-Label identisch zu denjenigen von PUBLIC besitzen. Alle anderen Datenzugriffe sind verboten. Deshalb werden die Benutzer und Prozesse in PUBLIC von dem Rest des Systems isoliert.
Figur 7 stellt das äquivalente System der Figur 6 dar, mit Ausnahme, daß die Geheimhaltungs-Zustände invertiert sind, im Gegensatz zu den Integritäts-Zuständen, und die Datenflußregeln der Integrität, d.h. Datenflüsse nur nach unten, werden auf versuchte Dateizugriffe angewandt. Wie zu sehen ist, ist der erlaubte Datenfluß in Figur 7 identisch zu demjenigen der Figur 6.
Es wird nun dargestellt werden, daß es für irgendein System möglich ist, sowohl einen Geheimhaltungs- als auch Integritäts-Schutz gemäß den Prinzipien, die hier gelehrt sind, einzusetzen, ohne daß ein System-Designer oder Administrator explizit in Ausdrücken einer Geheimhaltung oder Integrität denken muß. Es ist nur notwendig, daß ein Designer oder ein Administrator in Ausdrücken der erwünschten Einschränkungen in Bezug auf einen Datenfluß zwischen unterschiedlich definierten System-Sätzen der Benutzer oder der Prozesse und Sätzen von Dateien denkt. Wenn die erwünschten Sätze definiert sind und die Datenflußrichtungen eingerichtet sind, werden die Zustände von Geheimhaltungs-Labels eingerichtet, um sicherzustellen, daß erwünschte Einschränkungen in Bezug auf den Datenfluß zwischen Sätzen durch Anwenden entweder der Regeln einer Geheimhaltung oder einer Integrität sichergestellt werden.
Figur 8 stellt wiederum vier Sätze von Benutzern, Prozessen und Dateien, OBSERVE, USERS, PRIVATE und PUBLIC, mit erläuternden Einschränkungen in Bezug auf den Datenfluß zwischen den Sätzen dar. Mit dieser Architektur können Benutzer und Prozesse in OBSERVE Dateien in USERS und PUBLIC lesen, allerdings können sie nicht in USERS oder PUBLIC schreiben. Benutzer und Prozesse in PRIVATE können lesen, allerdings nicht Daten in PUBLIC schreiben. Ähnlich können USERS PUBLIC-Daten lesen, allerdings nicht schreiben. Hier ist eine vollständige Isolation der USERS von den PRIVATE Daten vorhanden. Wenn dieses System ein UNIX Betriebssystem zum Beispiel sein würde, könnte die /etc/passwd-Datei dem Satz PUBLIC zugeordnet sein, allerdings würden die verschlüsselten Passworte in einer Datei in der Einstellung PRIVATE vorhanden sein. Das vertraute Betriebssystem würde dann verhindern, daß USERS solche sensitiven Daten, wie die verschlüsselten Passworte, lesen oder schreiben. Ein Administrator würde sich, wenn er privilegierte Aufgaben durchführt, in das System an dem Satz PRIVATE einloggen. Die Systembefehle, die zum Durchführen der privilegierten Aufgaben erforderlich sind, würden in ausführbaren Dateien, auch in dem Satz PRIVATE, enthalten sein. Derselbe Administrator würde, während er auf USER-Problemen arbeitet, in das System in dem Satz OBSERVE eingeloggt werden. Dies würde Administratoren vor den ausreichend bekannten Sicherheitsverletzungen schützen, die auftreten können, wenn böswillige Benutzer versuchen, einen Administrator im Ausführen privilegierter Befehle zu hintergehen. Es ist auch anzumerken, daß ein Datei-Zugriff einen direkten ebenso wie einen indirekten Zugriff umfassen kann, bei denen die erwünschten Datenflußregeln zutreffen. Unter Verwendung des UNIX Betriebssystems wiederum als ein Beispiel können, soweit Prozesse betroffen sind, Vorrichtungen bloß Dateien sein, denen ein Sicherheits-Label zugeordnet ist, und solche nun ausreichend bekannte Operatoren, wie Datei-Umleitungen (> ) und Leitungen (I), sind auch indirekte Datei-Zugriffe, bei denen die Datenflußregeln angewandet werden.
Eine wichtige Sache, die in Bezug auf das System der Figur 8 anzumerken ist, ist diejenige, daß es sowohl Schutzmaßnahmen für Geheimhaltung und Integrität umfaßt, das bedeutet, es umfaßt alle erwünschten Einschränkungen in Bezug auf einen Datenfluß zwischen Sätzen. Es ist nun notwendig, lediglich Sicherheits-Label für die Sätze der Figur 8 zu definieren, um sicherzustellen, daß der erwünschte Datenfluß gemäß den Regeln der Geheimhaltung oder Integrität, was auch immer ausgewählt wird, um es anzuwenden, bewahrt wird. Figur 9 stellt solche Label dar, die wahlweise gemäß den Regeln der Geheimhaltung ausgewählt sind. Figur 10 stellt einen anderen, unterschiedlichen Satz von Labeln dar, der dieselben Ergebnisse wie die Label der Figur 9 gemäß den Regeln der Geheimhaltung vornimmt. Obwohl die Label der Figuren 9 und 10 beide Notationen der Geheimhaltung und der Integrität umfassen, sind diese Notationen in die redundanten Zustände der Label subsummiert worden und sind nicht notwendigerweise und erwünschterweise als separate Bits der Label identifizierbar. Weiterhin kann durch Invertieren jedes Label-Bits in den Figuren 9 oder 10 und durch Anwenden der Regeln der Integrität ein Designer oder Administrator exakt dasselbe Ergebnis erreichen. ANHANG A

Claims

1.Verfahren einer erzwungenen Durchsetzung von Sicherheits-Schutzmaßnahmen, um einen Zugriff zu Dateien eines Computerssystems nur auf Computerprozesse sicherzustellen, die geeignet für einen Zugriff autorisiert sind, wobei ein separates Sicherheits-Label jeder Datei und jedem Prozeß des Systems zugeordnet ist und autorisierte Sicherheits-Klassen definiert, die sich auf die zugeordnete Datei oder den zugeordneten Prozeß beziehen, wobei das Verfahren die Schritte aufweist:

a) Verifizieren eines versuchten Lese-Zugriffs, daß das Sicherheits-Label, das dem Prozeß zugeordnet ist, über das Sicherheits-Label, das der Datei zugeordnet ist, dominiert, oder

b) Verifizieren bei einem versuchten Schreib-Zugriff, daß das Sicherheits-Label, das der Datei zugeordnet ist, über das Sicherheits-Label, das dem Prozeß zugeordnet ist, dominiert,

wobei ein erstes Sicherheits-Label über ein zweites Sicherheits-Label dominiert, wenn mindestens alle Geheimhaltungs- und Integritäts-Autorisierungen in dem zweiten Sicherheits-Label auch in dem ersten Sicherheits-Label vorhanden sind,

wobei das Verfahren dadurch gekennzeichnet ist, daß jedes Sicherheits-Label Informationen enthält, die Autorisierungen beschreiben, basierend auf einer Daten- Geheimhaltungs- und Daten-Intergrät, wobei Autorisierungs-Informationen in einem Sicherheits-Label, basierend auf einer Integrität, als das Inverse der tatsächlichen Integritäts-Informationen gespeichert sind, wobei eine Autorisierung basierend sowohl auf autorisierten Geheimhaltungs- als auch Integritäts-Klassen des Prozesses und denenigen, die durch die Datei für einen Zugriff erforderlich sind, in einem einzelnen Verifikationsschritt ausgeführt werden.

2. Verfahren einer erzwungenen Durchsetzung von Sicherheits-Schutzmaßnahmen, um einen Zugriff zu Dateien eines Computersystems nur auf Computerprozesse sicherzustellen, die geeignet für einen Zugriff autorisiert sind, wobei ein separates Sicherheits-Label jeder Dateil und jedem Prozeß des Systems zugeordnet ist und autorisierte Sicherheits-Klassen definiert, die sich auf die zugeordnete Datei oder den zugeordneten Prozeß beziehen, wobei das Verfahren die Schritte aufweist:

a) Verifizieren eines versuchten Lese-Zugriffs, daß das Sicherheits-Label, das der Datei zugeordnet ist, über das Sicherheits-Label, das dem Prozeß zugeordnet ist, dominiert, oder

b) Verifizieren bei einem versuchten Schreib-Zugriff, daß das Sicherheits-Label, das dem Prozeß zugeordnet ist, über das Sicherheits-Label, das der Datei zugeordnet ist, dominiert,

wobei das Verfahren dadurch gekennzeichnet ist, daß jedes Sicherheits-Label Informationen enthält, die Autorisierungen beschreiben, basierend auf einer Daten- Geheimhaltung- und Daten-Intergrät, wobei Autorisierungs-Informationen in einem Sicherheits-Label, basierend auf einer Geheimhaltung, als das Inverse der tatsächlichen Sicherheits-Informationen gespeichert sind, wobei eine Autorisierung basierend sowohl auf autorisierten Geheimhaltungs- als auch Integritäts-Klassen des Prozesses und denjenigen, die durch die Datei für einen Zugriff erforderlich sind, in einem einzeln Verifikationsschritt ausgeführt werden.