Criteriile pentru determinarea securității sistemelor informatice ( ing. Trusted Computer System Evaluation Criteria ) este un standard al Departamentului de Apărare al SUA care stabilește condițiile de bază pentru evaluarea eficienței instrumentelor de securitate informatică conținute într-un sistem informatic. Criteriile sunt utilizate pentru a defini, clasifica și selecta sistemele informatice pentru procesarea, stocarea și preluarea informațiilor sensibile sau sensibile.
Denumite adesea Cartea portocalie , criteriile sunt esențiale pentru publicațiile DoD „Seria Curcubeu” . Lansat inițial de Centrul Național de Securitate a Calculatoarelor , o divizie a Agenției Naționale de Securitate, în 1983 și apoi actualizat în 1985 .
Analogul Cărții Orange este standardul internațional ISO/IEC 15408 , publicat în 2005. Acesta este un standard mai universal și mai avansat, dar contrar concepției greșite populare, nu a înlocuit Cartea portocalie din cauza diferitelor jurisdicții ale documentelor - Cartea portocalie este folosită exclusiv de Departamentul Apărării al SUA , în timp ce ISO/IEC 15408 a fost ratificat . de multe țări, inclusiv Rusia.
Criteriile de evaluare a sistemelor informatice de încredere ale Departamentului de Apărare , TCSEC , DoD 5200.28 -STD, 26 decembrie 1985, mai bine cunoscută sub numele de „ Cartea portocalie” ) datorită culorii copertei.
Acest standard a primit recunoaștere internațională și a avut o influență excepțional de puternică asupra evoluțiilor ulterioare în domeniul securității informațiilor (IS).
Acest standard se referă la standardele de evaluare (clasificarea sistemelor informaționale și a instrumentelor de securitate ) și nu este vorba despre sisteme sigure, ci despre sisteme de încredere .
Nu există sisteme absolute (inclusiv cele sigure) în viața noastră. Prin urmare, s-a propus să se evalueze doar gradul de încredere care poate fi acordat unui anumit sistem.
Standardul conține baza conceptuală a securității informațiilor ( sistem securizat, sistem de încredere , politică de securitate , nivel de asigurare , responsabilitate , bază de calcul de încredere , monitorizare apel , nucleu de securitate , perimetru de securitate ).
Securitatea și încrederea sunt evaluate în acest standard în ceea ce privește controlul accesului la informații, care este un mijloc de asigurare a confidențialității și integrității .
O întreagă „ Seria Curcubeu ” a urmat „Cartea portocalie” . Cea mai semnificativă a fost interpretarea „Cartei portocalii” pentru configurațiile de rețea ( Centrul Național de Securitate a Calculatoarelor engleze . Trusted Network Interpretation , NCSC-TG-005, 1987), unde prima parte interpretează „Cartea Portocalie”, iar a doua parte descrie securitatea serviciilor specifice configurațiilor de rețea.
Politicile de securitate ar trebui să fie detaliate, clar definite și obligatorii pentru un sistem informatic. Există două politici principale de securitate:
Responsabilitatea individuală, indiferent de politică, ar trebui să fie obligatorie. Există trei cerințe de răspundere:
Sistemul informatic trebuie să conțină mecanisme hardware și/sau software care pot determina în mod independent dacă este asigurată suficientă asigurare că sistemul respectă cerințele de mai sus. În plus, asigurarea trebuie să includă asigurarea că partea securizată a sistemului funcționează numai așa cum este prevăzut. Pentru atingerea acestor obiective sunt necesare două tipuri de garanții și elementele corespunzătoare acestora:
Fiecare clasă are un set suplimentar de documente care se adresează dezvoltatorilor, utilizatorilor și administratorilor de sistem în conformitate cu autoritatea lor. Această documentație conține:
Este un sistem care controlează accesul la informații astfel încât numai persoanele sau procesele autorizate care acționează în numele lor sunt autorizate să lucreze cu informațiile.
Un sistem de încredere în standard este înțeles ca un sistem care utilizează hardware și software pentru a asigura prelucrarea simultană a informațiilor de diferite categorii de secretizare de către un grup de utilizatori fără a încălca drepturile de acces.
Este un set de legi, reguli, proceduri și coduri de conduită care guvernează modul în care o organizație procesează, protejează și distribuie informațiile. Mai mult, politica de securitate se referă la metode de protecție activă, deoarece ține cont de analiza posibilelor amenințări și de alegerea contramăsurilor adecvate.
Implică o măsură de încredere care poate fi acordată arhitecturii și implementării unui sistem informațional și arată cât de corecte sunt mecanismele responsabile de implementarea politicii de securitate (aspectul pasiv al protecției).
Grupul de responsabilitate ar trebui să includă următoarele cerințe:
Acesta este un set de mecanisme de protecție ale unui sistem informatic (atât software, cât și hardware) care implementează o politică de securitate.
Controlul asupra efectuării de către subiecți (utilizatori) a anumitor operațiuni asupra obiectelor prin verificarea admisibilității accesului (a unui utilizator dat) la programe și date printr-un set permis de acțiuni.
Calități obligatorii pentru un monitor de apel:
O implementare concretă a unui monitor de apel care este garantat a fi imuabil.
Aceasta este limita bazei de calcul de încredere.
În caz contrar, control acces voluntar.
Controlul accesului voluntar este o metodă de restricționare a accesului la obiecte pe baza identității subiectului sau a grupului căruia îi aparține subiectul. Gestiunea voluntară este aceea că o persoană (de obicei proprietarul obiectului) poate, la propria discreție, să acorde altor subiecți sau să le îndepărteze drepturi de acces la obiect.
Majoritatea sistemelor de operare și DBMS implementează controlul accesului voluntar. Principalul său avantaj este flexibilitatea, principalele dezavantaje sunt dispersarea managementului și complexitatea controlului centralizat, precum și izolarea drepturilor de acces de date, ceea ce permite copierea informațiilor secrete în fișiere publice sau fișiere secrete în directoare neprotejate.
Securitatea reutilizarii obiectelor este un plus important pentru controlul accesului în practică, protejând împotriva extragerii accidentale sau deliberate de informații secrete din „gunoi”. Securitatea reutilizarii trebuie garantata pentru zonele memoriei principale (in special, pentru bufferele cu imagini de ecran, parole decriptate etc.), pentru blocurile de disc si mediile magnetice in general. Este important să acordați atenție următorului punct. Deoarece informațiile despre subiecte sunt și ele un obiect, trebuie să aveți grijă de securitatea „reutilizării subiecților”. Când un utilizator părăsește organizația, nu numai că ar trebui să îi împiedicați să se conecteze, ci și să îi refuzați accesul la toate obiectele. În caz contrar, noul angajat poate obține identificatorul utilizat anterior și, odată cu acesta, toate drepturile predecesorului său.
Perifericele inteligente de astăzi fac mai dificilă asigurarea reutilizarii obiectelor. Într-adevăr, imprimanta poate stoca mai multe pagini ale unui document care vor rămâne în memorie chiar și după finalizarea tipăririi. Este necesar să se ia măsuri speciale pentru a-i „împinge” de acolo.
Sunt furnizate etichete pentru subiecte (grad de încredere) și obiecte (grad de confidențialitate a informațiilor). Etichetele de securitate conțin date despre nivelul de securitate și categoria căreia îi aparțin datele. Potrivit Orange Book, etichetele de securitate sunt formate din două părți - un nivel de securitate și o listă de categorii. Nivelurile de securitate suportate de sistem formează un set ordonat, care ar putea arăta astfel, de exemplu:
Pentru diferite sisteme, setul de niveluri de securitate poate varia. Categoriile formează un set neordonat. Scopul lor este de a descrie domeniul căreia îi aparțin datele. Într-un mediu militar, fiecare categorie poate corespunde, de exemplu, unui anumit tip de armă. Mecanismul categoriei vă permite să împărțiți informațiile în compartimente, ceea ce contribuie la o mai bună securitate. Subiectul nu poate accesa categorii „străine”, chiar dacă nivelul de securitate al acestora este „secret”. Un specialist în tancuri nu va recunoaște datele tactice și tehnice ale aeronavei.
Principala problemă care trebuie rezolvată în legătură cu etichetele este asigurarea integrității acestora. În primul rând, nu trebuie să existe subiecte și obiecte neetichetate, altfel vor exista găuri ușor de exploatat în securitatea etichetată. În al doilea rând, pentru orice operațiuni cu datele, etichetele trebuie să rămână corecte. Acest lucru se aplică în special exportului și importului de date. De exemplu, un document tipărit ar trebui să se deschidă cu un antet care conține o reprezentare textuală și/sau grafică a etichetei de securitate. În mod similar, la transferul unui fișier printr-un canal de comunicație, trebuie transmisă și eticheta asociată acestuia, și în așa fel încât sistemul de la distanță să-l poată analiza, în ciuda posibilelor diferențe de niveluri de secretizare și un set de categorii.
Unul dintre mijloacele de asigurare a integrității etichetelor de securitate este împărțirea dispozitivelor în dispozitive cu mai multe niveluri și cu un singur nivel. Dispozitivele pe mai multe niveluri pot stoca informații cu diferite niveluri de secretizare (mai precis, situate într-o anumită gamă de niveluri). Un dispozitiv cu un singur nivel poate fi considerat ca un caz degenerat al unui dispozitiv cu mai multe niveluri, atunci când intervalul permis constă dintr-un singur nivel. Cunoscând nivelul dispozitivului, sistemul poate decide dacă este permis să scrie informații pe acesta cu o anumită etichetă. De exemplu, o încercare de a tipări informații secrete pe o imprimantă publică cu un nivel „non-secret” va eșua.
Controlul forțat al accesului se bazează pe potrivirea etichetelor de securitate subiect și obiect. Un subiect poate citi informații de la un obiect dacă nivelul de securitate al subiectului este cel puțin la fel de ridicat ca cel al obiectului și toate categoriile enumerate în eticheta de securitate a obiectului sunt prezente în eticheta subiectului. Într-un astfel de caz, se spune că eticheta subiectului domină eticheta obiectului. Un subiect poate scrie informații la un obiect dacă eticheta de securitate a obiectului domină eticheta de securitate a subiectului. În special, un subiect „confidențial” poate scrie în fișiere secrete, dar nu și în cele nesecrete (desigur, trebuie îndeplinite și restricțiile privind setul de categorii). La prima vedere, această restricție poate părea ciudată, dar este destul de rezonabilă. Sub nicio operațiune, nivelul de secretizare a informațiilor nu ar trebui să fie scăzut, deși procesul invers este destul de posibil.
Metoda descrisă de control al accesului se numește forțat, deoarece nu depinde de voința subiecților, în locul cărora se pot afla chiar și administratorii de sistem. După ce sunt fixate etichetele de securitate ale subiectelor și obiectelor, se fixează și drepturile de acces. În ceea ce privește controlul coercitiv, este imposibilă exprimarea propoziției „Permiteți accesul la obiectul X și pentru utilizatorul Y”. Desigur, puteți schimba eticheta de securitate a utilizatorului Y, dar atunci cel mai probabil va avea acces la multe obiecte suplimentare, și nu doar X.
Controlul forțat al accesului este implementat în multe variante de sisteme de operare și DBMS, care se disting prin măsuri de securitate îmbunătățite. În special, astfel de opțiuni există pentru SunOS și Ingres DBMS. Indiferent de utilizare practică, principiile controlului forțat reprezintă o bază metodologică convenabilă pentru clasificarea inițială a informațiilor și distribuirea drepturilor de acces. Este mai convenabil să te gândești în termeni de niveluri și categorii de securitate decât să completezi o matrice de acces nestructurată. Cu toate acestea, în viața reală, controlul accesului voluntar și forțat sunt combinate în cadrul aceluiași sistem, ceea ce vă permite să utilizați punctele forte ale ambelor abordări.
Criteriile sunt împărțite în 4 secțiuni: D, C, B și A, dintre care secțiunea A este cea mai sigură.Fiecare diviziune reprezintă o diferență semnificativă de încredere pentru utilizatorii individuali sau organizații. Secțiunile C, B și A sunt organizate ierarhic într-o serie de subsecțiuni numite clase: C1, C2, B1, B2, B3 și A1. Fiecare secțiune și clasă extinde sau completează cerințele specificate în secțiunea sau clasă precedentă.
Sisteme pentru care securitatea a fost evaluată, dar sa constatat că nu îndeplinesc cerințele secțiunilor superioare.
Criteriile au introdus pentru prima dată patru niveluri de încredere - D, C, B și A, care sunt împărțite în clase. Există doar șase clase de securitate - C1, C2, B1, B2, B3, A1 (enumerate în ordinea cerințelor de înăsprire).
Acest nivel este destinat sistemelor care sunt considerate nesatisfăcătoare.
În caz contrar, controlul accesului arbitrar.
Clasa C1Politica de securitate și nivelul de asigurare pentru o anumită clasă trebuie să îndeplinească următoarele cerințe critice:
Pe lângă C1:
Denumit și control al accesului forțat.
Clasa B1Pe lângă C2:
Pe lângă B1:
Pe lângă B2:
Se numește securitate verificabilă.
Clasa A1Pe lângă B3:
Aceasta este clasificarea introdusă în Cartea Portocalie. Pe scurt, poate fi formulat astfel:
Desigur, se pot face o serie de observații serioase la „Criteriile...” (cum ar fi, de exemplu, ignorarea completă a problemelor care apar în sistemele distribuite). Cu toate acestea, trebuie subliniat că publicarea Cărții Portocalii a fost, fără nicio exagerare, un eveniment marcant în domeniul securității informaționale. A apărut o bază conceptuală general recunoscută, fără de care chiar și discutarea problemelor securității informațiilor ar fi dificilă.
Trebuie remarcat faptul că potențialul ideologic uriaș al Cărții Portocalii rămâne în mare parte nerevendicat. În primul rând, aceasta se referă la conceptul de asigurare tehnologică, acoperind întregul ciclu de viață al sistemului - de la elaborarea specificațiilor până la faza de funcționare. Cu tehnologia modernă de programare, sistemul rezultat nu conține informațiile prezente în specificațiile originale, informațiile despre semantica programelor se pierd.