オペレーティングシステム 第8回 セキュリティと ユーザー管理

1、1,ソフトウェアセキュリティとユーザー管理,2010年6月30日海谷 治彥,2,目次,セキュリティ一般についてIdentificationとAuthenticationアクセス コントロールセキュリティ レベルセキュリティ モデル誰がどんなデータをアクセスできるかを表現(xiàn)するための方法,今回の話はセキュリティ関係の授業(yè)と被ります．加えてネタ本が英語なので日本語訳が所々わからん???,3,セキュリティとは,資産(assets

2、)の保護(hù)(protection)についてのことを指す．資産と価値(value)が何かは所有者等に理解されているというのが大前提．保護(hù)の度合いPrevention 資産の損害を回避する．Detection 資産の損害を検知する．Reaction 資産もしくは資産の損害を復(fù)舊する．,4,コンピュータにおける資産とは？,コンピュータの情報(bào)や資源である．情報(bào) vs データデータの主観的な解釈が情報(bào)である．無論，データとして情報(bào)は

3、記録されている．しかし，データの中身を守ったからといって情報(bào)を守れるとは限らない．データが存在するか否か自體，情報(bào)なので，これをアクセス権限の無いものがアクセスできる場(chǎng)合がある．(covert channel)秘密にしたデータ以外から，秘密にしている情報(bào)を推論できてしまう場(chǎng)合がある．資源: CPU利用時(shí)間，ディスク容量，デバイス他,5,資産保護(hù)の視點(diǎn),下記の3つが代表的な視點(diǎn)といわれる．Confidentiality 権限無い

4、ものに情報(bào)が漏れるのを防ぐこと．最も一般的に認(rèn)識(shí)されている側(cè)面．Integrity 権限ないものの情報(bào)の改ざんを防ぐこと．HPや口座データの不正書き換え等Availability 権限無いものが情報(bào)?資源を制することを防ぐこと．要は正規(guī)ユーザーは情報(bào)やサービスを得たい時(shí)に得られること．DoS攻撃はこれを破る典型例．,6,コンピュータ?セキュリティ,コンピュータのユーザーによる権限を越えた行為(action)を?qū)g行することを回避

5、したり検知したりすること．a(chǎn)uthorization, access controlの概念が重要となる．Authorization 権限委任誰にどんな行為を許す/許さないを規(guī)定したルールであるsecurity policyをもとに委任は行われる．Access Control アクセス制御,7,IdentificationとAuthentication,Identificationはユーザーが自分が誰であるかをコンピュータに名乗る

6、こと．Authenticationは，そのIdentificationが正しいか検証すること．ユーザーの立場(chǎng)からは，例えば，ユーザー名とパスワードを入れるだけのことなので上記二つの區(qū)別はいまいちクリアじゃない．ユーザーのidentityをもとにアクセス制御が行われることが多いが，そうでない方が良い場(chǎng)合がある．要はパスワード管理はちゃんとしようね，というオチですね．,8,Access Control,ファイル等のコンピュータ資産を

7、，誰がどやってアクセスして良いかを規(guī)定すること．これを規(guī)定するためには以下の二つを決める必要がある．考えているアクセス制御の方針を記述するための言語．その制御を?qū)g施するためのメカニズム．Unix(Linux)のrwxの仕組みもこの例の一つ．,9,Subject, Object, Access Ops. 他,「能動(dòng)的なsubjectが受動(dòng)的なobjectに対して，あるaccess operationでアクセスしようとして，refe

8、rence monitorがそのアクセスに許可を與えるか否かを決める．」というのがアクセス制御の基本モデル．,Subject,Object,referencemonitor,,,accessrequest,10,Access Operation (AC),Unixにおけるファイルの読み書き(read and write)に相當(dāng)するもの．しかし，コンピュータシステム(OSやDBMS)の種類によってどんなACが存在するか異なる．原

9、始的なレベルではメモリやディスクの読み書きである．しかしOODB(オブジェクト指向データベース)等の高い抽象度を持つシステムでは，個(gè)々のメソッド呼び出しがACとなる．,11,Access Mode,最も基本的なレベルでは，以下の2つのaccess modeが與えられる．observe: objectの中身を見れる．a(chǎn)lter: objectの中身を変更できる．これら二つで基本的にどんなACも書けるはずだが，あまりに原始的なので，

10、込み入った処理に関するACを記述しようとすると複雑になってしまう．,12,Access Rights,以下の4種類が一般的．execute ファイルに限らずデータ列をプログラムと見なしてCPUへ命令として送ること．無論，プログラムの體を成していなければ破綻するが．a(chǎn)ppend writeと似ているが追加だけの場(chǎng)合，ファイル等の中身をobserveする必要がない．readwrite observe and alterに相當(dāng)する．

11、上記の分類は後述のBLPに基づき，UNIXのそれとは若干異なる．,13,UNIXの場(chǎng)合,特に，directory-writeに注意．ファイルの作成消去はディレクトリのアクセス権で決まる！また，directory-executeに注意．dirが‘- - x’でも移動(dòng)はできるという不思議．,14,NTFSの場(chǎng)合,Windows NT, XPの採用するファイルシステムのアクセス制御．readwriteexecutedelet

12、e ファイルの消去はファイル自體の屬性change permissionchange ownership,15,誰がアクセス権を決められるか？,この點(diǎn)に関しては以下の2つの流儀がある．Discretionary Access Control (DAC)資産の所有者がその資産のアクセス権を決定できる．Mandatory Access Control (MAC)システム(OSやDBMS)が管理する資産全てのアクセス権を決定する．

13、,16,Access Control Matrix,誰(Subject)が何(Object)をどう(operation)アクセスするかを規(guī)定する一般的な記法．一般的にデカくなるので，実用的ではないかも．,17,Capabilities,誰(Subject)を基盤にアクセス権を記述する方式．例Allice: edit.exe: x; fun.com: x, rBill: bill.doc: r, w; edit.exe: x;

14、fun.com: r, w, x,18,Access Control Lists (ACL),何(Object)を基にアクセス権を記述する方式．例bill.doc Bill: r, wedit.exe Alice: x; Bill: xfun.com Alice: r, x; Bill: r, w, xUNIX(Linux)はこの方針を基本としている．ただし，個(gè)々のユーザーではなく，本人，同一グループの人，その他の3つしか區(qū)

15、別しないが．,19,セキュリティ レベル,SubjectおよびObjectを順序付けすることで，アクセス制御を楽に定義することができる．このような順序付けのことをセキュリティ レベルという．Unix(Linux)の場(chǎng)合，Subjectの方に半順序(root ≧ それ以外のユーザー)というレベルがある．,20,半順序と全順序,以下の3つの性質(zhì)を満たす≦を集合S上の半順序(partial order)と呼ぶ．任意の要素e ∈ S につ

16、いて，e ≦ e (反射律)e≦f かつ f ≦eならば，e=f (反対象律)e≦f かつ f≦gならば，e≦g (推移律)加えて以下の性質(zhì)を満たすと全順序(total order)と呼ぶ．任意の要素 e, f ∈Sについて，e≦fもしくはf≦eが成り立つ．(完全律),21,セキュリティ モデル,誰がどの資産にどうアクセスできるかを規(guī)定したルールがセキュリティポリシィである．セキュリティポリシィを記述するためには，そのポリシ

17、ィでどのようなSubjectやObject, operationを扱うか？どのようにルールを記述すればよいかを決めなければならない．セキュリティモデルはポリシィ記述の枠組みを與える．以降，有名なセキュリティモデルを紹介する．,22,Covert Channel,要は正規(guī)の通信経路ではなく裏技的な方法で情報(bào)伝達(dá)をする伝達(dá)路(channel)のこと．無論，この伝達(dá)路を生かしておくと，Confidentiality (秘密を守ること

18、)は保たれない．教科書の定義では，この伝達(dá)路として共有資源(ファイルや伝言板等)を使う．,23,例,,Covert Channel,,,24,Bell-LaPadula Model の伏線,BLPの仮定Subject(人等)は情報(bào)アクセスについてランク付けされている．Object(データ)も同様にランク付けされている．BLPの目的Subjectが自分の許可レベルより高いObjectを読むことができないようにすること．,25,B

19、ell-LaPadula Model (BLP),最も有名なモデルと言われ，confidentiality を表現(xiàn)できる．subjectの集合S, objectの集合O, operation(op.)の集合 A={execute, read, append, write}それぞれのsがoをどう操作してよいかは，アクセス行列Mで定義されている．SとOの要素は半順序≦でレベル付けされている．Sが持てる最大レベルと，現(xiàn)在のレベルという

20、二つのレベルがある．無論，現(xiàn)在レベル≦最大レベル,26,BLPの性質(zhì)1: ss-property,「oのレベル≦sの最高レベル の場(chǎng)合のみ，read, writeは実行できる．」実はこの性質(zhì)だけでは，レベルの低いsが高いoをreadするのを完全に防止できない．あるsは，自分より低いレベルのoにwriteできるので，高いレベルのsが手引きすれば，低いレベルのsが高いレベルのoを読めてしまう．課長がヒラが見ちゃいけない書類をコピーし

21、て，ヒラに渡すようなもの．,27,,,ss-propertyの問題點(diǎn),実はこの性質(zhì)だけでは，レベルの低いsが高いoをreadするのを完全に防止できない．,,,,,1,2,3,偉い人,ヒラ,機(jī)密ファイル,部內(nèi)共有ファイル,左記がおきてしまう．,28,BLPの性質(zhì)2: star-property,「sの現(xiàn)在のレベル≦oのレベル の場(chǎng)合のみ，appendやwriteを?qū)g行できる．」要は高い権限でreadして，それを低い権限でもread

22、できるoに書き込むことはできなくなる．高いレベルのsは低いレベルのs’に情報(bào)を送れなくなる．read時(shí)のsのレベルが，write時(shí)のoのレベルを制約しているため．writeの場(chǎng)合，ssと合わせて，「sの現(xiàn)在のレベル≦oのレベル≦sの最高レベル」実行可能．a(chǎn)ppendの場(chǎng)合は，場(chǎng)合によってはsの最高レベルを超えるoにデータをappendできる．BLPのappendはreadを伴わないため．,29,,star-propertyの効