Сценарии и требования защиты

Рассмотрим некоторые общие сценарии функционирования программных систем и связанные с ними требования защиты.

[¹ Предположим, что клиент вызывает некоторый сервис для обращения к управляемому им объекту. В ответ сервис должен авторизовать доступ к объекту с помощью некоторого механизма. Примерами вызова сервиса доступа являются: доступ к собственному файлу на файловом сервере, покупка¹] авиабилета с online-оплатой, доступ к электронной медицинской карточке пациента, чтение биржевых котировок и т.д.

Общий перечень требований к подобным операциям:

1.Взаимная аутентификация. Система, которая поддерживает взаимодействие, должна обеспечить взаимную аутентификацию клиента и сервиса. Сервис должен убедится в аутентификации клиента, а клиент должен быть уверен, что вызван требуемый сервис.

[²2.Управление доступом и авторизация. Сервис может проверить, имеются ли у клиента разрешения на выполнение запрошенной операции над объектом, обеспечивая тем самым конфиденциальность данных.²] Если система допускает неавторизованный доступ, любые операции, в ходе которых выполняется запись данных, несут угрозу их целостности.

[³3.Защищенное взаимодействие. Никакой другой клиент не может видеть ни запрос, ни его результаты. Взаимодействие клиента и системы должно быть конфиденциальным.³]

4.⁴[Защищенность от повреждений. Запрос должен достигать сервиса в том виде, в каком он отправлен клиентом. Целостность взаимодействия обязательна.]⁴

5.⁵[Неоспоримость. После выполнения сервиса клиент не может утверждать, что не получил запрос или не получил результатов. Если клиент произвел оплату, то сервис не может этого отрицать.]⁵

6.Невозможность воспроизведения. Третья сторона не может получить копию какого-либо фрагмента взаимодействия и воспроизвести его.

7.⁶[Безотказность сервиса. Третья сторона не может испортить сервис или пути его вызова и тем самым помешать его вызову или снизить его производительность.]⁶

Сервис – это:

1.Совокупность средств для обслуживания клиентов;

2.Набор функций одного из уровней программной системы вычислительной сети.

Друзья! Приглашаем вас к обсуждению. Если у вас есть своё мнение, напишите нам в комментарии.