Aufgabe 2: HRU-Beispiel Fernuni

Transkript

1 Aufgabe 2: HRU-Beispiel Fernuni Systemsicherheit Übungsblatt 2 Stephan Beyer Team 2 Systemsicherheit SS 08 Technische Universität Ilmenau 5. Mai 2008 Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

2 Übungsblatt 2, Aufgabe 2 Ändern Sie das Autorisierungsschema des HRU-Modells des Fernuni-Szenariums aus der Vorlesung so ab, dass 1 jeder Kursteilnehmer seine Hausaufgaben nur einmal abgeben und die Musterlösung nur einmal abholen kann, 2 die dynamische Aufnahme und das Löschen von Kursteilnehmern während eines laufenden Kurses möglich wird. Zu welcher Safety-Entscheidbarkeitsvariante gehören die entstehenden Modelle? Geben Sie exemplarisch für einen Studenten den für jeden Studenten durch die Zugriffsmatrix repräsentierten, aus drei Zuständen bestehenden Automaten und die entsprechenden Zustandsübergänge in Form eines Zustandsgraphen an. Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

3 Vorlesungsbeispiel Fernuni HRU-Modell (Q, E, δ, q 0 ) Zustandsmenge Q = S O M Subjektmenge S = {s 1, s 2, s 3 } (Kursteilnehmer) Objektmenge O = {o 1, o 2, o 3 } (Hausaufgaben) Menge M = {m m : S O P(R)} aller Zugriffsmatrizen über Rechtemenge R = {PutHomeworkRight, GetSampleRight} 10 9= (2^10) /512 \sqrt{9} M o 1 o 2 o 3 s s s Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

4 Vorlesungsbeispiel Fernuni HRU-Modell (Q, E, δ, q 0 ) Eingabemenge E = A X anwendungsspezifische Operationen: A = {PutHomework, GetSample} beteiligte Subjekte und Objekte: X = (S O) k Schreibweise: PutHomework(IN Kursteilnehmer, IN Hausaufgabe) GetSample(IN Kursteilnehmer, OUT Musterlösung) Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

5 Vorlesungsbeispiel Fernuni HRU-Modell (Q, E, δ, q 0 ) Zustandsübergangsfunktion δ : Q E Q Beispielsweise mathematisch formal, als Graph, oder... Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

6 Vorlesungsbeispiel Fernuni... mittels Autorisierungsschema: Nach Abgabe der Hausaufgaben darf die Musterlösung gelesen werden. Regel für PutHomeWork δ(q, (PutHomework, (s, o))) := if PutHomeworkRight M(s, o) then enter GetSampleRight into M(s, o) Nach Lesen der Musterlösung darf keine Hausaufgabe mehr abgegeben werden. Regel für GetSample δ(q, (GetSample, (s, o))) := if GetSampleRight M(s, o) then delete PutHomeworkRight from M(s, o) Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

7 Vorlesungsbeispiel Fernuni HRU-Modell (Q, E, δ, q 0 ) Startzustand q 0 Q, formal: q 0 = ( {s 1, s 2, s 3 }, {o 1, o 2, o 3 }, {((s 1, o 1 ), {PutHomeworkRight}), ((s 1, o 2 ), ), ((s 1, o 3 ), ), ((s 2, o 1 ), ), ((s 2, o 2 ), {PutHomeworkRight}), ((s 2, o 3 ), ), ((s 3, o 1 ), ), ((s 3, o 2 ), ), ((s 3, o 3 ), {PutHomeworkRight}) }) oder als Matrix: M o 1 o 2 o 3 s 1 PutHomeworkRight s 2 PutHomeworkRight PutHomeworkRight s 3 Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

8 Anforderung 1 Jeder Kursteilnehmer kann seine Hausaufgaben nur einmal abgeben und die Musterlösung nur einmal abholen. Regel für PutHomeWork δ(q, (PutHomework, (s, o))) := if PutHomeworkRight M(s, o) then enter GetSampleRight into M(s, o) delete PutHomeworkRight from M(s, o) Regel für GetSample δ(q, (GetSample, (s, o))) := if GetSampleRight M(s, o) then delete GetSampleRight from M(s, o) Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

9 Zustandsgraph Geben Sie exemplarisch für einen Studenten den für jeden Studenten durch die Zugriffsmatrix repräsentierten, aus drei Zuständen bestehenden Automaten und die entsprechenden Zustandsübergänge in Form eines Zustandsgraphen an. Zustand Inhalt von M(s i, o i ) start q 0 {GetSample- Put- Homework q 1 {PutHomeworkRight} Right} GetSample q 2 Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

10 Zustandsgraph Geben Sie exemplarisch für einen Studenten den für jeden Studenten durch die Zugriffsmatrix repräsentierten, aus drei Zuständen bestehenden Automaten und die entsprechenden Zustandsübergänge in Form eines Zustandsgraphen an. Zustand Inhalt von M(s i, o i ) start vorher: {GetSampleRight, PutHomeworkRight} {GetSampleRight} q 0 {GetSample- Put- Homework q 1 {PutHomeworkRight} Right} GetSample q 2 Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

11 HRU-Safety des Modells allgemeine Klassifikation Regel für PutHomeWork δ(q, (PutHomework, (s, o))) := if PutHomeworkRight M(s, o) then enter GetSampleRight into M(s, o) delete PutHomeworkRight from M(s, o) Regel für GetSample δ(q, (GetSample, (s, o))) := if GetSampleRight M(s, o) then delete GetSampleRight from M(s, o) monokonditional bioperational nicht monoton statisch monokonditional monooperational nicht monoton statisch insgesamt: statisch entscheidbar (NP-vollständiges Problem) auch: endliche Subjektmenge (3 Subjekte) entscheidbar Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

12 HRU-Safety des Modells Betrachtung der Zustände start q 0 {GetSample- Put- Homework q 1 {PutHomeworkRight} Right} GetSample q 2 HRU-Safety in Bezug auf Recht... PutHomeworkRight in jedem Zustand HRU-safe wird nur (q 0 q 1 ) aus Matrix entfernt GetSampleRight HRU-safe, erst sobald alle Kursteilnehmer Hausaufgabe abgegeben q0 : kommt beim Übergang zu q 1 hinzu q 1 : wird nur noch entfernt Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

13 Anforderung 2 Dynamisches Aufnehmen und Löschen von Kursteilnehmern soll während laufendem Kurs möglich sein. Wer darf Kursteilnehmer aufnehmen und löschen? privilegierter Nutzer s Admin S := S {s Admin } Wen oder was darf s Admin aufnehmen und löschen? O := O {o User } Welche Rechte braucht s Admin zum aufnehmen und löschen? R := R {AddUserRight, DelUserRight} Was darf s Admin? Kursteilnehmer aufnehmen und löschen Kursteilnehmer A := A {AddUser, DelUser} AddUser(IN priviligierter Nutzer, IN anzulegender Nutzer, IN Hausaufgabe) DelUser(IN priviligierter Nutzer, IN zu löschender Nutzer, IN Hausaufgabe) Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

14 Anforderung 2 Autorisierungsschema Regel für AddUser δ(q, (AddUser, (s A, s B, o B ))) := if AddUserRight M(s A, o User ) then create subject s B create object o B enter PutHomeworkRight into M(s B, o B ) Regel für DelUser δ(q, (DelUser, (s A, s B, o B ))) := if DelUserRight M(s A, o User ) then destroy subject s B destroy object o B Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

15 Anforderung 2 Initialisierung Startzustand q 0 wird M o User o 1 o 2 o 3 s Admin AddUserRight DelUserRight s 1 PutHwRight s 2 PutHwRight s 3 PutHwRight Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

16 HRU-Safety des Modells allgemeine Klassifikation Regel für AddUser δ(q, (AddUser, (s A, s B, o B ))) := if AddUserRight M(s A, o User ) then create subject s B create object o B enter PutHomeworkRight into M(s B, o B ) Regel für DelUser δ(q, (DelUser, (s A, s B, o B ))) := if DelUserRight M(s A, o User ) then destroy subject s B destroy object o B monokonditional trioperational monoton dynamisch monokonditional bioperational nicht monoton dynamisch Keine aus der Vorlesung bekannte entscheidbare Klassifikation anwendbar. Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

17 HRU-Safety des Modells Betrachtung der Zustände HRU-Safety in Bezug auf Recht... PutHomeworkRight in jedem Zustand HRU-safe wird nur in Matrixzellen eingefügt, die im jeweils vorherigen Zustand noch nicht vorhanden GetSampleRight wie bisher AddUserRight, DelUserRight HRU-safe wird in keinem Autorisierungsschema hinzugefügt (kein enter) nur sadmin besitzt Recht seit q 0 Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1

18 Das war s! Team 2 (SysSec 08) Fernuni-Szenario 5. Mai / 1