Oranžová kniha TCSEC rozdeľuje systémy do štyroch hierarchických kategórií. Najvyššiu bezpečnosť predstavuje kategória A, najnižšiu kategória D. Tieto kategórie sa ešte delia na triedy.

Kategória D - Minimálna ochrana

     Obsahuje iba jednu triedu, ktorá je určená pre tie systémy, ktoré nesplnili požiadavky vyšších tried.

Kategória C - Ľubovoľná (discretionary) ochrana

     Triedy v tejto kategórii zabezpečujú ľubovoľnú ochranu vrátane schopnosti sledovania systému, teda zaznamenávania činností, ktoré nejaký subjekt inicioval.

Trieda C1 - Ľubovoľná bezpečná ochrana

     Systémy triedy C1 musia splňať minimálne nasledujúce kritéria:

• Systém musí definovať a riadiť prístup medzi pomenovanými používateľmi a pomenovanými objektami. Musí tiež umožňovať používateľom definovať zdieľanie týchto objektov s inymi používateľmi alebo skupinami.
  
• Systém musí vyžadovať aby sa používatelia najprv identifikovali a autentifikovali (napríklad heslom) pred začatím vykonávania ďalších činností. Systém musí chrániť autentifikačné informácie pred prístupom neautorizovaných používateľov.
  
• Systém musí chrániť svoj kód a svoje interné údaje pre vonkajším prístupom a modifikáciou.
  
• Systém musí byť schopný periodicky zabezpečovať svoju integritu.
  

Trieda C2 - Ochrana riadením prístupu

     Oproti triede C1 musí systém spĺňať tieto kritéria:

• Pri alokácii alebo realokácii pamäťového objektu musí byť predchádzajúci obsah vymazaný. Aj ked sa jedná o kryptované údaje.
  
• Systém musí chrániť záznami auditingu (sledovania) pred modifikáciou, neautorizovaným prístupom alebo zmazaním. Systém musí byť schopný zaznamenávať tieto udalosti:
  
  • použitie identifikačného a autentifikačného mechanizmu
    
  • získanie prístupu k objektu
    
  • zrušenie objektu
    
  • činnosti súvisiace s administráciou systému
    
• Pre každú udalosť musí záznam obsahovať dátum a čas udalosti, identifikácia požívateľa, typ udalosti, záznam o úspechu alebo neúspechu udalosti. Ak sa jedná o identifikáciu alebo autentifikáciu musí záznam obsahovať aj zdroj žiadosti. Pri záznamoch týkajúcich sa objektu musí záznam obsahovať aj identifikáciu objektu.
  

Kategória B - Povinná (mandatory) ochrana

     Hlavnou požiadavkou na systémy v tejto kategórii je ochrana integrity bezpečnostných značiek (labelov) používaných na uplatňovanie pravidiel povinného riadenia prístupu.

     Systémy v tejto kategórii musia mať bezpečnostné značky na väčšine dátových štruktúr v systéme.

Trieda B1 - Ochrana bezpečnostnými značkami

     Trieda B1 vyžaduje všetky vlastnosti vyžadované triedou C2. Navyše musí systém triedy B1 uplatňovať bezpečnostné značky a povinné riadenie prístupu k pomenovaným objektom. Musí byť tiež schopný značkovať exportované informácie bezpečnostnými značkami.

     Musia byť odstránené všetky chyby nájdené pri testovaní. Minimálne požiadavky na systémy triedy B1 navyše oproti triede C2 sú:

• Bezpečnostné značky spojené so subjektom alebo pamäťovým objektom musia byť spravované systémom a tvoria základ povinného riadenia prístupu. V prípade importovania neoznačených informácií musí systém požiadať autorizovaného používateľa aby informáciam priradil bezpečnostnú značku. Všetky takéto akcie musia byť sledovateľné.
  
• Bezpečnostné značky musia presne zodpovedať úrovni dôvernosti objetov ku ktorým sú priradené.
  
• Každý komunikačný kanál a I/O zariadenie musí byť označené ako jednoúrovňové alebo viacúrovňové. Zmenu označenia je možné urobiť len manuálne a musí byť sledovatelná systémom. Informácie prenášané po viacúrovňovom kanále sa prenášajú spolu so svojou bezpečnostnou značkou, ktorá musí byť vždy uložená na tom istom médiu ako samotná informácia. Jednoúrovňové kanály neprenášajú bezpečnostné značky.
  
• Systém musí uplatňovať povinné riadenie prístupu nad vštkými subjektami a pamäťovými objektami, ktoré sú pod jeho kontrolou. Systém musí podporovať dva alebo viac bezpečnostných úrovní a tiež nehierarchické kategórie.
  

  Subjekt môže čítať objekt iba ak bezpočnostná úroveň subjektu je vyššia alebo rovná úrvni objektu a súčasne má subjekt všetky nehierarchické kategórie objektu.
  

  Subjekt môže zapisovať do objektu iba ak bezpočnostná úroveň subjekt je nižšia alebo rovná úrvni objektu a súčasne má subjekt všetky nehierarchické kategórie objektu.
  

Trieda B2 - Štruktúrovaná ochrana

     Požiadavky navyše oproti triede B1:

• Pri zmene bezpečnostnej úrovne používateľa musí byť tento používateľ okamžite upozornený na zmenu, ak je práve do systému prihlásený. Koncový používateľ musí byť schopný vyžiadať si od systému svoju kompletnú bezpečnostnú značku.
  
• Systém musí podporovať priradenie maximálnej a minimálnej bezpečnostnej úrovne fyzickým zariadeniam.
  
• Systém musí podporovať bezpečnú komunikačnú cestu k používateľovi aby sa mohol bezpečne prihlásiť. Takáto komunikácia musí byť iniciovaná výlučne používateľom.
  
• Systém musí podporovať oddelenie funkcií operátora a administrátora.
  

Trieda B3 - Bezpečnostné domény

     Systémy triedy B3 musia spĺňať požiadavku malého referenčného monitora, ktorý sprostretkúva všetky prístupy subjektov k objektom. Významnou snahou návrhu takéhoto systému musí byť snaha minimalizovať zložitosť bezpečnostného systému. Systém musí byť vysoko odolný voči prieniku. Minimálne požiadavky navyše oproti nižším triedam sú:

• Musí poskytovať mechanizmy na zabezpečenie aby sa systém po páde alebo inej nekontinuite zotavil bez narušenia ochrany.
  

Kategória A - Overená ochrana

     Kategória A je chrakteristická použitím formálnych overovacích metód bezpečnosti na zaistenie, že bezpečnostné prvky systému sú schopné efektívne chrániť dôverné informácie v systéme.

Trieda A1 - Overená schéma

     Na systémy triedy A1 sú z funkčného hľadiska kladené také isté požiadavky ako na systémy triedy B3. Teda niesu vyžadovane žiadne ďalšie vlastnosti. Jediným rozdielom je nutnosť analýzy založenej na formálnom návrhu a overenia, že je bezpečnostný sytém správne implementovaný.

Zabezpečené (trusted) systémy

     Niektoré UNIXy sú v štandardnej konfigurácii málo bezpečné. Staršie UNIXy nemali ani shadow passwody. To umožňovalo aby každý použávateľ mohol čítať kryptovanú formu hesiel, čo samozrejme nevyhovuje ani triede C1.

     Moderné UNIXy už spĺňajú požiadavky triedy C2 okrem sledovania (auditingu), preto niektorý predajcovia UNIXov dodávajú aj C2 balík vylepšujúci sledovanie.

     UNIX môže dosiahnúť B1 so zmenami vo funkčnosti. Na dosiahnutie B2 je potrebná zmena základných štruktúr a mechanizmov. B3 vyžaduje koncepčné a štrukturálne zmeny.

     DOS/Windows/Windows95 nedosahujú žiadnu triedu, pretože nemajú vôbec riešenú bezpečnosť.

     Windows NT 3.5 (service pack 3) dosiahol C2 v auguste 1995, ale iba v konfigurácii bez siete a bez Windows on Windows (WOW) subsystému.

     Windows NT 4.0 SP3 majú ITSEC E3/F-C2, čo približne zodpovedá triede C2 TCSEC. Túto úroveň má Workstation aj Server v sieťovej konfigurácii.

Prehľad niektorých zabezpečených operačných systémov

Trusted Ultrix MLS+

     Trusted Ultrix MLS+, Digital Research, teraz vlastnené firmou Compaq - bezpečnostná úroveň B1. Je to vlastne DEC OSF/1 pre systémy s architektúrou Alpha, vylepšený o bezpečnostné prvky. Skladá sa z častí ako Mach kernel z Carneige Mellon University, častí BSD 4.3 a 4.4 a samozrejme, DEC OSF/1.

     Bezpečnosť je riešená cez TCB, čiže Trusted Computer Base. Je to sada ochranných mechanizmov, ktoré sú za bežných okolností pre aplikáciu transparentné. Skladajú sa zo zložiek: DAC (Discretionary Access Control) rozširuje prístupové práva unixu "vlastník, skupina, ostatní" o access listy, ktoré môže vlastník objektu definovať pre každý objekt (súbor, adresár, zdieľaná pamäť) zvlášť. MAC (Mandatory Access Control) je mechanizmus, ktorým sa dá pre procesy a niektoré objekty (sockety, súbory, okná) definovať ich dôležitosť z hľadiska bezpečnosti a tým aj striktnosť opatrení pri predpokladanom útoku. ILs (Information Labels) sa pridávajú k súborom a procesom, aby tieto mohli dynamicky meniť svoju "citlivosť" pri zmenách.

     Pri procese je okrem bežných ID (uid, euid, gid, egid, doplnkové skupiny) aj luid (login uid), zoznam privilégií, "sensitivity" a "information" labels. Ako náhradu za konto "root" systém poskytuje 4 nové administratívne kontá:

• Information Security System Officier - prideľujúci práva užívateľom, programom a procesom, udržiava aktuálne "sensitivity labels" a má prístup k informáciám o stave systému (syslog).
  
• System Administrator - zodpovedný za všeobecnú správu systému a vytváranie knt. Je tiež zodpovedný za poskytovanie autorizácií na využívanie určitých služieb užívateľom pre ISSO.
  
• Operator - zodpovedný za každodennú údržbu systému.
  
• Network Information System Security Officer (Net ISSO) - aktualizuje zoznam počítačov a k ním prislúchajúcich bezpečnostných atribútov.
  

     Zaujímavé z hľadiska tohto návrhu je LUID, ktoré slúži na presnú identifikáciu útočníka, ktorý sa pokúšal porušiť bezpečnostnú integritu systému.

Trusted Solaris

     Trusted Solaris, SUN - bezpečnostná úroveň B1. Založený je na SunOS 4.1.3. Z hľadiska bezpečnosti boli právomoci konta root rozdelené do právomocí jednotlivých skupín. Návrh pritom nelimituje ich počet a právomoci jednotlivých skupín sa na rozdiel od Trusted Ultrix MLS+ dajú nastavovať. Štandardne sú však preddefinované len tri skupiny:

• System Administrator - má na starosti správu tlačiarní a počítačov, čiže úlohu Network Information Security Officer z Ultrixu a navyše "bezpečnostne nepodstatnú" časť práce s užívateľskými kontami ako definovanie časov prihlasovania a podobne.
  
• System Operator - robí najmä zálohy systémových súborov.
  
• Root - voliteľná skupina, ktorá slúži na inštalovanie niektorých komerčných aplikácií, ktoré vyžadujú pre úspešnú inštaláciu UID 0. Na editáciu všetkých práv má prepracované menu.
  

     Na návrhu je zaujímavé to, že rieši aj priebeh bootovania a umožňuje nastaviť heslo, ktoré je vyžadované pri zmene parametrov bootovania.

Trusted UNICOS

     Trusted UNICOS od Cray Research, teraz vlastnených firmou Silicon Graphics - úroveň B1. Je to tiež MLS (Multi Level System), založený na Unicos 8. Riešenie je založené, podobne ako v Trusted Solarise, na access listoch (ACL) a sensitivity labels, ktoré slúžia ako vstupná informácia pre systém "discretionary access control" (DAC). Na rozdiel od predchádzajúcich riešení tiež poskytuje bezpečnosť sieťových operácií pomocou kryptografického protokolu, generujúceho "information labels", autentifikačnej informácie, pribaľovanej do IP paketov. Voliteľne sa dá k systému zakúpiť generátor jednorázových hesiel pre zvýšenie bezpečnosti prihlasovania. Administrátorské práva sa dajú voľne definovať pre nelimitovaný počet užívateľov.

TMach

     TMach, projekt TIS (Trusted Information Systems) - bezpečnostná úroveň B3. Ide iba o bezpečnosť kernelu samotného, projekt nerieši problém bezpečnosti systému, ktorý je na tomto kerneli prevádzkovaný.

Literatúra

Príloha