Скрытые каналы

Скрытые каналы использования общих ресурсов, как пути сообщения. Это требует совместного использования пространства или совместное времени.

А тайные хранения канал использует атрибут общих ресурсов. А тайные сроки канал использует временных или заказ отношений между доступ к общему ресурсу.

А тайные сроки канала, как правило, определяется в реальном времени, часы или таймер, но временные отношения иногда используют ни. В заказе мероприятий подразумевает время - отношений, что предполагает ни реального времени, ни часы, таймер.

Второй собственности различие между тайным каналам, что только отправитель и получатель имеют доступ к тайной, и канал, что и другие имеют доступ к а.

А noiseless скрытых каналов является тайной, что канал использует ресурсов, имеющихся в распоряжении отправителя и получателя только. А шумные скрытых каналов является тайной, что канал использует ресурсов для субъектов, помимо отправителя и получателя, а также отправителя и получателя.

Разница между этими двумя типами каналов состоит в необходимости отфильтровать посторонние информации. Любая информация о том, что приемник получает от noiseless передача исходит от отправителя. Однако в шумной канал, отправителя информации смешивается с бессмысленной информации, или шум, от других организаций, используя ресурс. А шумные скрытых каналов требует протокол к минимуму этого вмешательства.

Основные свойства скрытые каналы существование и канала. Наличие подсказывает нам, что есть канал, по которым информация может передаваться. Bandwidth говорит нам о том, насколько быстро информация может быть отправлено. Анализ скрытых каналов определяет как свойства. Тогда каналы могут быть устранены или их полосах частот может быть уменьшена.

Выявление скрытых каналов

Скрытые каналы требуют обмена. То, что ресурс совместной контроля, какие вопросы могут отправлять и получать информацию, что общий ресурс. Выявление методов начинаются с этого наблюдения.

Поррас и Кеммерер разработали подход к безопасности, представляющих нарушения, которые весной с применением вина деревьев. Они модель обмена информацией через общие ресурсы с дерева. На пути потока определяются в этой структуре. В аналитик определяет каждого потока является законным или скрытой.

А тайные поток дерево - это дерево - структура представительства последовательность операций, чтобы переместить информацию из одного процесса в другой. Она состоит из пяти типов узлов.

Гол символов указывать, что должны существовать для информационного потока. Есть несколько таких состояний:
1. Изменение цель достигается, когда атрибут изменяется.
2. Признание цель достигается, когда изменение атрибута обнаружен.
3. А прямое признание цель достигается, когда вопрос может обнаруживать изменение атрибута путем привязки его непосредственно или позвонив функция, которая возвращает его.
4. В вытекать признание цель достигается, когда вопрос может обнаруживать изменение атрибут без ссылок и непосредственно, без захода функции, что ссылки атрибут напрямую. Например, вопрос может призвать функции выполняет один из двух расчетов в зависимости от значения атрибута в вопрос.
5. В вывод - через цель достигается, когда информация передается от одной присваивать другие атрибуты, используя указанный примитивных операций (таких, как системы слово).
6. А признать - новое государство - цель достигнута, когда атрибут, который был изменен, когда информация была передана с использованием он указывается один вывод - через цели. В стоимость не определяется, но тот факт, что атрибут был изменен должен быть определен.
Операцию символ - символ, что представляет собой примитивные операции. Операция символов может отличаться в зависимости от системы, если они имеют различные примитивные операции.
Неудача символ указывает, что информация не может быть направлен на путь, на котором он находится. Это означает, что цель, к которой она прилагается не могут быть удовлетворены.
Одним и символ цели, что достигается, когда оба из следующих проведет для всех детей:
1. Если ребенок - это цель, то цель достигнута.
2. Ребенок операции.
Одним или символ - это цель, что будет достигнуто при соблюдении любого из следующих проводит для всех детей:
1. Если ребенок - это цель, то цель достигнута.
2. Ребенок операции.

Построение дерева на три этапа. Чтобы сделать конкретные шаги, мы представляем простой набор операций, а затем попросить, если они смогут создать скрытых каналов.

ПРИМЕР: Рассмотрим файловую систему, в которой каждый файл имеет три характеристики. В булевы атрибуты блокируется и isopen справедливы если файл заблокирован или открыт, соответственно, и являются ложными иначе. Третий атрибут, inuse, представляет собой комплекс, который содержит идентификатор процесса каждого процесса, что имеет файл открытым. Функция read_access (р, е) верно, если процесс р образом права на файл ж, и пустой (ы), если верно установить с не членов. Функция возвращает случайная один из его аргументов выбираются произвольно. В следующие операции определены.

  (* заблокировать файл, если он не блокируется и не открыл *) (*, иначе указать она закрыта, вернувшись ложных *) процедуры Lockfile (ж: файл): булево; начать если не f.locked и разгружать (f.inuse) Затем f.locked: = верно; конец; (* открыть файл *) процедуры Unlockfile (ж: файл); начать, если f.locked затем f.locked: = ложь; конец; (* ли файл заблокирован *) функция Filelocked (ж: файл): булево; начать Filelocked: = f.locked; конец; (* открыть файл, если он не заблокирован и *) (* процесс имеет право читать файл *) процедуры Openfile ( ж: файл); начать если не f.locked и read_access (process_id, ж), то (* добавить процесс ID для inuse набор *) f.inuse = f.inuse + process_id; конец; ( * если процесс может прочитать этот файл, скажем, если *) (* файл открыт, в противном случае возвращает значение наугад *) функция Fileopened (ж: файл): булево; начать если не read_access (process_id, ж ), то Fileopened: = случайная (правда, ложные); еще Fileopened: = не isempty (f.inuse); конец

Если предположить, что процессы не могут взаимодействовать друг с другом, читателю предлагается попытаться найти скрытые хранения канал.

Первым шагом в создании тайных поток дерево определить, какие атрибуты (если таковые имеются) на примитивных операциях ссылки, изменять, и обратно.

ПРИМЕР: функции в предыдущем примере влияют атрибуты файлов различными способами, в следующем.

	Lockfile	Unlockfile	Filelocked	Openfile	Fileopened
ссылка	заперто, inuse	закрыта	закрыта	заперто, inuse	inuse
изменить	закрыта	Ø	Ø	inuse	Ø
вернуться	Ø	Ø	закрыта	Ø	inuse

Символ Ø означает, что атрибут пострадавших в установленном порядке.

Второй этап начинается с целью обнаружения тайной хранения канала, который используется атрибут. В аналитик строит тайных поток деревом. Тип цели контроля строительства, в следующем.

В topmost цели требует, чтобы атрибут быть изменена и что изменения будут признаны. Следовательно, имеет одного ребенка (в и символ), которая, в свою очередь, имеет двоих детей (изменение цели символом и символ признания цели).
Изменение цели требует некоторых примитивных операция для изменения атрибута. Таким образом, он имеет один или ребенка, которая имеет одного ребенка символ операции на операцию для всех операций, которые изменяют атрибут.
А цели требует признания, что вопрос либо непосредственно, или вывести признать изменения атрибута. Она имеет или символ, как его ребенка. В или символ имеет двоих детей, один прямой цели символ признания и другой вывод, символ признания цели.
А прямое признание цели требует, что операция доступа атрибута. Как изменение цели, он один или ребенка, и что ребенок, в свою очередь, имеет одного ребенка операции символ для каждой операции, которая возвращает атрибут. Если операция не возвращает атрибут, символ неспособности прилагается.
Одним установлены цели требует признания, что изменение быть установлены на основе одного или нескольких других атрибутов. Поэтому он имеет одну ребенка, или символ, который имеет одного ребенка - вывод через символ для каждой операции, что ссылки атрибут и, что изменяет некоторые атрибута (возможно, тот же, который был ссылками).
В вывод - через цели требует, чтобы стоимость атрибут быть установлены с помощью некоторых операций и признания нового статуса атрибут в результате этой операции. Следовательно, имеет одного ребенка (в и символ), которая имеет двоих детей (операция символ представляющий примитивные операции используются для обратить догадки и признать - новая цель государства - символ).
А признать - новая цель - состояние требует, чтобы значение атрибута быть установлены с помощью некоторых операций и признания нового статуса атрибут в результате этой операции. Последнее требует признания цели атрибут. Итак, ребенок узла из признать - новая цель государства - это символ или символ, и для каждого атрибута позволяет сделать вывод об изменении атрибута в вопрос, или символ признания имеет целью обозначение ребенка.

Дерево строительство заканчивается, когда все пути через дерево прекратить в любой операции, символом или символом неудачи. Поскольку строительство рекурсивна, аналитик может столкнуться цикл в дереве строительства. Если это произойдет, параметр называется повторять определяет количество раз, что путь может быть пересекается. Это верхний обязательность от размера дерева.

В общих ресурсов матричной модели и тайные поток из деревьев весной идею изучения общих ресурсов для модификации и ведения операций, и оба могут быть использованы в любой момент в течение разработки программного обеспечения жизненного цикла. Одно из преимуществ тайной поток деревьев над SRM модели заключается в том, что бывший четко определяет последовательность операций, которые вызывают поток информации от одного процесса к другому. Последний определяет каналы, а не последовательность операций. В сравнений с участием доступа к файловой системе операций и безопасности Ада Цель, тайных поток деревьев методом определены последовательность операций, соответствующих тайных хранения найденных каналов в SRM метода и noninterference метод, а также один не найден двумя другими.

Уменьшение скрытых каналов

Скрытые каналы передачи информации по различной использования общих ресурсов. Очевидным способом устранения всех скрытых каналов, является требование процессов, какие ресурсы они должны до исполнения и предоставить эти ресурсы таким образом, чтобы только этот процесс может получить к ним доступ. Это включает выполнение, и, когда заявил выполнения достигается, процесс прекращается и ресурсы освобождены. Ресурсы остаются выделенные для полного выполнения, даже если этот процесс завершается раньше. В противном случае второй процесс может вывести информацию о сроках освобождения ресурсов (в том числе доступ к ЦП). Эта стратегия фактически осуществляет Лампсон в идее полной изоляции, но это, как правило, неосуществимой на практике.

Альтернативный подход состоит в том, чтобы скрыть объем ресурсов, что процесс использования. При получении процесс не может определить, какой объем использования ресурсов присваивается отправителю и какие суммы объясняется тем помутнения. Это можно сделать двумя способами. Во-первых, ресурсы, выделяемые на каждый процесс может быть одинаковыми. Это вариант изоляции, поскольку каждый процесс получает тот же объем ресурсов, и не может ли второй процесс доступа к ресурсам измерения времени или объема имеющихся ресурсов. По сути, ликвидирует систему значимых нарушений в распределении ресурсов и использовать. Во-вторых, система может привнести в случайность распределения и использования ресурсов. Наша цель - сделать тайные канал шумной, и на шум доминировать канала. Это не закрыть тайные канал (поскольку он еще существует), но делает его бесполезным.

Оба эти методы влияют эффективности. Задание фиксированного распределения и ограничения ресурсов, использование отходов. Установление времени куски на КМК системы означает, что процессор будет неиспользованные (или будет осуществлять праздный процесса), когда другой виртуальной машины может запускать, не бездействует процесса. Повышение вероятности aborts в многоуровневой системе безопасности данных прекратиться некоторых операций, которые обычно совершают ожидается увеличение числа пытается обновить базу данных. Будь закрытия тайных канал или ограничения полосы пропускания для адекватно компенсирует потери в эффективности политического решения.

Устройство известный как насос на основе нескольких методов для победы скрытых каналов.

в этой статье идет речь добавил Фред Фостер