Seguridad. Mecanismos de protección Canales encubiertos Seguridad multinivel

Transcripción

1 Seguridad Mecanismos de protección Canales encubiertos Seguridad multinivel

2 Mecanismos de protección Un dominio de protección es un conjunto de pares (objetos, permisos) que especifica para cada objeto las operaciones que se le pueden realizar

3 Mecanismos de protección Representacion matricial:

4 UNIX En unix/linux, los dominios son por usuario y grupo (UID, GID). Una syscall genera un cambio de dominio de protección desde el usuario al kernel. También un proceso puede tener un dominio diferente al del usuario que lo ejecuta setuid

5 Mecanismos de protección Los dominios de proteccion tambien pueden ser considerados objetos en si mismos; el permiso ENTER se usa para modelar el cambio de dominio

6 Listas de control de acceso ACL Como la mayoria de los dominios no tiene acceso a la mayoria de los objetos, la representacion matricial es ineficiente Variante: almacenar la matriz por filas o columnas, y luego almacenar solo los elementos no vacios Por filas: ACLs Por columnas: Listas de capacidades

7 Listas de control de acceso ACL Las ACLs asocian a cada objeto una lista ordenada de los dominios que pueden acceder a el Todo lo que no esta especificado se asume denegado

8 Listas de control de acceso ACL Las ACLs deben ser manejadas/protegidas por el SO! Ademas de organizar las ACLs por usuario, se pueden organizar por grupo Al ejecutarse, un proceso hereda los permisos de su usuario/grupo A menos que tenga setuid/setgid!

9 Listas de capacidades Cada proceso tiene una lista de objetos que puede acceder, con los permisos correspondientes

10 Listas de capacidades A diferencia de las ACLs, un usuario hereda los permisos del proceso (y no viceversa!) Las capacidades pueden ser: Los clasicos RWX: Crear o eliminar una capacidad o un objeto

11 ACLs versus Capacidades Las capacidades son eficientes: Cuando se ejecuta un proceso, no hace falta buscar en la lista de ACL algun permiso En las ACLs es costoso agregar un nuevo permiso Por ej., dar R a un archivo para todos los usuarios Por otro lado, las ACLs son mejores para revocar un permiso a un usuario en particular

12 Seguridad Multinivel Se agrega un orden jerarquico entre los grupos en un sistema Modelo Bell-LaPadula Los objetos tienen un nivel de seguridad No-clasificado Confidencial Secreto TOPSECRET Queremos regular el acceso a objetos entre diferentes jerarquias

13

14 Modelo Bell-LaPadula Reglas: Propiedad de seguridad simple: Un proceso que se ejecuta en nivel k solo puede leer objetos de su nivel o en uno menor Propiedad (*): un proceso de nivel k solo puede escribir objetos en su nivel o uno superior En la figura, la prop. Simple son flechas solidas La prop. (*) son flechas punteadas Idea: los soldados rasos no pueden leer los archivos de los generales, pero si viceversa

15 Modelo Bell-LaPadula La informacion solo fluye en forma horizontal o hacia arriba No existe una ruta que revele informacion a un nivel de seguridad mas bajo! NOTA: la informacion es lo que esta dentro de los objetos La propiedad que se preserva es confidencialidad de los datos Idea: los soldados rasos no pueden leer los archivos de los generales, pero si viceversa

16 Modelo Biba En el modelo Bell-LaPadula se asegura confidencialidad pero no integridad Que quiere decir?

17 Modelo Biba Cualquiera puede (sobre)escribir los objetos de mas alto nivel! Idea: los soldados rasos pueden enviar mensajes a los generales Pero los archivos no son integros : cualquiera los puede sobreescribir El modelo Biba provee integridad (pero no confidencialidad)

18 Modelo Biba Reglas: Propiedad de seguridad simple: Un proceso que se ejecuta en nivel k solo puede escribir objetos de su nivel o en uno menor Propiedad (*): un proceso de nivel k solo puede leer objetos en su nivel o uno superior No podemos tener ambas propiedades (confidencialidad e integridad) coexistiendo, a menos que no haya comunicación entre niveles

19 Canales Encubiertos Los modelos de control de acceso (ACLs, capacidades), previenen la comunicación directa entre procesos Por ejemplo, si son procesos que pertenecen a distintos usuarios, sin permiso explicito para comunicarse, el SO los debe encapsular Puede haber otras maneras de comunicación? Los objetos (recursos, archivos) pueden ser vistos como canales de comunicación! Canales encubiertos = Information Flow (Flujo de informacion)

20 Ejemplo

21 Canales Encubiertos Modulacion de CPU: Tenemos dos procesos, el emisor y el receptor, que se estan ejecutando en un sistema Cuando el emisor quiere enviar un bit 1, se comporta CPU bound. Cuando quiere enviar un 0, se comporta IO bound. El receptor lee el bit de acuerdo a si tiene un tiempo de respuesta rapido entre context switch Que hace falta para que funcione este canal encubierto?

22 Canales Encubiertos El receptor debe poder medir el tiempo real para saber si el CPU esta siendo usado mucho o poco Mientras mas procesos haya ejecutandose, mas ruidoso es el canal, y la tasa de bits es mas baja Pero siempre se pueden usar codigos de correccion! Next: usar la memoria como canal encubierto.

23 Canales Encubiertos Modulacion de paginacion: El emisor cuando quiere enviar un 1, llena la memoria. Cuando quiere enviar un 0, la limpia El receptor intenta leer la memoria. Si hay Muchos page faults -> 1 Pocos page faults -> 0 El receptor debe poder leer el tiempo de devolucion de una lectura a memoria Tanto este esquema como el anterior requieren medir el tiempo real Para evitarlos podemos prohibirlo!

24 Canales Encubiertos Lock/generacion de un archivo El emisor crea/lockea un archivo cuando quiere enviar un 1, no lo hace cuando quiere enviar un 0 El cliente intenta acceder para recibir. No requiere tiempo real! Sin embargo req. Sincronizacion de turno...

25 Canales Encubiertos en Lenguajes de Programacion Situacion: Un programa tiene algunas variables secretas que no se deberian conocer por un atacante que puede manipular las entradas publicas y ver las salidas del programa Ejemplo: Var L, H; L:=H; Return L;

26 Information Flow El programa anterior pierde toda la confidencialidad de H! Este? Var H; H:=H mod 2; L:=0; If H==1 then L:=1; Return L;

27 Information Flow Y si el atacante puede medir los tiempos de ejecucion? Var H; If H==1 then sleep(50); Return 0;

28 No-Interferencia La no interferencia asegura que no haya flujos no permitidos desde variables secretas a publicas Def. Para toda par de ejecuciones de un programa P con entradas (H0,L) y (H1,L): Ejecucion 1: (H0,L) --->* (H0', L0') y Ejecucion 2: (H1,L) --->* (H1', L1') Entonces se cumple que L0' = L1'

29 Ejemplo Var L, H; L:=H; Return L; Probamos con entradas (H=0, L=1) y (H=1, L=0) La primera me devuelve (0,0) y la segunda (1,1); la segunda coordenada L es diferente! Var L, H; L:=H; L:=0; Return L; Ahora ya no hay flujo de informacion. Hacer lo mismo para el otro ejemplo.