2 Políticas, Modelos e Mecanismos de Segurança

1. 2Políticas, Modelos e Mecanismos de Segurança • O papel do controle de acesso • Matriz de controle de acesso • Resultados fundamentais • Políticas de segurança • Modelos de segurança • Mecanismos e implementação (C) 2005 Gustavo Motta

2. O papel do controle de acesso (1) • Controle de acesso (1) • É um mecanismo usado para limitar as ações que um usuário legítimo de um sistema de computação pode realizar, com base nas autorizações aplicáveis ao mesmo no momento do acesso • Uma autorização estabelece o que é permitido ou o que é proibido realizar, com a determinação dos direitos de acesso de um sujeito a um objeto computacional específico • Tem por objetivo prevenir que um sistema entre em um estado inseguro, de modo que ele continue a satisfazer uma política de segurança (C) 2005 Gustavo Motta

3. O papel do controle de acesso (2) • Controle de acesso (2) • A execução de uma ação não autorizada pode resultar na violação da confidencialidade ou da integridade das informações ou dos recursos • Embora menos central para preservar a disponibilidade, o controle de acesso claramente tem um importante papel: supõe-se que um atacante que consiga acesso não autorizado a um sistema tenha pouca dificuldade torná-lo indisponível • A conseqüência final é a violação da segurança (C) 2005 Gustavo Motta

4. O papel do controle de acesso (3) • Controle de acesso – entidades básicas • Usuário: refere-se às pessoas que interfaceiam com um sistema de computação • Sujeito: é uma entidade de um sistema de computação que pode iniciar requisições para realizar uma operação ou séries de operações sobre objetos • Usuários, processos e domínios podem ser sujeitos • Sujeitos atuam em benefício de um usuário num sistema de computação • Objeto: é uma entidade de sistema na qual uma operação pode ser iniciada • Recursos: objetos de interesse geral para os usuários • Sistema: objetos que servem ao sistema e que são necessários a sua operação • Operação: é um processo ativo invocado por um sujeito (C) 2005 Gustavo Motta

5. O papel do controle de acesso (4) • Monitor de referência (1) • Definição • Um monitor de referência é um conceito de controle de acesso de uma máquina virtual abstrata que intermedeiatodas as tentativas de um sujeitoacessar um objeto para executar uma operação (ANDERSON, 1972) • O monitor consulta um banco de dados de autorização para decidir se o sujeito tem permissão para executar a operação no objeto ou não • Modelo abstrato das propriedades necessárias para se alcançar um mecanismo de controle de acesso com alta garantia • Usado como guia para o projeto, o desenvolvimento, a implementação e a análise subseqüente da segurança de sistemas de informação (C) 2005 Gustavo Motta

6. O papel do controle de acesso (5) • Monitor de referência (2) • Conceitualmente, o monitor de referência representa a porção de hardware e de software de um sistema operacional que é responsável pela imposição da política de segurança armazenada no banco de dados de autorização • O monitor de referência deve controlar o acesso ao banco de dados de autorização, segundo uma dada política de segurança • O monitor de referência não prescreve uma política em particular para ser imposta pelo sistema, nem determina uma implementação específica • Define um framework abstratode garantia usado nas últimas 3 décadas no projeto, desenvolvimento e implementação de sistemas de informação altamente seguros • Também usado como base para avaliação do nível relativo de confiança que pode ser atribuído a um sistema de computação multiusuário (C) 2005 Gustavo Motta

7. O papel do controle de acesso (6) Esquema do monitor de referência Política de segurança Banco de Dados de Autorizações Controle de acesso Autenticação Administrador de Segurança Monitor de Referência Usuário Objetos Auditoria (C) 2005 Gustavo Motta

8. O papel do controle de acesso (7) • Monitor de referência (3) • Assume-se que o usuário tenha sido devidamente autenticado antes de se impor o controle de acesso através do monitor de referência • O efetividade do monitor de referência depende na identificação correta do usuário (integridade de origem - autenticação) e na correção das autorizações • Autenticação × autorização (1) • Autenticação: verifica a legitimidade da identidade de um usuário para o sistema de segurança – processo de determinar quem você é • Login e senha estática, com política de senhas – forma mais comum e vulnerável, especialmente em ambientes distribuídos • Login e senhas dinâmicas; identificação biométrica; certificados digitais e cartões inteligentes são exemplos de métodos autenticação mais robustos, baseados em pelos menos dois dos seguintes fatores • Alguma coisa que o usuário sabe + alguma coisa que ele tem + alguma coisa que ele é (C) 2005 Gustavo Motta

9. O papel do controle de acesso (8) • Monitor de referência (4) • Autenticação × autorização (2) • Autorização: determina o que você pode fazer, usualmente através de uma decisão (sim ou não) para liberar (ou proibir) o acesso a um objeto para executar uma operação • Autorização necessariamente depende de uma autenticação apropriada • Se um sistema não está certo da identidade de um usuário, não existe uma forma válida de determinar se o usuário deve ter o acesso requerido • Auditoria • Registra cronologicamente dados sobre a atividade no sistema e os analisa para descobrir violações de segurança e diagnosticar suas causas • Atua como forte inibidor para abusos e também é importante nas investigações após incidentes • É inócua se não houver a aplicação rigorosa das sanções previstas em caso de abusos (C) 2005 Gustavo Motta

10. O papel do controle de acesso (9) • Monitor de referência (5) • Princípios fundamentais para implementação de monitores de referência • Completude: um sujeito somente pode referenciar um objeto pela invocação do monitor de referencia, que não pode ser desviado • Requer que todos os objetos sejam protegidos, mesmo os menos óbvios • Dados transientes na memória – física ou virtual • Prevenção de acesso a objetos através de métodos diferentes daqueles do monitor • E. g.. o quanto um SGBD previne que seus objetos sejam acessados diretamente por funções de e/s de um sistema operacional de forma não autorizada • Isolamento: as funções de intermediação do monitor devem ser à prova de violação • A implementação de um núcleo de segurança é um meio de se buscar o isolamento • Verificabilidade: deve-se mostrar que o monitor está apropriadamente implementado • Tornar o núcleo de segurança pequeno e simples o suficiente para facilitar a demonstração de sua correção – boas práticas de engenharia de software (C) 2005 Gustavo Motta

11. O papel do controle de acesso (10) • Monitor de referência (6) • Núcleo de segurança • Implementação mínima das característicasrelevantes de segurança de um sistema • Função primitiva de sistema operacional responsável pelaimposição de uma política de segurança • Oferece facilidades básicas para funções não relacionadas a segurança • Funciona na camada de maior privilégio do sistema operacional, isolando-a das demais camadas contra violações potenciais • O código do núcleo deve ser verificado, pois também está sujeito a erros e a programação maliciosa Hardware Núcleo de segurança Sistema operacional (C) 2005 Gustavo Motta

12. O papel do controle de acesso (11) • Monitor de referência (7) • Necessário, mas não suficiente • O monitor de referência não obriga um sistema a impor uma política específica • Cabe às organizações definir qual é a política mais adequada para os seus propósitos • Políticas estritas, como as usadas em organizações militares, podem não ser adequadas para aplicação em organizações empresariais e vice versa • Princípios adicionais (FERRAIOLO et al., 2003) • Flexibilidade: o sistema deve ser capaz de impor as políticas de controle de acesso da organização hospedeira • Administração viável: o sistema deve ser intuitivo e fácil de gerenciar • Escalabilidade: as funções de administração e de sistema devem ser escaláveis com o número de usuários e de objetos dispersos nas plataformas de computação de uma organização hospedeira • Interoperabilidade: o sistema deve ser capaz de interoperar com outros sistemas de segurança (C) 2005 Gustavo Motta

13. Referências (1) • ANDERSON, J. Computer security technology planning study, volume II, Technical report ESD-TR-73–51, Electronic Systems Division, Air Force Systems Command, Hanscom Field, Bedford, MA 01730 (Outubro 1972). • FERRAIOLO, D. F.; KUHN D. R. e CHANDRAMOULIR. Role-based access control. Artech House, 2003. 316 p. (C) 2005 Gustavo Motta