Prava a ochrana dat pred zneuzitim

[Pavel Kankovsky]

On Tue, 9 Jan 2001, Bretislav Duda wrote:

> Ted ale vzniknul novy zajimavy pozadavek. Sef rozhodl ze je treba zabezpecit
> data pred kradezi ze serveru i pred uzivatelem ktery k nim ma ze stanice win
> povolen pristup.

Poslete sefa k nejakym bubakum na skoleni o ochrane utajovanych
skutecnosti. Nebo ho aspon nechte precist prislusne pravni predpisy
(nejvice doporucuji vyhlasku 244/1998 Sb. O podrobnostech stanoveni a
oznaceni stupne utajeni a o postupech pri tvorbe, evidenci, prenaseni,
preprave, zapujcovani, ukladani, jine manipulaci a skartaci utajovanych
pisemnosti...nedelam si srandu, to je skutecny nazev.)

> Da se nejak zajistit aby sli data otevirat ale nesli kopirovat ven ze
> serveru?

Ne. Kdyz uz si je muzu zobrazit na obrazovku, muze si je zly uzivatel
z te obrazovky ofotit nebo se je naucit nazpamet a venku to tridnimi
nepriteli odrecitovat zpameti.

Rekneme ale, ze se omezime pouze na kopirovani probihajici uvnitr
pocitace. Jak uz tady bylo spravne naznacovano, potreboval byste
pocitacovy system s povinnym rizenim pristupu (Mandatory Access Control,
to zrovna vyzaduji TCSEC tridy B). Jenze MS Windows zadny MAC nemaji a
tudiz takovy pocitac muze fungovat pouze v dedikovanem modu: totiz mit
pristup pouze k datum jedne konkretni tridy klasifikace. Cili byste musel
z pececek vyndat flopace a podobne mechaniky (a jakakoli jina zarizeni
umoznuji nezadouci export dat), kazde pripojit na vyhrazeny drat k serveru
(data prenasena pres "Windows Networking" nelze s rozumnou mirou
spolehlivosti separovat kryptograficky, je tudiz nutno tak ucinit
fyzicky) a kazde PC bude mit pristup jen k jedne skupine souboru (takove,
ze pohyb dat mezi nimi je povoleny), pricemz zmena pristupovych prav bude
mozna az po vymazani disku a nainstalovani cisteho systemu. Nebo tak
nejak.

Linux take zadny MAC by default nema. Security-enhanced Linux od NSA
MAC ma, konkretne Type Enforcement (nebo Domain and Type Enforcement,
priznam se, ze mi neni jasne, jsou-li to dve nazvy teze veci, nebo je-li
tam nejaky subtilni rozdil ve vyznamu). Pak jeste existuje patch RSBAC
(Rule Set Based Access Control) od Amona Otta (http://www.rsbac.de/),
ktery by mel take umoznovat nejaka MAC pravidla specifikovat. Nicmene je
pravda, ze i v pripade, ze tam nebudou zadne diry zpusobene blbou
implementaci (nejen v impl. rizeni v pristupu, ale v celem jadre), tak
tam bude dost prostoru pro skryte kanaly, coz muze zlemu uzivateli umoznit
pronaset vetsi ci mensi rychlosti data zpusobem, ktery rizeni pristupu
kompletne obchazi.

--Pavel Kankovsky aka Peak  [ Boycott Microsoft--http://www.vcnet.com/bms ]
"Resistance is futile. Open your source code and prepare for assimilation."