Л.11. Разделение домена (FPT_SEP)

Л.11 Разделение домена (FPT_SEP)

Компоненты семейства FPT_SEP обеспечивают, чтобы, по меньшей мере, один домен безопасности был доступен только для собственного выполнения ФБО, и этим они были защищены от внешнего вмешательства и искажения (например, модификации кода или структур данных ФБО) со стороны недоверенных субъектов. Выполнение требований этого семейства устанавливает такую самозащиту ФБО, что недоверенный субъект не сможет модифицировать или повредить ФБО.

Это семейство содержит следующие требования.

а) Ресурсы домена безопасности ФБО ("защищенного домена") и ресурсы субъектов и активных сущностей, внешних по отношению к этому домену, разделяются так, что сущности, внешние по отношению к защищенному домену, не смогут получить или модифицировать данные или код ФБО в пределах защищенного домена.

б) Обмен между доменами управляется так, что невозможен произвольный вход в защищенный домен или произвольный выход из него.

в) Параметры пользователя или прикладной программы, переданные в защищенный домен по адресу, проверяются относительно адресного пространства защищенного домена, а переданные по значению - относительно значений, ожидаемых этим доменом.

г) Защищенные домены субъектов разделены, за исключением случаев, когда совместное использование одного домена управляется ФБО.

Замечания для пользователя

Это семейство применяется, когда требуется уверенность в том, что ФБО не подвержены внешнему воздействию.

Для получения эквивалента монитора обращений необходимо применить компонент FPT_SEP.2 (Отделение домена ПФБ) или FPT_SEP.3 "Полный монитор обращений" совместно с FPT_RVM.1 "Невозможность обхода ПБО" и ADV_INT.3 "Минимизация сложности". Кроме того, если требуется полное посредничество при обращениях, требования компонентов из класса FDP "Защита данных пользователя" необходимо распространить на все объекты в составе ОО.

FPT_SEP.1 Отделение домена ФБО

Без отдельного защищенного домена для ФБО не может быть доверия тому, что ФБО не подвергались каким-либо воздействиям со стороны недоверенных субъектов. Такие воздействия могут привести к модификации кода и/или структур данных ФБО.

FPT_SEP.2 Отделение домена ПФБ

Наиболее важной функцией ФБО является поддержка осуществляемых ими ПФБ. Чтобы упростить разработку ПФБ и приблизить их свойства к свойствам монитора обращений, в частности, к стойкости к воздействиям, функции, проводящие ПФБ, необходимо сосредоточить в домене, отличном от остальной части ФБО.

Замечания по применению для оценщика

Возможно, что монитор обращений в многоуровневом проекте предоставляет больше функций, чем требуется в ПФБ. Это проистекает из практической реализации многоуровневого проекта программного обеспечения. При этом функции, не относящиеся к ПФБ, следует свести к минимуму.

Допустимо, чтобы мониторы обращений для всех осуществляемых ПФБ находились как в одном домене монитора обращений, так и в нескольких доменах (каждый используется для осуществления одной или нескольких ПФБ). Если имеется несколько доменов монитора обращений для нескольких ПФБ, они могут или быть равноправными, или образовывать иерархию.

Для FPT_SEP.2.1 фраза "неизолированная часть ФБО" относится к той части ФБО, которая не охвачена в FPT_SEP.2.3.

Операции

Назначение

Для FPT_SEP.2.3 автору ПЗ/ЗБ следует специфицировать те ПФБ управления доступом и/или информационными потоками, которым следует занимать отдельный домен.

FPT_SEP.3 Полный монитор обращений

Наиболее важной функцией из числа ФБО является поддержка осуществляемых ими ПФБ. Компонент FPT_SEP.3 завершает требования предыдущих компонентов семейства, устанавливая, что все функции безопасности, проводящие ПФБ управления доступом и/или информационными потоками, будут выполняться в домене, отличном от домена выполнения остальных ФБО. Это упрощает разработку ФБО и приближает их свойства к свойствам монитора обращений, в частности, к стойкости к воздействиям.

Замечания по применению для оценщика

Возможно, что монитор обращений в многоуровневом проекте предоставляет больше функций, чем требуется в ПФБ. Это проистекает из практической реализации многоуровневого проекта программного обеспечения. При этом функции, не относящиеся к ПФБ, следует свести к минимуму.

Допустимо, чтобы мониторы обращений для всех осуществляемых ПФБ находились как в одном домене монитора обращений, так и в нескольких доменах (каждый используется для осуществления одной или нескольких ПФБ). Если имеется несколько доменов монитора обращений для нескольких ПФБ, они могут или быть равноправными, или образовывать иерархию.