Уровни МСВС

[bill_01rus]

Вопрос в следующем - установлен МС ВС, в нем стоит почтовый клиент KOES, в системе настроены уровни по грифам секретности "НС", "ДСП", "С", "СС". Как сделать, что бы пользователь мог открывать почтовый клиент под любым уровнем но почту отправлять (получать) за пределы сетки мог только под уровнем "НС", а внутри сетки почту отправлять (получать) под любым уровнем.

[filatovka]

Вопрос в следующем - установлен МС ВС, в нем стоит почтовый клиент KOES, в системе настроены уровни по грифам секретности "НС", "ДСП", "С", "СС". Как сделать, что бы пользователь мог открывать почтовый клиент под любым уровнем но почту отправлять (получать) за пределы сетки мог только под уровнем "НС", а внутри сетки почту отправлять (получать) под любым уровнем.

ИМХО - никак! А точнее только в приказном порядке!

[drBatty]

Вопрос в следующем - установлен МС ВС, в нем стоит почтовый клиент KOES, в системе настроены уровни по грифам секретности "НС", "ДСП", "С", "СС". Как сделать, что бы пользователь мог открывать почтовый клиент под любым уровнем но почту отправлять (получать) за пределы сетки мог только под уровнем "НС", а внутри сетки почту отправлять (получать) под любым уровнем.

насколько я понимаю, тут нужны три роли пользователя. Вот нагуглил по русски для федоры, может подойдёт: http://docs.fedoraproject.org/ru-RU/Fedora...x_Contexts.html

А вообще ИМХО задача поставлена не совсем верно. ИМХО не может юзер читать чужую почту без уровня доступа. А по вашей схеме -- может. ИМХО у НС юзера своё адрес должен быть, и своё мыло.

И да, что такое "НС"? Это всю жизнь было "Не Секретно", у вас это -- высший уровень секретности по описанию(всё жизнь "Совершенно Секретно"). Какая-то странная политика. ИМХО.

[allez]

И да, что такое "НС"? Это всю жизнь было "Не Секретно", у вас это -- высший уровень секретности по описанию(всё жизнь "Совершенно Секретно"). Какая-то странная политика. ИМХО.

Доктор, с политикой все нормально, это у вас логика вверх ногами встала. :) Что странного в том, чтобы доступ наружу был только у такого пользователя, который не обладает доступом к секретным документам? Чем выше доступ, тем больше ограничений. Соответственно, имеешь доступ выше "НС" - работай локально и никаких тебе инетов с емейлами и прочими твиттерами. ;)

Кстати, можно провести некоторую аналогию между этой политикой и практикой запуска, например, браузеров от имени совсем "бесправного" пользователя. Вы же, надеюсь, работая под обычной учетной записью браузер от имени root не запускаете? :)

P. S. "Совершенно секретно" - не высший уровень, это так, посерединке.

[drBatty]

allez
да, я вчера по диагонали читал.

[allez]

Бывает. :) Я сам из-за поспешности своей несколько раз лопухнулся,так после этого предпочитаю перепроверить ответ перед отправкой на форум. Порой получается так, что аналогичный ответ уже кто-то успел дать. Тогда поясняю, что я не тормоз,а медленный газ и прошу не считать меня плагиатором. :)

[filatovka]

Если пользователю разрешено работать в системе с уровнем, например, "совершенно секретно" и при этом он имеет право запускать почтовый клиент, то я не пойму, что ему может помешать отправить письмо, работая под уровнем "СС", тем более, если он имеет право это сделать на внутренний адрес? Разве что случится чудо и каким-то образом межсетевой экран начнёт отбрасывать пакеты с метками!

[drBatty]

Разве что случится чудо и каким-то образом межсетевой экран начнёт отбрасывать пакеты с метками!

тащем-то не чудо. Дело в том, что netfilter умеет отбрасывать пакеты от определённого пользователя. Т.ч. какого-то конкретного пользователя вполне можно заблокировать по порту и/или по адресу или вообще.

Таблица 6-12. Ключи критерия Owner
Ключ --uid-owner
Пример iptables -A OUTPUT -m owner --uid-owner 500
Описание Производится проверка "владельца" по User ID (UID). Подобного рода проверка может использоваться, к примеру, для блокировки выхода в Интернет отдельных пользователей.

http://www.opennet.ru/docs/RUS/iptables/

[filatovka]

Так проблема в том, что этого условного пользователя нельзя полностью заблокировать, он должен иметь возможность отправлять файлы во внешку с нулевой меткой, а вот с первой и выше - нельзя. Я сомневаюсь, что iptables понимает, что такое метки.

[Bizdelnick]

Я сомневаюсь, что iptables понимает, что такое метки.

Вы не сомневайтесь, а почитайте man iptables. Очень познавательно.

[filatovka]

Я сомневаюсь, что iptables понимает, что такое метки.

Вы не сомневайтесь, а почитайте man iptables. Очень познавательно.

Как раз этим я и собираюсь заняться в ближайшее время. Ну а пока, те кто уже прочитал, может подскажут топикстартеру, может он при помощи iptables решить свою проблему или нет.

[Bizdelnick]

Ну а пока, те кто уже прочитал, может подскажут топикстартеру, может он при помощи iptables решить свою проблему или нет.

Для этого надо ещё знать, как в этой вашей МСВС реализованы "уровни".

[filatovka]

Ну а пока, те кто уже прочитал, может подскажут топикстартеру, может он при помощи iptables решить свою проблему или нет.

Для этого надо ещё знать, как в этой вашей МСВС реализованы "уровни".

В основе механизма мандатного управления доступом лежит мандатная модель безопасности
Белла-ЛаПадулы (названная по именам создателей), основанная на правилах секретного
документооборота, принятых в государственных и правительственных учреждениях многих стран.
Основным положением политики Белла-ЛаПадулы, взятым ими из реальной жизни, является
назначение всем участникам процесса обработки защищаемой информации, и документам, в которых
она содержится, специальной метки, например, «не секретно», «секретно» и т.д., получившей
название уровня безопасности. Все уровни безопасности упорядочиваются с помощью
установленного отношения доминирования, например, уровень «секретно» считается более высоким
чем уровень «не секретно», или доминирует над ним.
Контроль
доступа
осуществляется
в
зависимости
от уровней безопасности
взаимодействующих сторон на основании двух простых правил:
1. Уполномоченное лицо (субъект) имеет право читать только те документы, уровень
безопасности которых не превышает его собственный уровень безопасности.
2. Уполномоченное лицо (субъект) имеет право заносить информацию только в те документы,
уровень безопасности которых не ниже его собственного уровня безопасности.

Ну и так далее, целая книга "Средства защиты информации в среде МСВС 3.0"

[Bizdelnick]

Ну это лирика, а надо ж понимать, как оно технически реализовано. У меня, если честно, желания вникать нет.

[filatovka]

Ну это лирика, а надо ж понимать, как оно технически реализовано. У меня, если честно, желания вникать нет.

Такая же фигня

[drBatty]

iptables понимает, что такое метки.

этого и я не понимаю. У каждого процесса в *nix есть "метка", это UID, вот их "iptables" понимает.

[drBatty]

1. Уполномоченное лицо (субъект) имеет право читать только те документы, уровень
безопасности которых не превышает его собственный уровень безопасности.
2. Уполномоченное лицо (субъект) имеет право заносить информацию только в те документы,
уровень безопасности которых не ниже его собственного уровня безопасности.

http://ru.wikipedia.org/wiki/%D0%9C%D0%B0%...%BF%D0%BE%D0%BC

в АНБ накостылили поверх unix-like прав SELinux, который на сегодня поддерживается ядром, а значит и всеми дистрибутивами. А вот что там в вашей МСВС -- я не знаю.

В любом случае, это всё делается поверх обычных прав доступа, т.ч. каждый пользователь SELinux может ещё и обладать отдельной учёткой(и вроде-бы должен). Т.о. можно реализовать нужные разрешения.

Т.е. учётка с меткой СС не только получает доступ к СС документам, но и лишается доступа к почте и ко всему остальному.

А метки тут нужны только для того, что-бы юзер С мог добавлять документы СС.

Т.е. обычная модель обеспечивает для С доступ к ДСП, но полностью блокирует доступ к СС. Более расширенная MAC разрешает С создать документ СС. Но прочитать он свой же документ не может. Возможно также С не может создавать документы ДСП, хотя может их читать(вот тут не знаю, техническая возможность есть, но используется это или нет -- я не в курсе)

[voran]

Здравствуйте. При передаче информации секретной по почте клиент оэс, она почему то уходит несекретной. Как это исправить? Как присваиваются уровни?