Beveiliging van besturingssystemen - Assurance in trusted operating systems

Question

Waarom geldt assurance niet allenen tijdens de ontwikkeling?

Answer 1

assurance dient niet alleen van kracht te zijn gedurende de vervaardiging en oplevering, maar gedurende de gehele levensduudr van het systeem. Dit is te bereiken door gebruik te maken van gestructureerde ontwerpprocessen, goede documentatie en testen. Hoe meer zekerheid we willen, hoe omvangrijker het ontwikkelproces wordt

Answer 2

User interactie, omdat:

The mens-computer interface valt meestal buiten de beveiligs kernel of beveiligingsresctricties geimplementeerd bij een operating system

code die samenwerkt met gebruikers is vaak veel complexer dan tussen 2 componenten

user interactions zijn meestal karakter georienteerd

ambiguity (dubbelzinnig) in access policy

incomplete mediation (niet alle toegangsverzoeken worden gecontroleerd)

generality (installeren van software door andere bedrijven, die met dezelfde provileges moet draaien als het operating system)

Answer 3

testing

penetration testing (

een doordringende test die ook wel tiger team anaylsis of ethical hacking wordt genoemd (proberen een systeem te kraken))

Answer 4

testen kan het bestaan van een probleem laten zien, maar niet de afwezigheid van een probleem
adequaat testen binnen een redelijke tijd is lastig
testen gebaseerd alleen op effecten die je kan zien en niet op de interne structuur is niet volledig
testen gebaseerd op interne structuur kan voor nieuwe vulnerabilities zorgen
Het probleem reproduceren is vaak lastig

Answer 5

kosten

kwaliteit (de code kan door veel mensen geanaliseerd worden)

support

extensibility

Answer 6

U.S "Orange book" evaluation (hierbij worden 4 verschillende classen van trust gedefinieerd (A t/m D, A is het hoogste niveau)
European ITSEC evaluation
ITSEC: Information technology security evaluation criteria (target of evaluation = het item waarop de evaluatie wordt gefocussed)
US combined federal criteria (protection profile = in detail de beveiliging die nodig is in specifieke gevallen en generieke gevallen en security target = map the requerementsof the protection profile in a context of the specific product onto a statement )

Answer 7

Hoe envoudiger en kleiner de TCB (Trusted Computer Base), des te kleiner de kans dat deze (implementatie) fouten bevat waardoor beveiligingslekken kunnen ontstaan, en des te groter de kans dat we de TCB daadwerkelijk kunnen vertrouwen. Bovendien kunnen we van een beperkte TCB veel beter verifieren of deze correct werkt

Answer 8

Nee, want het clearance niveau van het subject is lager dan van het objectJa, want het clearance niveau van het subject en het object zijn gelijkNee, want het subject kent geen compartiment cowNee, want het subject kent geen compartiment horseJa, want het clearance niveau van het subject is hoger dan van het object en de compartimenten van het subject bevatten alle compartimeneten van het objectNee, want het subject kent geen compartiment horse
Nee, want het subject kent geen compartiment horse

Answer 9

Het is mogelijk dat een ervaren medewerekr voor een bedrijf in iedere conflictklasse heeft gewerkt. Dat beteelnt dat hij alleen nog kanwerken voor bedrijven waarvoor hij al eerder heeft gewerkt en geen nieuwe klanten meer kan aannemen. Een oplossing kan zijn om een tijdafhankelijkheid toe te voegen. Eeen medewerker heeft dan toegang tot informatie over een bedrijf als gedurende een aantal jaren geen informatie over een ander bedrijf in dezelfde conflictklasse heeft geraadpleegd

Answer 10

Bij patientegegevens zijn 2 dingen belangrijk: integriteit en privacy. Helaas wordt privacy noch door de Clark-Wilson policy noch door de Chinese Wall policy ondersteund. Integriteit wordt wel geboden door de Clark Wilson policy. De CHinese Wall policy is geschikt voor systemen waar belangenverstringeling een belangrijke rol speelt

Answer 11

Geasts hebben enkel toegang tot hun eigen objecten. Gebruikers hebben tot hun eigen objecten en de objecten van gasten. De root heeft toegang tot alle objecten

Answer 12

1. top secret

secret

confidential

restricted

unclassified

2. <secret{C1,C2}

<secret{C1} <secret, {C2}> <unclassified, {C1,C2}>

<secret{} <unclassified,<C1>} <unclassified, {C2}>

<unclassified,{}>

(lijnen alleen van niveaus die minimaal hetzelfde compartiment bevatten)

Answer 13

De 2 subjecten dienen hetzelfde clearance niveau te hebben. Om s1 te laten lezen van s2 is vereist dat C(s1)>=C(s2) en om s2 te laten lezen van s1 is vereist dat C(s2)>=C(s1, dus C(s1)=C(s2). Als C(s1)=C(s2) kunnen s1 en s2 ook naar elkaar schrijven

Answer 14

De no write-down in het Bell-LaPadula-model en de write-up in het Biba-model werken elkaar tegen. Als dezelfde beveiligingsniveaus worden gebruikt in beide modellen, heeft een subject alleen schrijftoegang tot dezelfde classificatie als het subject. Er ontstaat dan een situatie waarbij de verschillende niveaus volledig geisoleerd zijn

Answer 15

Als een aanvallen door een bufferoverflow in de gelegenheid wordt gesteld zijn eigen code uit te voeren, dan krijgt de aanvallen de privileges die het oorspronkelijke programma had. Dus hoe minder privileges het programma had, hoe minder privileges de aanvaller krijgt en hoe minder schade deze kan aanrichten

Answer 16

Door modulariteit kunnen we bij iedere module afzonderlijk aangeven welke privileges deze heeft. Het wordt zo voor aanvallers lastiger het systeem te misbruiken. De aanvallers moeten zich nu immers richten op die ene specifieke module (met hogere privileges) in plaats van het gehele systeem.

Answer 17

Een applicatie kan zeer specifieke beveiligingseisen hebben die niet door de beveiligingsmechanismen van het besturingssysteem ondersteunt worden. In zo'n geval moet de applicatie de beveiligingsmechanismen zelf implementeren.

Een voorbeeld hiervan is MIcrosoft Word. Het is mogelijk bij een document een wachtwoord op te geven om te voorkomen dat onbevoegden dit document openen en/of bewerken. Het bevat dus een extra accesscontrolmechanisme

Answer 18

1. Biba

Het Bell-LaPadula-model en het military security model beschermen wel de confidentialiteit maar niet de integriteit van subjecten en objecten. Het lattice-model is een wiskundige structuur waarmee een security model gerepresenteerd wordt

Answer 19

niet waarniet waar
Separation of duty verdeeld verantwoordelijkheden over meerdere subjecten en voorkomt bijvoorbeeld fraude. Het beperkt echten niet de toegang tot systeembronnen
De gegeven termen (objecten, bedrijfsgroepen en conflictclassen zijn abstractielevels in de Chinese Wall policy

Answer 20

niet waar (De *-property in het Bell-LaPadula-model voorkomt write-down)niet waar (De simple integrity property in het Biba-model voorkomt write-up)

Answer 21

2. individu

Accountability is het principe dat stelt dat alle acties terug te voeren moeten zijn op 1 gebruiker (individu) om te kunnen bepalen wie precies verantwoordelijk is voor de actie.

Beveiliging van besturingssystemen - Assurance in trusted operating systems

22 belangrijke vragen over Beveiliging van besturingssystemen - Assurance in trusted operating systems

Waarom geldt assurance niet allenen tijdens de ontwikkeling?

Typical OS flaws: known vulnerabilities

Welke assurance methoden zijn er

Conclusies gebaseerd op testen zijn gelimiteerd omdat

Voordelen open source

Verschillende evaluatie aanpakken (assurance)

Beargumenteer waarom de TCB zo een voudig en klien mogelijk moet zijn

Welk probleem in de beveiliging als een medewerker al voor veel verschillende klanten heeft gewerkt en wat is daar een mogelijke oplossing voor

Welke policy is het meest geschikt voor een systeem dat patinetengegevens beheerd in een ziekenhuis, Clark-Wilson of Chinese Wall?

Teken de tralie behorende bij de military policy wanneer:
geen compartimenten, maar wel alle 5 niveaus worden gebruikt
2 compartimenten (C1 en C2) en 2 niveaus (secret en unclassified) worden gebruikt

Welke eisen worden in het Bell-LaPadula-model gesteld aan 2 subjecten die berichten naar elkaar sturen

Wat gebeurt er als het Bell-LaPadula en het Bib-model tegelijkertijd wordt toegepast

Hoe kan het principe van least privilage helpen de schade door bufferoverflows te beperken

Hoe helpt modulariteit om het principe van least privileges te implementeren

Een reference monitor kan zowel in het besturingssysteem als in de applicatie worden opgenomen. Wat kan de reden zijn om het laatste te doen

In welk securitymodel wordt de integriteit van subjecten en objecten beschermd
Biba
Bell-LaPadula
lattice
military

Wat geldt voor de 2 onderstaande beweringen (waar of niet waar)
Separation of duty voorkomt ongeoorloofde toegang tot systeembronnenDe Clark-Wilson security policy maakt gebruik van objecten, bedrijfsgroepen en conflictclassen

Zijn de onderstaande beweringen waar of niet waar:
De *-property in het Bell-LaPadula-model voorkomt write-upDe simple integrity property in het Biba-model voorkomt read-up

Het principe van accountability maakt het mogelijk een specifieke actie terug te voeren op 1:
security policy
individu
audit log
trusted operating system

Security en IT

Recht en efficiëntie : een inleiding in de e…

Beginselen van het Nederlandse staatsrecht

Pia Pia Método di Papiamentu

Basisboek journalistiek

Web programming step by step

TMap Next : voor resultaatgericht testen

Sociale hygiëne.

Cognitive development and learning in instru…

Webcultuur(T38121)

Nederland in de prehistorie. Revised ed.

webapplicaties: de clientkant

Beveiliging van besturingssystemen - Assurance in trusted operating systems

22 belangrijke vragen over Beveiliging van besturingssystemen - Assurance in trusted operating systems

Waarom geldt assurance niet allenen tijdens de ontwikkeling?

Typical OS flaws: known vulnerabilities

Welke assurance methoden zijn er

Conclusies gebaseerd op testen zijn gelimiteerd omdat

Voordelen open source

Verschillende evaluatie aanpakken (assurance)

Beargumenteer waarom de TCB zo een voudig en klien mogelijk moet zijn

Welk probleem in de beveiliging als een medewerker al voor veel verschillende klanten heeft gewerkt en wat is daar een mogelijke oplossing voor

Welke policy is het meest geschikt voor een systeem dat patinetengegevens beheerd in een ziekenhuis, Clark-Wilson of Chinese Wall?

Een policy bepaalt dat een subject allen toegang heeft tot een object wanneeer het subject het beveiligingsniveau van het object domineert. Beschrijf de toegang tot objecten bij de volgende tralie rootuser1 user2 user3 guest(lijnen van elke user naar root en van guest naar elke user)

Teken de tralie behorende bij de military policy wanneer:geen compartimenten, maar wel alle 5 niveaus worden gebruikt2 compartimenten (C1 en C2) en 2 niveaus (secret en unclassified) worden gebruikt

Welke eisen worden in het Bell-LaPadula-model gesteld aan 2 subjecten die berichten naar elkaar sturen

Wat gebeurt er als het Bell-LaPadula en het Bib-model tegelijkertijd wordt toegepast

Hoe kan het principe van least privilage helpen de schade door bufferoverflows te beperken

Hoe helpt modulariteit om het principe van least privileges te implementeren

Een reference monitor kan zowel in het besturingssysteem als in de applicatie worden opgenomen. Wat kan de reden zijn om het laatste te doen

In welk securitymodel wordt de integriteit van subjecten en objecten beschermdBibaBell-LaPadulalatticemilitary

Wat geldt voor de 2 onderstaande beweringen (waar of niet waar)Separation of duty voorkomt ongeoorloofde toegang tot systeembronnenDe Clark-Wilson security policy maakt gebruik van objecten, bedrijfsgroepen en conflictclassen

Zijn de onderstaande beweringen waar of niet waar:De *-property in het Bell-LaPadula-model voorkomt write-upDe simple integrity property in het Biba-model voorkomt read-up

Het principe van accountability maakt het mogelijk een specifieke actie terug te voeren op 1:security policyindividuaudit logtrusted operating system

Samenvattingen die gerelateerd zijn aan Username en password

Security en IT

Recht en efficiëntie : een inleiding in de e…

Beginselen van het Nederlandse staatsrecht

Pia Pia Método di Papiamentu

Basisboek journalistiek

Web programming step by step

TMap Next : voor resultaatgericht testen

Sociale hygiëne.

Cognitive development and learning in instru…

Webcultuur(T38121)

Nederland in de prehistorie. Revised ed.

webapplicaties: de clientkant

Een policy bepaalt dat een subject allen toegang heeft tot een object wanneeer het subject het beveiligingsniveau van het object domineert. Beschrijf de toegang tot objecten bij de volgende tralie
root
user1 user2 user3
guest
(lijnen van elke user naar root en van guest naar elke user)

Teken de tralie behorende bij de military policy wanneer:
geen compartimenten, maar wel alle 5 niveaus worden gebruikt
2 compartimenten (C1 en C2) en 2 niveaus (secret en unclassified) worden gebruikt

In welk securitymodel wordt de integriteit van subjecten en objecten beschermd
Biba
Bell-LaPadula
lattice
military

Wat geldt voor de 2 onderstaande beweringen (waar of niet waar)
Separation of duty voorkomt ongeoorloofde toegang tot systeembronnenDe Clark-Wilson security policy maakt gebruik van objecten, bedrijfsgroepen en conflictclassen

Zijn de onderstaande beweringen waar of niet waar:
De *-property in het Bell-LaPadula-model voorkomt write-upDe simple integrity property in het Biba-model voorkomt read-up

Het principe van accountability maakt het mogelijk een specifieke actie terug te voeren op 1:
security policy
individu
audit log
trusted operating system