نموذج كلارك-ويلسون

📅 آخر تحديث: ٢٩ يوليو ٢٠٢٦
✍️ نُشر في: ٢٩ يوليو ٢٠٢٦
الموسوعة الحرة

يوفر نموذج سلامة كلارك - ويلسون أساسًا لتحديد وتحليل سياسة السلامة لنظام الحوسبة.

يركز هذا النموذج بشكل أساسي على صياغة مفهوم سلامة المعلومات . تُصان سلامة المعلومات بمنع تلف عناصر البيانات في النظام نتيجةً للخطأ أو النية الخبيثة. وتصف سياسة السلامة كيفية الحفاظ على صلاحية عناصر البيانات في النظام من حالة إلى أخرى، وتحدد صلاحيات مختلف الجهات الفاعلة فيه. يستخدم النموذج تصنيفات الأمان لمنح الوصول إلى الكائنات عبر إجراءات التحويل ونموذج واجهة مقيد.

أصل

وُصِف النموذج في ورقة بحثية نُشرت عام ١٩٨٧ بعنوان " مقارنة بين سياسات أمن الحاسوب التجارية والعسكرية " من تأليف ديفيد د. كلارك وديفيد ر. ويلسون. تُطوّر الورقة النموذج كوسيلة لإضفاء الطابع الرسمي على مفهوم سلامة المعلومات، لا سيما بالمقارنة مع متطلبات أنظمة الأمن متعددة المستويات (MLS) الموضحة في الكتاب البرتقالي . ويجادل كلارك وويلسون بأن نماذج السلامة الحالية، مثل نموذج بيبا (القراءة لأعلى/الكتابة لأسفل)، كانت أكثر ملاءمة لفرض سلامة البيانات بدلاً من سرية المعلومات. وتُعد نماذج بيبا أكثر فائدة بشكل واضح، على سبيل المثال، في أنظمة التصنيف المصرفي لمنع التعديل غير الموثوق للمعلومات وتلويثها في مستويات التصنيف العليا. في المقابل، يُعد نموذج كلارك - ويلسون أكثر قابلية للتطبيق على عمليات الأعمال والصناعة التي تُعد فيها سلامة محتوى المعلومات ذات أهمية قصوى على أي مستوى من مستويات التصنيف (مع أن المؤلفين يؤكدان أن النماذج الثلاثة جميعها مفيدة بشكل واضح لكل من المؤسسات الحكومية والصناعية).

المبادئ الأساسية

بحسب دليل دراسة شهادة أخصائي أمن نظم المعلومات المعتمد (CISSP) من ستيوارت وشابل، الإصدار السادس ، يستخدم نموذج كلارك-ويلسون منهجًا متعدد الأوجه لضمان سلامة البيانات. فبدلًا من تعريف آلة حالة رسمية ، يُعرّف النموذج كل عنصر من عناصر البيانات ويسمح بتعديله من خلال مجموعة صغيرة من البرامج فقط. يستخدم النموذج علاقة ثلاثية الأجزاء: موضوع/برنامج/كائن (حيث يمكن استبدال كلمة "برنامج" بكلمة "معاملة")، تُعرف باسم " الثلاثية" أو "ثلاثية التحكم في الوصول". ضمن هذه العلاقة، لا يملك الموضوعات وصولًا مباشرًا إلى الكائنات، إذ لا يمكن الوصول إلى الكائنات إلا من خلال البرامج.

تحدد قواعد الإنفاذ والتصديق في النموذج عناصر البيانات والعمليات التي توفر الأساس لسياسة النزاهة. ويستند جوهر النموذج على مفهوم المعاملة.

  • المعاملة السليمة هي سلسلة من العمليات التي تنقل النظام من حالة متسقة إلى حالة متسقة أخرى.
  • في هذا النموذج، تتناول سياسة النزاهة سلامة المعاملات.
  • يقتضي مبدأ فصل الواجبات أن يكون مُصدِّق المعاملة ومنفذها كيانين مختلفين.

يحتوي النموذج على عدد من البنى الأساسية التي تمثل عناصر البيانات والعمليات التي تُجرى عليها. يُعد عنصر البيانات المقيد (CDI) النوع الرئيسي للبيانات في نموذج كلارك - ويلسون. يضمن إجراء التحقق من السلامة (IVP) صلاحية جميع عناصر البيانات المقيدة في النظام عند حالة معينة. تُمثل المعاملات التي تُطبق سياسة السلامة بإجراءات التحويل (TPs). يأخذ إجراء التحويل عنصر بيانات مقيدًا أو عنصر بيانات غير مقيد (UDI) كمدخلات، ويُنتج عنصر بيانات مقيدًا. يجب أن ينقل إجراء التحويل النظام من حالة صالحة إلى أخرى صالحة. تُمثل عناصر البيانات غير المقيدة مدخلات النظام (مثل تلك التي يُقدمها المستخدم أو المُهاجم). يجب أن يضمن إجراء التحويل (عبر التصديق) تحويل جميع القيم المُمكنة لعنصر بيانات غير مقيد إلى عنصر بيانات مقيد "آمن".

قواعد

يرتكز النموذج على مفهوم العلاقة بين كيان موثق (أي مستخدم) ومجموعة من البرامج (أي المعاملات) التي تعمل على مجموعة من عناصر البيانات (مثل معرّفات المستخدم ومعرّفات العميل). تُعرف مكونات هذه العلاقة مجتمعةً باسم ثلاثية كلارك - ويلسون. كما يجب أن يضمن النموذج أن تكون جهات مختلفة مسؤولة عن إدارة العلاقات بين الكيانات والمعاملات وعناصر البيانات. على سبيل المثال، لا ينبغي للمستخدم القادر على توثيق علاقة أو إنشائها أن يكون قادرًا على تنفيذ البرامج المحددة في تلك العلاقة.

يتألف النموذج من مجموعتين من القواعد: قواعد التصديق (C) وقواعد الإنفاذ (E). تضمن هذه القواعد التسع سلامة البيانات داخليًا وخارجيًا. وبعبارة أخرى:

C1—عند تنفيذ IVP، يجب التأكد من أن CDIs صالحة.
C2—بالنسبة لمجموعة معينة من CDIs المرتبطة، يجب على TP تحويل تلك CDIs من حالة صالحة إلى أخرى.

بما أنه يجب علينا التأكد من أن هذه نقاط الاختبار معتمدة للعمل على جهاز CDI معين، فيجب أن يكون لدينا E1 و E2.

E1—يجب على النظام الاحتفاظ بقائمة بالعلاقات المعتمدة والتأكد من أن الأطراف المعتمدة فقط هي التي تعمل على تغيير CDI الذي يقوم به.
E2—يجب على النظام ربط مستخدم بكل نقطة اتصال ومجموعة من بيانات تعريف العميل. يجوز لنقطة الاتصال الوصول إلى بيانات تعريف العميل نيابةً عن المستخدم إذا كان ذلك "قانونيًا".
E3- يجب على النظام التحقق من هوية كل مستخدم يحاول تنفيذ عملية نقل.

يتطلب هذا تتبع الثلاثيات (المستخدم، TP، {CDIs}) التي تسمى "العلاقات المسموح بها".

ج3- يجب أن تستوفي العلاقات المسموح بها متطلبات "فصل الواجب".

نحتاج إلى نظام مصادقة لتتبع هذا الأمر.

C4—يجب على جميع نقاط المعالجة أن تضيف إلى السجل معلومات كافية لإعادة بناء العملية.

عندما تدخل المعلومات إلى النظام، لا يلزم أن تكون موثوقة أو مقيدة (أي يمكن أن تكون معرّفًا فريدًا للأجهزة). يجب علينا التعامل مع هذا الأمر بشكل مناسب.

C5—أي طرفية معالجة تستقبل مُعرّف بيانات فريد (UDI) كمدخل، لا يمكنها إجراء معاملات صالحة إلا لجميع القيم الممكنة لهذا المُعرّف. ستقوم الطرفية المعالجة إما بقبول مُعرّف البيانات الفريد (تحويله إلى مُعرّف بيانات متبادل (CDI)) أو رفضه.

وأخيرًا، لمنع الأشخاص من الوصول عن طريق تغيير مؤهلات مزود الخدمة:

E4— لا يجوز تغيير قائمة الكيانات المرتبطة بـ TP إلا من قبل جهة التصديق الخاصة بـ TP.

سي دبليو لايت

يُعدّ نموذج كلارك-ويلسون المُبسّط (CW-lite) أحد أشكال نموذج كلارك-ويلسون، وهو يُخفّف من شرط التحقق الرسمي من دلالات نظرية المعاملات. ويُؤجّل التحقق الدلالي إلى نموذج منفصل وأدوات إثبات رسمية عامة.

انظر أيضاً

مراجع