تدفق المعلومات (نظرية المعلومات)

يُعرَّف تدفق المعلومات في سياق نظرية المعلومات بأنه نقل المعلومات من متغير${\displaystyle x}$إلى متغير${\displaystyle y}$في عملية معينة . قد لا تكون جميع التدفقات مرغوبة؛ على سبيل المثال، لا ينبغي للنظام أن يسرب أي معلومات سرية (جزئياً أو كلياً) إلى المراقبين العامين - لأنه انتهاك للخصوصية على المستوى الفردي، أو قد يتسبب في خسارة كبيرة على مستوى الشركة.

شكّل تأمين البيانات التي تعالجها أنظمة الحوسبة تحديًا في السنوات الماضية. توجد اليوم عدة طرق للحد من إفشاء المعلومات، مثل قوائم التحكم بالوصول ، وجدران الحماية ، والتشفير . ومع ذلك، فرغم أن هذه الطرق تفرض قيودًا على المعلومات التي يُفصح عنها النظام، إلا أنها لا تُقدّم أي ضمانات بشأن انتشار المعلومات . ^{[ 1 ]} على سبيل المثال، تمنع قوائم التحكم بالوصول لأنظمة الملفات الوصول غير المصرح به إلى الملفات، لكنها لا تتحكم في كيفية استخدام البيانات لاحقًا. وبالمثل، يُوفّر التشفير وسيلة لتبادل المعلومات بشكل خاص عبر قناة غير آمنة، لكن لا توجد ضمانات بشأن سرية البيانات بمجرد فك تشفيرها.

في تحليل تدفق المعلومات على المستوى الأدنى، يُخصص لكل متغير عادةً مستوى أمان. يتألف النموذج الأساسي من مستويين متميزين: منخفض وعالي، ويمثلان على التوالي المعلومات المتاحة للعامة والمعلومات السرية. ولضمان السرية، لا يُسمح بتدفق المعلومات من المتغيرات ذات المستوى العالي إلى المتغيرات ذات المستوى المنخفض. ومن جهة أخرى، ولضمان سلامة البيانات، يجب تقييد تدفق المعلومات إلى المتغيرات ذات المستوى العالي. ^{[ 1 ]}

وبشكل أعم، يمكن النظر إلى مستويات الأمان على أنها شبكة تتدفق فيها المعلومات إلى أعلى فقط. ^{[ 2 ]}

على سبيل المثال، بالنظر إلى مستويين أمنيين${\displaystyle L}$و${\displaystyle H}$(منخفضة وعالية)، إذا${\displaystyle L\leq H}$، يتدفق من${\displaystyle L}$ل${\displaystyle L}$، من${\displaystyle H}$ل${\displaystyle H}$، و${\displaystyle L}$ل${\displaystyle H}$سيُسمح بذلك، بينما تتدفق من${\displaystyle H}$ل${\displaystyle L}$لن يفعل. ^{[ 3 ]}

في جميع أنحاء هذه المقالة، يتم استخدام الرموز التالية:

• عامل${\displaystyle l\in L}$(منخفض) يشير إلى متغير يمكن ملاحظته علنًا
• عامل${\displaystyle h\in H}$يشير (عالي) إلى متغير سري

أين${\displaystyle L}$و${\displaystyle H}$هما المستويان الأمنيان الوحيدان اللذان يتم النظر فيهما في الشبكة .

يمكن تقسيم تدفقات المعلومات إلى فئتين رئيسيتين. أبسطها هو التدفق الصريح، حيث يتم تسريب معلومة سرية بشكل صريح إلى متغير يمكن ملاحظته علنًا. في المثال التالي، تنتقل المعلومة السرية الموجودة في المتغير h إلى المتغير l الذي يمكن ملاحظته علنًا .

المتغير l، h ل := ح

تندرج التدفقات الأخرى ضمن فئة القنوات الجانبية . فعلى سبيل المثال، في هجوم التوقيت أو هجوم تحليل الطاقة ، يُسرّب النظام معلومات من خلال الوقت أو الطاقة اللازمة لتنفيذ إجراء ما، وذلك بناءً على قيمة سرية.

في المثال التالي، يمكن للمهاجم أن يستنتج ما إذا كانت قيمة h تساوي واحدًا أم لا من خلال الوقت الذي يستغرقه البرنامج للانتهاء:

المتغير l، h إذا كان h = 1 ثم (* القيام ببعض الأعمال التي تستغرق وقتاً طويلاً *) l := 0

يُعدّ تدفق المعلومات الضمني أحد أنواع تدفق القنوات الجانبية، ويتمثل في تسريب المعلومات عبر مسار التحكم في البرنامج . يكشف البرنامج التالي (ضمنياً) قيمة المتغير السري h للمتغير l . في هذه الحالة، ولأن المتغير h منطقي، يتم الكشف عن جميع بتات المتغير h (في نهاية البرنامج، ستكون قيمة l هي 3 إذا كانت h صحيحة، و42 خلاف ذلك).

var l, h if h = true then ل := 3 وإلا l := 42

مبدأ عدم التدخل هو سياسة تضمن عدم قدرة المهاجم على التمييز بين عمليتين حسابيتين من خلال مخرجاتهما إذا كان الاختلاف الوحيد بينهما يكمن في مدخلاتهما السرية. مع ذلك، تُعدّ هذه السياسة صارمة للغاية بحيث لا يمكن تطبيقها في البرامج الواقعية. ^{[ 4 ]} المثال الكلاسيكي هو برنامج فحص كلمات المرور الذي يحتاج، لكي يكون مفيدًا، إلى الكشف عن بعض المعلومات السرية: ما إذا كانت كلمة المرور المدخلة صحيحة أم لا (لاحظ أن المعلومة التي يحصل عليها المهاجم في حال رفض البرنامج لكلمة المرور هي أن كلمة المرور المُدخلة غير صالحة).

تُعرّف آلية التحكم في تدفق المعلومات بأنها آلية تُطبّق سياسات تدفق المعلومات. وقد طُرحت عدة طرق لتطبيق هذه السياسات. استُخدمت آليات وقت التشغيل التي تُصنّف البيانات بعلامات تدفق المعلومات على مستوى نظام التشغيل ومستوى لغة البرمجة . كما طُوّرت تحليلات ثابتة للبرامج لضمان توافق تدفقات المعلومات داخل البرامج مع السياسات.

تم تطوير كل من التحليل الثابت والتحليل الديناميكي للغات البرمجة الحالية. مع ذلك، لا تستطيع تقنيات التحليل الديناميكي رصد جميع مسارات التنفيذ، وبالتالي لا يمكنها أن تكون سليمة ودقيقة في آن واحد. ولضمان عدم التداخل، فإنها إما تُنهي عمليات التنفيذ التي قد تُفصح عن معلومات حساسة ^{[ 5 ]} أو تتجاهل التحديثات التي قد تُسرب معلومات. ^{[ 6 ]}

إحدى الطرق البارزة لفرض سياسات تدفق المعلومات في البرنامج هي استخدام نظام أنواع أمني ، أي نظام أنواع يفرض خصائص أمنية. في مثل هذا النظام السليم، إذا اجتاز البرنامج فحص الأنواع، فإنه يفي بسياسة التدفق، وبالتالي لا يحتوي على أي تدفقات معلومات غير سليمة.

كما سبق بيانه، فإن سياسة عدم التدخل صارمة للغاية بحيث لا يمكن تطبيقها في معظم التطبيقات العملية. ^{[ 7 ]} ولذلك، تم ابتكار عدة مناهج تسمح بنشر المعلومات بشكل مُتحكم فيه. وتُعرف هذه المناهج باسم رفع السرية عن المعلومات.

يتطلب رفع السرية القوي ألا يتمكن المهاجم النشط من التلاعب بالنظام من أجل معرفة المزيد من الأسرار أكثر مما يعرفه المهاجمون السلبيون بالفعل. ^{[ 4 ]}

يمكن تصنيف بنى رفع السرية عن المعلومات في أربعة أبعاد متعامدة: ما هي المعلومات التي يتم نشرها، ومن هو المصرح له بالوصول إلى المعلومات، وأين يتم نشر المعلومات، ومتى يتم نشر المعلومات. ^{[ 4 ]}

var l, h if l = 1 then l := declassify (h)

var ab (* {Alice, Bob} *) var b (* {Bob} *) if ab = 1 then ab := declassify (b, {Alice, Bob}) (* {Alice, Bob} *)

متغير l، تدفق h H${\displaystyle \prec }$L في l := h

المتغير س، ص y := false إذا كانت x = صحيح، y := true أعد القيمة صحيحًا

إلى جانب تطبيقاتها في لغات البرمجة، تم تطبيق نظريات التحكم في تدفق المعلومات على أنظمة التشغيل، ^{[ 11 ]} والأنظمة الموزعة، ^{[ 12 ]} والحوسبة السحابية . ^{[ 13 ] [ 14 ]}