مستويات متعددة

يُعدّ نظام الأمان متعدد المستويات ( MSL ) وسيلةً لفصل مستويات البيانات المختلفة باستخدام أجهزة حاسوب أو آلات افتراضية منفصلة لكل مستوى. ^{[ 1 ]} ويهدف هذا النظام إلى توفير بعض مزايا الأمان متعدد المستويات دون الحاجة إلى تغييرات خاصة في نظام التشغيل أو التطبيقات، ولكن على حساب الحاجة إلى أجهزة إضافية.

تأثرت جهود تطوير أنظمة تشغيل MLS بشدة بالانخفاض الكبير في تكاليف معالجة البيانات في أوائل التسعينيات. قبل ظهور الحوسبة المكتبية، كان على المستخدمين الذين لديهم متطلبات معالجة سرية إما إنفاق مبالغ طائلة على جهاز كمبيوتر مخصص أو استخدام جهاز كمبيوتر مُجهز بنظام تشغيل MLS. مع ذلك، وخلال التسعينيات، استغلت العديد من المكاتب في قطاعي الدفاع والاستخبارات انخفاض تكاليف الحوسبة لنشر أنظمة مكتبية مصنفة للعمل فقط على أعلى مستوى تصنيف مُستخدم في مؤسساتهم. عملت هذه الحواسيب المكتبية في وضع النظام العالي ، وكانت متصلة بشبكات محلية (LAN) تنقل البيانات بنفس مستوى الحواسيب.

لقد تجنبت تطبيقات MSL، مثل هذه، تعقيدات MLS، لكنها ضحت بالبساطة التقنية مقابل استخدام غير فعال للمساحة. ولأن معظم المستخدمين في البيئات المصنفة كانوا بحاجة أيضًا إلى أنظمة غير مصنفة، كان لدى المستخدمين غالبًا جهازان حاسوب على الأقل، وأحيانًا أكثر (جهاز لمعالجة البيانات غير المصنفة، وجهاز لكل مستوى تصنيف). إضافةً إلى ذلك، كان كل جهاز حاسوب متصلًا بشبكة محلية خاصة به عند مستوى التصنيف المناسب، مما يعني دمج عدة شبكات كابلات مخصصة (بتكلفة باهظة من حيث التركيب والصيانة).

يتمثل العيب الواضح لنظام MSL (مقارنةً بنظام MLS) في عدم دعمه لدمج مستويات التصنيف المختلفة بأي شكل من الأشكال. على سبيل المثال، لا يدعم النظام دمج دفق بيانات سري (مأخوذ من ملف سري) مع دفق بيانات شديد السرية (مقروء من ملف شديد السرية) وتوجيه دفق البيانات الناتج شديد السرية إلى ملف شديد السرية. باختصار، يمكن اعتبار نظام MSL مجموعة من أنظمة الحاسوب المتوازية (والموجودة في نفس الموقع)، حيث يقتصر عمل كل منها على مستوى أمان واحد فقط. في الواقع، قد لا تفهم أنظمة تشغيل MSL الفردية مفهوم مستويات الأمان، لأنها تعمل كأنظمة أحادية المستوى. على سبيل المثال، في حين أنه قد يتم تكوين أحد أنظمة التشغيل MSL الموجودة في نفس الموقع لإلحاق سلسلة الأحرف "SECRET" بجميع المخرجات، فإن نظام التشغيل هذا ليس لديه فهم لكيفية مقارنة البيانات من حيث الحساسية والأهمية بالبيانات التي يعالجها نظام التشغيل النظير الذي يلحق سلسلة "UNCLASSIFIED" بجميع مخرجاته .

عند العمل عبر مستويين أمنيين أو أكثر، يجب استخدام أساليب خارجة عن نطاق "أنظمة التشغيل" الخاصة بـ MSL، وتتطلب تدخلاً بشرياً يُعرف بـ "المراجعة اليدوية". على سبيل المثال، يمكن توفير نظام مراقبة مستقل ( ليس بالمعنى الذي قصده برينش هانسن ) لدعم نقل البيانات بين عدة نظراء MSL ( مثل نسخ ملف بيانات من نظير غير مصنف إلى نظير سري). مع أنه لا توجد متطلبات صارمة في التشريعات الفيدرالية تتناول هذا الأمر تحديداً، فمن المناسب أن يكون نظام المراقبة هذا صغيراً جداً، ومصمماً خصيصاً لهذا الغرض، ويدعم عدداً محدوداً من العمليات المحددة بدقة، مثل استيراد وتصدير الملفات، وتكوين تسميات الإخراج، ومهام الصيانة/الإدارة الأخرى التي تتطلب التعامل مع جميع نظراء MSL الموجودين في نفس الموقع كوحدة واحدة بدلاً من التعامل معهم كأنظمة فردية أحادية المستوى. قد يكون من المناسب أيضًا استخدام بنية برمجية للمشرفين الافتراضيين ، مثل VMware ، لتوفير مجموعة من أنظمة التشغيل MSL النظيرة على شكل بيئات افتراضية منفصلة، ​​مدعومة بنظام تشغيل أساسي لا يمكن الوصول إليه إلا من قِبل المسؤولين المصرح لهم بالوصول إلى جميع البيانات التي يديرها أي من النظراء. من وجهة نظر المستخدمين، سيُظهر كل نظير جلسة تسجيل دخول أو جلسة إدارة عرض X لا يمكن تمييزها منطقيًا عن بيئة المستخدم لنظام التشغيل الأساسي "للصيانة".

دفعت التكلفة والتعقيد المصاحبان لصيانة شبكات منفصلة لكل مستوى من مستويات التصنيف وكالة الأمن القومي (NSA) إلى بدء البحث عن سبل للحفاظ على مفهوم أنظمة MSL المخصصة مع تقليل الاستثمار المادي المطلوب لشبكات وأجهزة حاسوب متعددة. وكانت معالجة الفترات أولى الخطوات في هذا المجال، حيث وضعت بروتوكولات تمكّن الوكالات من ربط جهاز حاسوب بشبكة ذات تصنيف معين، ومعالجة المعلومات، وتنظيف النظام، ثم ربطه بشبكة أخرى ذات تصنيف مختلف. وقدّم نموذج معالجة الفترات وعدًا باستخدام جهاز حاسوب واحد، لكنه لم يُسهم في تقليل شبكات الكابلات المتعددة، وأثبت أنه غير عملي للغاية للمستخدمين؛ ولذلك، كان اعتماده محدودًا.

في تسعينيات القرن الماضي، غيّر ظهور تقنية المحاكاة الافتراضية قواعد اللعبة لأنظمة MSL. فجأةً، أصبح من الممكن إنشاء أجهزة افتراضية تعمل كحواسيب مستقلة، ولكنها تعمل على منصة أجهزة مشتركة. مع المحاكاة الافتراضية، رأت وكالة الأمن القومي الأمريكية (NSA) طريقةً للحفاظ على معالجة البيانات على مستوى افتراضي، دون الحاجة إلى تطهير النظام المادي من خلال تنفيذ جميع عمليات المعالجة داخل أجهزة افتراضية مخصصة ذات مستوى عالٍ. ومع ذلك، لكي تعمل أنظمة MSL في بيئة افتراضية، كان من الضروري إيجاد طريقة للتحكم الآمن في مدير الجلسات الافتراضية، وضمان عدم قدرة أي نشاط ضار موجه إلى جهاز افتراضي واحد على اختراق جهاز آخر.

سعت وكالة الأمن القومي إلى تنفيذ برامج متعددة تهدف إلى إنشاء تقنيات مختبرات علوم المواد (MSL) فعّالة وآمنة بالاستفادة من المحاكاة الافتراضية. وحتى الآن، تم التوصل إلى ثلاثة حلول رئيسية.

• " مستويات أمان متعددة مستقلة " أو MILS، مفهوم معماري طوره الدكتور جون راشبي ، يجمع بين فصل أمني عالي الموثوقية وفصل أمان عالي الموثوقية. وقد أدى التحسين اللاحق من قبل وكالة الأمن القومي وكلية الدراسات العليا البحرية بالتعاون مع مختبر أبحاث القوات الجوية ، وشركة لوكهيد مارتن ، وروكويل كولينز ، وأنظمة واجهة أوبجيكتيف ، وجامعة أيداهو ، وبوينغ ، ورايثيون ، و MITRE، إلى وضع ملف تعريف حماية EAL-6+ وفقًا لمعايير Common Criteria لنواة فصل عالية الموثوقية .
• يستخدم برنامج " NetTop "، الذي طورته وكالة الأمن القومي الأمريكية بالتعاون مع شركة VMware، نظام التشغيل لينكس المعزز أمنيًا (SELinux) كنظام تشغيل أساسي لتقنيته. ويحتفظ نظام التشغيل SELinux بشكل آمن بمدير الجلسات الافتراضية، الذي بدوره يُنشئ أجهزة افتراضية لتنفيذ وظائف المعالجة والدعم.
• تم تطوير نظام "Trusted Multi-Net"، وهو نظام تجاري جاهز للاستخدام (COTS) يعتمد على نموذج العميل الخفيف ، بشكل مشترك من قبل تحالف صناعي يضم شركات مايكروسوفت ، وسيتركس سيستمز ، ونيويوركر تكنولوجيز، وفي إم وير، وميتري، وذلك لتوفير إمكانية الوصول للمستخدمين إلى الشبكات المصنفة وغير المصنفة. وتلغي بنيته الحاجة إلى شبكات كابلات متعددة، إذ يعتمد على التشفير لنقل جميع البيانات عبر كابل معتمد لأعلى مستوى وصول مسموح به.

تمت الموافقة على استخدام كلٍ من حلول NetTop وTrusted Multi-Net. إضافةً إلى ذلك، طورت شركة Trusted Computer Solutions منتجًا يعمل كعميل خفيف، استنادًا في الأصل إلى مفاهيم تقنية NetTop، وذلك بموجب اتفاقية ترخيص مع وكالة الأمن القومي الأمريكية (NSA). يُطلق على هذا المنتج اسم SecureOffice® Trusted Thin Client، ويعمل على نظام التشغيل Red Hat Enterprise Linux الإصدار 5 (RHEL5) بتكوين LSPP.

قامت ثلاث شركات متنافسة بتطبيق نوى فصل MILS:

• شركة غرين هيلز للبرمجيات
• لينكس وركس
• أنظمة الأنهار الريحية

بالإضافة إلى ذلك، فقد تم إحراز تقدم في تطوير أنظمة MSL غير الافتراضية من خلال استخدام أجهزة متخصصة، مما أدى إلى حل واحد قابل للتطبيق على الأقل:

• تستخدم تقنية ستارلايت (التي يتم تسويقها الآن باسم نظام الربط التفاعلي)، والتي طورتها منظمة العلوم والتكنولوجيا الدفاعية الأسترالية (DSTO) وشركة Tenix Pty Ltd، أجهزة متخصصة للسماح للمستخدمين بالتفاعل مع شبكة "منخفضة" من جلسة شبكة "عالية" داخل نافذة، دون تدفق أي بيانات من الشبكة "العالية" إلى الشبكة "المنخفضة".

من المثير للاهتمام التفكير في الآثار الفلسفية لمسار حل MSL. فبدلاً من توفير إمكانيات MLS ضمن نظام تشغيل تقليدي، يتمثل التوجه المختار في بناء مجموعة من نظراء "نظام التشغيل الافتراضي" الذين يمكن إدارتهم، بشكل فردي وجماعي، بواسطة نظام تشغيل حقيقي أساسي. إذا كان من المفترض أن يتمتع نظام التشغيل الأساسي (لنُعرّفه بنظام تشغيل الصيانة ، أو MOS ) بفهم كافٍ لدلالات MLS لمنع الأخطاء الجسيمة، مثل نسخ البيانات من نظير MSL سري للغاية إلى نظير MSL غير مصنف، فيجب أن يتمتع نظام MOS بالقدرة على: تمثيل التصنيفات؛ وربط التصنيفات بالكيانات (هنا نتجنب بدقة مصطلحي "الموضوع" و"الهدف")؛ ومقارنة التصنيفات (مع تجنب دقيق لمصطلح "مراقب المرجع")؛ والتمييز بين السياقات التي تكون فيها التصنيفات ذات معنى وتلك التي لا تكون فيها كذلك (مع تجنب دقيق لمصطلح " قاعدة الحوسبة الموثوقة " [TCB])؛ والقائمة تطول. يتبين بسهولة أن مشكلات بنية وتصميم نظام إدارة الخوادم المتعددة (MLS) لم تُحل، بل أُحيلت إلى طبقة برمجية منفصلة تُدير بشكل غير مرئي مسائل التحكم الإلزامي في الوصول، بحيث لا تحتاج الطبقات العليا إلى ذلك. هذا المفهوم ليس سوى المفهوم المعماري الأساسي (المستمد من تقرير أندرسون ) الذي يقوم عليه نظام وزارة الدفاع الأمريكية الموثوق به في المقام الأول.

على الرغم من أن تجريد مجموعة نظراء MSL قد حقق نتائج إيجابية، إلا أنه حصر نطاق آليات البرمجيات المدركة لرمز التحكم بالوصول (MAC) بشكل جذري في نظام MOS الصغير التابع. وقد تحقق ذلك على حساب إلغاء أي قدرات عملية لـ MLS، حتى أبسطها، كما هو الحال عندما يُلحق مستخدم مُصرّح له بصلاحية الوصول إلى معلومات سرية فقرة غير مصنفة، مأخوذة من ملف غير مصنف، بتقريره السري. من الواضح أن تطبيق MSL سيتطلب نسخ كل مورد "قابل لإعادة الاستخدام" (في هذا المثال، الملف غير المصنف) عبر كل نظير MSL قد يجده مفيدًا، مما يعني إما استهلاكًا غير ضروري لمساحة تخزين ثانوية كبيرة أو عبئًا لا يُطاق على المسؤول المُصرّح له القادر على إجراء عمليات النسخ هذه استجابةً لطلبات المستخدمين. (بالطبع، بما أن المستخدم السري لا يستطيع "تصفح" محتويات النظام غير المصنفة إلا بتسجيل الخروج وإعادة تشغيل النظام غير المصنف من جديد، فهذا يُظهر قيدًا آخر شديدًا على الوظائف والمرونة). بدلاً من ذلك، يمكن ربط أنظمة الملفات الأقل حساسية بنظام NFS للقراءة فقط، بحيث يتمكن المستخدمون الأكثر موثوقية من تصفح محتواها دون تعديله. مع ذلك، لن يمتلك نظام التشغيل MLS أي وسيلة فعلية للتمييز (عبر أمر عرض محتويات الدليل، على سبيل المثال ) بين مستوى حساسية الموارد المربوطة بنظام NFS ومستوى حساسية الموارد المحلية، ولن يمتلك أي وسيلة فعالة لمنع تدفق المعلومات الحساسة غير المصرح به إلى النظام المحلي، باستثناء آلية الربط المباشر بنظام NFS للقراءة فقط.

لتوضيح مدى تأثير هذا التوسع الكبير في "مشاركة الملفات بين المستويات" على النظام، لنأخذ مثالًا على نظام MLS يدعم بيانات غير مصنفة، وسرية، وسرية للغاية، ومستخدم لديه تصريح أمني سري للغاية يسجل دخوله إلى النظام على هذا المستوى. تُبنى هياكل دليل MLS وفقًا لمبدأ الاحتواء، الذي ينص، بشكل عام، على أن مستويات الحساسية الأعلى تقع في أعماق الشجرة: عادةً، يجب أن يتطابق مستوى الدليل مع مستوى الدليل الأصل أو يتفوق عليه، بينما يجب أن يتطابق مستوى الملف (أو بالأحرى، أي رابط إليه) مع مستوى الدليل الذي يُفهرسه. (ينطبق هذا بشكل خاص على نظام MLS UNIX: فالبدائل التي تدعم مفاهيم مختلفة للمجلدات، ومدخلات المجلدات، وعقد i، وما إلى ذلك - مثل Multics ، الذي يضيف مفهوم "الفرع" إلى نموذج المجلدات الخاص به - تتسامح مع مجموعة أوسع من التطبيقات البديلة). تُوفر آليات مستقلة للمجلدات المشتركة العامة ومجلدات التخزين المؤقت، مثل /tmp أو C:\TEMP ، والتي يقوم نظام التشغيل بتقسيمها تلقائيًا - وبشكل غير مرئي - حيث يتم "توجيه" طلبات وصول المستخدمين إلى الملفات تلقائيًا إلى قسم المجلد المُسمى بشكل مناسب. يتمتع مستخدم "سري للغاية" بحرية تصفح النظام بأكمله، وقيده الوحيد هو أنه - أثناء تسجيل دخوله على هذا المستوى - يُسمح له فقط بإنشاء ملفات "سري للغاية" جديدة داخل مجلدات محددة أو فروعها. في بديل MSL، حيث يجب نسخ أي محتوى قابل للتصفح بشكل محدد ومضنٍ عبر جميع المستويات المطبقة بواسطة مسؤول مصرح له بالكامل - مما يعني، في هذه الحالة، أنه يجب نسخ جميع البيانات السرية إلى نظام التشغيل النظير TOP SECRET MSL، بينما يجب نسخ جميع البيانات غير المصنفة إلى كل من النظراء السريين وTOP SECRET - يمكن للمرء أن يدرك بسهولة أنه كلما زادت درجة تصريح المستخدم، زادت إحباطات تجربة الحوسبة الخاصة به في المشاركة الزمنية.

بالمعنى النظري الكلاسيكي لأنظمة الثقة - بالاعتماد على المصطلحات والمفاهيم المستمدة من الكتاب البرتقالي ، وهو أساس الحوسبة الموثوقة - لا يمكن لنظام يدعم نظراء MSL أن يحقق مستوى ضمان يتجاوز (B1). وذلك لأن معايير (B2) تتطلب، من بين أمور أخرى، تحديدًا واضحًا لمحيط TCB ووجود كيان واحد قابل للتحديد لديه القدرة والسلطة على البت في الوصول إلى جميع البيانات المُمثلة في جميع موارد نظام ADP المتاحة. وبالتالي، فإن استخدام مصطلح "ضمان عالٍ" لوصف تطبيقات MSL غير منطقي، لأن مصطلح "ضمان عالٍ" يقتصر في الواقع على أنظمة (B3) و(A1)، ومع بعض المرونة، على أنظمة (B2).

صُممت أنظمة MSL، سواء كانت افتراضية أو مادية، للحفاظ على العزل بين مستويات التصنيف المختلفة. ونتيجة لذلك، (على عكس أنظمة MLS)، لا تمتلك بيئة MSL قدرات فطرية لنقل البيانات من مستوى إلى آخر.

للسماح بمشاركة البيانات بين أجهزة الكمبيوتر التي تعمل بمستويات تصنيف مختلفة، تستخدم هذه المواقع حلولاً متعددة النطاقات (CDS)، والتي تُعرف عادةً باسم حراس البوابة أو البوابات . تقوم هذه البوابات، التي غالباً ما تستفيد من تقنيات MLS، بتصفية حركة البيانات المتدفقة بين الشبكات؛ ولكن على عكس جدار الحماية التجاري للإنترنت ، فإن البوابة مصممة وفقاً لمتطلبات ضمان أكثر صرامة، ويتم تصميم عملية التصفية فيها بعناية لمحاولة منع أي تسريب غير مصرح به للمعلومات السرية بين الشبكات المحلية التي تعمل بمستويات أمان مختلفة.

تُستخدم تقنيات ثنائيات البيانات على نطاق واسع حيثما يلزم تقييد تدفق البيانات في اتجاه واحد بين المستويات، مع ضمان عالٍ لعدم تدفق البيانات في الاتجاه المعاكس. وبشكل عام، تخضع هذه التقنيات لنفس القيود التي فرضت تحديات على حلول أنظمة إدارة المعلومات المتعددة الأخرى: التقييم الأمني ​​الصارم، وضرورة توفير نسخة إلكترونية مكافئة للسياسة المعلنة لنقل المعلومات بين التصنيفات. (يُعدّ نقل المعلومات إلى مستوى تصنيف أدنى أمرًا بالغ الصعوبة، ويتطلب عادةً موافقة عدة أشخاص مختلفين).

حتى أواخر عام 2005، تمت الموافقة على استخدام العديد من المنصات عالية الموثوقية وتطبيقات الحماية في البيئات السرية. تجدر الإشارة إلى أن مصطلح "عالي الموثوقية" المستخدم هنا يُقيّم في سياق DCID 6/3 (يُقرأ "دي سكيد 6 ثري")، وهو دليل شبه تقني لبناء ونشر أنظمة مختلفة لمعالجة المعلومات السرية، ويفتقر إلى كل من الدقة القانونية الصارمة لمعايير الكتاب البرتقالي والصرامة الرياضية الكامنة وراءها. (يستند كتاب أورانج إلى سلسلة منطقية من الاستدلالات، مبنية على النحو التالي: [أ] تعريف حالة "آمنة" رياضياً، وبناء نموذج رياضي، بحيث تحافظ العمليات التي تُجرى عليه على الحالة الآمنة، مما يؤدي إلى حالة آمنة في أي تسلسل عمليات يمكن تصوره بدءًا من حالة آمنة؛ [ب] ربط العناصر الأولية المختارة بعناية بتسلسلات العمليات على النموذج؛ [ج] "مواصفات وصفية عالية المستوى" تربط الإجراءات التي يمكن تنفيذها على واجهة المستخدم (مثل استدعاءات النظام ) بتسلسلات من العناصر الأولية؛ ولكن دون الوصول إلى [د] إثبات رسمي بأن تطبيقًا برمجيًا حيًا ينفذ تسلسلات الإجراءات المذكورة بشكل صحيح؛ أو [هـ] إثبات رسمي بأن النظام القابل للتنفيذ، والذي أصبح الآن "موثوقًا به"، يتم إنشاؤه بواسطة أدوات صحيحة وموثوقة [ مثل المترجمات، وأمناء المكتبات، والروابط]).