Un sistema informático ofrece servicios a usuarios humanos en el seno de una sociedad u organización. Algunos tipos de servicios son:

En muchos casos es cuestión de vida o muerte garantizar que el sistema informático funciona correctamente.

Los recursos del sistema informático son limitados: hay un coste inherente a su utilización, que puede ser repercutido en forma de tarifa o impuestos a los usuarios.

En toda sociedad u organización humanas existen unas restricciones de uso de la información: derechos de intimidad; información que representa o es sujeto de propiedad; etc. En tales casos es necesario restringir según qué usuario el acceso a la información del sistema.

Garantizar la integridad, disponibilidad y privacidad de la información contenida en un sistema informático

Permitir la distinción de clases de usuarios, con diferentes autorizaciones sobre el uso de los recursos del sistema

La seguridad informática es una materia amplia, que abarca entre otras cosas: los modos de trabajo de las personas, los dispositivos físicos de seguridad y la seguridad interna de la máquina y el sistema operativo.

Seguridad externa: la referente a las instalaciones del sistema informático y al acceso de personas al sistema y su información.

Contempla estas dos áreas:

Seguridad interna: la que se refiere a la circuitería del sistema, o a los asuntos de seguridad del sistema operativo.

PROTECCIÓN: Parte de la seguridad interna relativa al control de acceso de programas, procesos o usuarios a los recursos de un sistema informático.

Estas amenazas pueden ser accidentales o intencionadas.

Intrusión: Entrada no autorizada o indebida en el sistema. También llamada penetración.

Revelación de información no autorizada

Destrucción de información

Utilización indebida de servicios del sistema

Daños físicos al sistema

Degradación en el funcionamiento del sistema

Denegación de acceso a usuarios autorizados

Programas cuyo propósito directo o indirecto es violar la seguridad del sistema

El sistema de autorizaciones ha de definir:

Seguridad. Principios de diseño
(Saltzer y Schroeder)

Validación o autentificación: mecanismos para admitir o denegar el acceso de usuarios

El mecanismo de validación ha de ser lo más cómodo, aceptado por los usuarios, barato y difícil de replicar o robar.

Debería minimizar las falsas aceptaciones así como los falsos rechazos de usuarios.

Clases de mecanismos:

Contraseña   algo conocido por la persona

Artefacto   algo poseído por la persona

Biometría   algo característico de la persona

Tarjetas magnéticas, llaves, etc.

Características fisiológicas (huella dactilar, vasos retinales) o conductuales (firma, patrón de voz, etc.)

Si son fáciles de recordar, son fáciles de adivinar

Solución: contraseñas aleatorias generadas por el sistema

Contraseñas multinivel, o una por tipo de servicio   incómodo

Reto dinámico: plantear un enigma conocido por el usuario   impracticable

Limitación de intentos consecutivos, p.ej. con subsiguiente desconexión de la terminal o cancelación de la cuenta   riesgo de denegación de servicio o de merma de eficiencia

Caducidad de contraseñas   que expiren al cabo de cierto tiempo

Establecer niveles de privilegio mediante circuitería:

Limpieza de almacenamiento borrado  evita obtención de información por recolección de basura

Servicios de registro de auditoría ofrecidos por el sistema operativo

Replicación de la información (copia de seguridad, etc.)

Cada objeto admite un conjunto de operaciones sobre él.

Los sujetos y objetos pueden aparecer y desaparecer en el transcurso de la existencia del sistema (ej. nuevos procesos, nuevos ficheros)

Derecho de acceso: Autoridad de un sujeto para ejecutar una operación

Cada sujeto posee un conjunto de derechos de acceso sobre cada recurso.

Dominio de protección: conjunto de derechos de acceso, como una lista de pares <objeto, conjunto de derechos>

En cada momento, un proceso se ejecuta dentro de un dominio de protección.

Ejemplo de representación de dominios de protección:

• un usuario (UNIX) o un grupo de usuarios
• un proceso
• un procedimiento (Hydra)

Los dominios de protección o los derechos de acceso pueden también considerarse objetos.

Por poner un caso, puede definirse el derecho de acceso que permita a un proceso ejecutarse en un dominio de protección determinado.

Ejemplo: matriz de acceso que define el ciclo de vida de un proceso de edición/compilación/ejecución de un programa.

Obsérvese que en este ejemplo se atiende al principio de mínima necesidad.

La matriz de acceso es sólo una construcción teórica; potencialmente es ilimitada y además es escasa (muchas casillas en blanco).

Mecanismos desarrollados:

• Llaves y cerraduras

Evitan expresar la información sobre protección en estructuras de datos.

Muy común es considerar que un usuario es un dominio de protección, o alguna variante de este principio.

El usuario se autentifica mediante un mecanismo de nombre y contraseña; tras autentificarse, queda en un dominio de protección correspondiente al UID del usuario.

Establecer un conjunto de niveles jerárquicos de acceso a los recursos, y las transiciones permitidas entre ellos.

Modo dual de operación (modo supervisor/modo usuario): dos niveles.

Múltiples niveles de operación.

Ej. modo núcleo, modo sistema, modo administrador, modo usuario.

Anillos de protección (MULTICS)

Muchos lenguajes protegen los objetos declarados en los programas mediante estructuración del código en bloques, compilación separada de módulos, abstracción de tipos de datos, etc.

La información de protección puede así estar dispersa: cada objeto tiene su lista aparte.

Las celdas vacías de la matriz de acceso no están representadas.

Variantes:

Listas con derechos por omisión (si no apareces en las listas, se te concede el derecho por omisión)

Listas denegatorias (quien aparece en ellas, no tiene el derecho indicado)

Desde el punto de vista de un lenguaje de programación, una capacidad es un puntero protegido.

Una capacidad representa conceptualmente una fila de la matriz de accesos.

Una capacidad es un tipo especial de apuntador a objetos.

Cada sujeto (proceso) posee una lista de capacidades, que le permiten acceder de forma controlada a los objetos del sistema.

Basta la posesión de la capacidad para tener acceso al objeto correspondiente (con los derechos asociados a la capacidad). No hay verificación adicional.

El sistema ha de garantizar que un proceso no pueda utilizar capacidades que no posee.

Un proceso actúa sobre los objetos invocando servicios del tipo operación ( capacidad, parámetros... ), servicios proporcionados por el sistema operativo.

En el sistema puede haber muchas capacidades distintas que apunten al mismo objeto, pero con diferentes derechos.

Como las capacidades son apuntadores a objetos, la implementación de un mecanismo de capacidades se entremezcla con la gestión de la memoria (primaria o secundaria).

La lista de capacidades, o las capacidades mismas han de estar protegidas por hardware, de forma que un proceso o usuario no pueda crear sus propias capacidades.

Formas de implementar el sistema:

Cada objeto tiene una marca que indica su tipo: en este caso, se distinguiría entre capacidades o palabras de memoria "normales".

Sólo el sistema operativo estaría facultado para crear objetos de tipo "capacidad".

Ejemplo:

Inconveniente: exige un modelo de memoria distinto al de Von Neumann.

Se hace uso de una tabla local de capacidades por proceso; y una tabla global de objetos. Ambas estructuras han de estar protegidas, para evitar que un proceso cree o altere capacidades de forma incontrolada.

Ejemplo:

Ventaja: implementable a partir de un sistema de memoria segmentada

La capacidad es un patrón de bits formado por el identificador de objeto, los derechos de acceso y una suma de control (checksum):

Toda esta información está cifrada por el sistema, de forma que los componentes son irreconocibles.

No se precisan tablas de objetos ni de capacidades, puesto que toda la información de direccionamiento y protección está autocontenida en la capacidad.

Por ello este mecanismo es ideal para sistemas distribuidos.

Existe la probabilidad de generar indebidamente una capacidad válida, pero es prácticamente nula gracias al cifrado y la suma de control, si tienen una gran cantidad de bits.

Podrán existir servicios para:

• crear una capacidad nueva
• destruir una capacidad
• recortar los derechos de una capacidad
• copiar o mover una capacidad a otro proceso o usuario

Para evitar problemas de seguridad, podemos definir un proceso "propietario" de cada capacidad, el cual sea el único con poder para eliminarla. o recortar sus derechos.

En un sistema basado en capacidades, la información de protección reside en los sujetos (las listas de capacidades), en vez de en los objetos, como ocurre con las listas de acceso.

Las capacidades son además direcciones de objetos.

El sistema de acceso a objetos puede ser más rápido con capacidades, dado que no se hacen recorridos en listas. La dirección del objeto viene dada por la propia capacidad.

Se pueden transferir derechos de acceso entre los procesos fácilmente y sin tener que alterar listas de accesos.

Es difícil conocer qué procesos tienen derechos de acceso sobre un objeto en particular.

Si un proceso revoca una capacidad, ¿cómo se consigue que afecte a los otros procesos que poseen esa misma capacidad?

Si un objeto desaparece, ¿cómo se invalidan todas las capacidades relativas a ese objeto?

Mecanismo intermedio entre las listas de accesos y las capacidades.

Un proceso puede efectuar una operación con un objeto sólo si el dominio bajo el que se ejecuta posee una llave específica para alguna de las cerraduras del objeto.

Tanto las llaves como las cerraduras han de estar protegidas, de la misma forma que las capacidades.

Este mecanismo goza de las ventajas de las capacidades, a la vez que simplifica el problema del borrado de objetos que existe con las capacidades.