HRU (セキュリティ)

HRUセキュリティ モデル (ハリソン、ルッツォ、ウルマンモデル) は、システム内のアクセス権の整合性を扱うオペレーティング システムレベルのコンピュータ セキュリティ モデルです。これは、サブジェクトのオブジェクトに対するアクセス権を編集するために利用できる手順の有限セットという考えに基づいた、グラハム デニング モデルの拡張です。このモデルは、その 3 人の作成者、マイケル A. ハリソン、ウォルター L. ルッツォ、ジェフリー D. ウルマンにちなんで名付けられました。^[1]${\displaystyle s}$${\displaystyle o}$

ハリソン、ルッツォ、ウルマンはモデルの提示に加えて、アルゴリズムを使用してシステムの安全性を証明することの可能性と限界についても議論した。^[1]

HRU モデルは、一般的な権限RのセットとコマンドCのセットで構成される保護システムを定義します。システムの瞬間的な記述は構成と呼ばれ、現在のサブジェクト、現在のオブジェクト、およびアクセス マトリックスのタプルとして定義されます。サブジェクトはオブジェクトの一部である必要があるため、アクセス マトリックスには、サブジェクトごとに 1 つの行と、サブジェクトとオブジェクトごとに 1 つの列が含まれます。サブジェクトとオブジェクトのエントリは、一般的な権限のサブセットです。 ${\displaystyle (S,O,P)}$${\displaystyle S}$${\displaystyle O}$${\displaystyle P}$${\displaystyle s}$${\displaystyle o}$${\displaystyle R}$

コマンドは基本的な操作で構成されており、さらに、サブジェクトとオブジェクトのペアに対して特定の権限が存在することを要求する前提条件のリストを持つことができます。 ${\displaystyle (s,o)}$

プリミティブ リクエストは、サブジェクトとオブジェクトのペアに対するアクセス権を追加または削除したり、サブジェクトまたはオブジェクトを追加または削除したりすることで、アクセス マトリックスを変更できます。サブジェクトまたはオブジェクトを作成するには、現在の構成にサブジェクトまたはオブジェクトが存在しない必要があります。一方、サブジェクトまたはオブジェクトを削除するには、削除前にサブジェクトまたはオブジェクトが存在していた必要があります。複雑なコマンドでは、一連の操作は全体としてのみ実行されます。シーケンス内の操作が失敗すると、シーケンス全体が失敗します。これは、データベース トランザクションの形式です。

ハリソン、ルッツォ、ウルマン^[1]は、任意の初期設定を受け取り、次の質問に答えるアルゴリズムが存在するかどうかについて議論しました。初期設定には含まれていなかったアクセスマトリックスのセルに汎用権限を追加する任意のコマンドシーケンスはありますか？

彼らは、そのようなアルゴリズムは存在しないため、一般的なケースでは問題は決定不可能であることを示しました。また、問題を決定可能にするために、モデルが 1 つの基本操作のみを含むコマンドに制限されることも示しました。

• EROS - 極めて信頼性の高いオペレーティング システム