複数の単一レベル

複数の単一レベルまたはマルチ セキュリティ レベル( MSL ) は、レベルごとに別々のコンピューターまたは仮想マシンを使用して、異なるレベルのデータを分離する手段です。OS やアプリケーションに特別な変更を加えることなく、マルチレベル セキュリティの利点の一部を実現することを目的としていますが、追加のハードウェアが必要になります。

MLS オペレーティング システムの開発の推進は、1990 年代初頭のデータ処理コストの劇的な低下によって大きく妨げられました。デスクトップ コンピューティングの登場以前は、機密処理を必要とするユーザーは、専用のコンピューターに多額の費用をかけるか、MLS オペレーティング システムをホストするコンピューターを使用する必要がありました。しかし、1990 年代を通じて、防衛および諜報コミュニティの多くのオフィスは、コンピューティング コストの低下を利用して、組織で使用される最高の機密レベルでのみ動作するように分類されたデスクトップ システムを導入しました。これらのデスクトップ コンピューターはシステム ハイモードで動作し、コンピューターと同じレベルのトラフィックを伝送するLANに接続されていました。

このような MSL 実装は、MLS の複雑さをうまく回避しましたが、技術的な単純さを犠牲にしてスペースを非効率的に使用しました。機密環境のほとんどのユーザーは非機密システムも必要とするため、ユーザーは少なくとも 2 台のコンピューターを所有し、場合によってはそれ以上のコンピューターを所有していました (非機密処理用に 1 台、処理される各分類レベル用に 1 台)。さらに、各コンピューターは適切な分類レベルで独自の LAN に接続されていたため、複数の専用ケーブル プラントが組み込まれていました (インストールとメンテナンスの両方でかなりのコストがかかりました)。

MSL の明らかな欠点 (MLS と比較した場合) は、さまざまな機密レベルの混在をいかなる形でもサポートしていないことです。たとえば、SECRET データ ストリーム (SECRET ファイルから取得) を TOP SECRET データ ストリーム (TOP SECRET ファイルから読み取り) と連結し、結果として得られる TOP SECRET データ ストリームを TOP SECRET ファイルに送るという概念はサポートされていません。本質的に、MSL システムは、それぞれが 1 つのセキュリティ レベルでのみ動作するように制限されている、並列 (および共存) コンピュータ システムのセットと考えることができます。実際、個々の MSL オペレーティング システムは、単一レベルのシステムとして動作するため、セキュリティ レベルの概念さえ理解できない可能性があります。たとえば、共存する一連の MSL OS の 1 つが、すべての出力に文字列「SECRET」を付加するように構成されている場合、その OS は、すべての出力に文字列「UNCLASSIFIED」を付加するピア OS によって処理されるデータと、データの機密性と重大性を比較する方法を理解していません。

2 つ以上のセキュリティ レベルにまたがって動作する場合は、MSL「オペレーティング システム」自体の範囲外の方法を使用する必要があり、人間の介入、いわゆる「手動レビュー」が必要になります。たとえば、独立したモニター ( Brinch Hansenの用語の意味ではありません) を提供して、複数の MSL ピア間でのデータの移行 (たとえば、UNCLASSIFIED ピアから SECRET ピアへのデータ ファイルの複製) をサポートすることができます。連邦法による厳格な要件でこの問題に具体的に対処しているわけではありませんが、このようなモニターは、非常に小さく、目的に合わせて構築され、ファイルのインポートとエクスポート、出力ラベルの構成、およびすべての共存する MSL ピアを個別の単一レベル システムとしてではなく 1 つのユニットとして処理する必要があるその他の保守/管理タスクなど、非常に厳密に定義された少数の操作のみをサポートするのが適切です。また、 VMwareなどのハイパーバイザソフトウェア アーキテクチャを利用して、ピア MSL「OS」のセットを、基盤となる OS によってサポートされる個別の仮想化環境の形式で提供することも適切です。この環境には、ピアによって管理されるすべてのデータへのアクセスが許可された管理者のみがアクセスできます。ユーザーの観点からは、各ピアは、基盤となる「メンテナンス OS」ユーザー環境と論理的に区別できないログインまたはX ディスプレイ マネージャーセッションを提供します。

機密レベルごとに個別のネットワークを維持するコストと複雑さから、国家安全保障局(NSA) は、複数のネットワークとコンピュータに必要な物理的投資を削減しながら、専用システム ハイ システムという MSL コンセプトを維持する方法の研究を開始しました。期間処理は、この分野における最初の進歩であり、機関がコンピュータを 1 つの機密レベルのネットワークに接続し、情報を処理し、システムをサニタイズして、別の機密レベルのネットワークに接続できるプロトコルを確立しました。期間処理モデルは、単一のコンピュータを約束しましたが、複数のケーブル プラントを削減することはなく、ユーザーにとって非常に不便であることが判明したため、採用は限られていました。

1990 年代、仮想化テクノロジの台頭により、MSL システムの環境は一変しました。突然、独立したコンピュータとして動作しながらも共通のハードウェア プラットフォーム上で動作する仮想マシン(VM) を作成できるようになりました。仮想化により、NSA は、すべての処理を専用のシステム上位の VM 内で実行することで、物理システムをサニタイズする必要がなくなり、期間処理を仮想レベルで維持する方法を見出しました。ただし、MSL を仮想環境で動作させるには、仮想セッション マネージャーを安全に制御し、1 つの VM に向けられた侵害行為が別の VM を侵害しないようにする方法を見つける必要がありました。

NSA は、仮想化を活用した実行可能で安全な MSL テクノロジの作成を目的とした複数のプログラムを追求しました。現在までに、3 つの主要なソリューションが実現しています。

• 「複数の独立したセキュリティ レベル」または MILS は、ジョン ラシュビー博士によって開発された、高保証のセキュリティ分離と高保証の安全性分離を組み合わせたアーキテクチャ コンセプトです。その後、NSAと海軍大学院が空軍研究所、ロッキード マーティン、ロックウェル コリンズ、オブジェクティブ インターフェイス システムズ、アイダホ大学、ボーイング、レイセオン、MITREと共同で改良を重ね、高保証分離カーネルのCommon Criteria EAL-6+保護プロファイルが作成されました。
• NSA が VMWare 社と共同で開発した「NetTop 」は、セキュリティ強化 Linux (SELinux) をその技術のベース オペレーティング システムとして使用しています。SELinux OS は仮想セッション マネージャーを安全に保持し、仮想マシンを作成して処理とサポート機能を実行します。
• 「Trusted Multi-Net」は、シン クライアント モデルに基づく市販の既製品(COTS) システムであり、 Microsoft Corporation、Citrix Systems 、NYTOR Technologies、VMWare、Inc.、および MITRE Corporation を含む業界連合によって共同で開発され、機密ネットワークと非機密ネットワークへのアクセスをユーザーに提供します。そのアーキテクチャにより、複数のケーブル配線設備が不要になり、暗号化を利用して、最高レベルのアクセス用に承認されたケーブルを介してすべてのトラフィックを送信します。

NetTop および Trusted Multi-Net の両ソリューションの使用が承認されています。さらに、Trusted Computer Solutions は、NSA とのライセンス契約を通じて、NetTop テクノロジ コンセプトに基づいたシン クライアント製品を開発しました。この製品は SecureOffice(r) Trusted Thin Client(tm) と呼ばれ、Red Hat Enterprise Linux バージョン 5 (RHEL5) の LSPP 構成で実行されます。

競合する 3 社が MILS 分離カーネルを実装しています。

• グリーンヒルズソフトウェア
• 翻訳
• ウインドリバーシステムズ

さらに、特殊なハードウェアの使用による非仮想化 MSL システムの開発が進み、少なくとも 1 つの実行可能なソリューションが生まれました。

• オーストラリア国防科学技術機構 (DSTO) とTenix Pty Ltdが開発した Starlight テクノロジー (現在は Interactive Link System として販売) は、特殊なハードウェアを使用して、ユーザーがウィンドウ内で「高」ネットワーク セッションから「低」ネットワークと対話できるようにします。「高」ネットワークから「低」ネットワークへのデータのフローはありません。

MSL の「ソリューション パス」の哲学的意味合いについて考えるのは興味深いことです。従来の OS 内で MLS 機能を提供するのではなく、基盤となる実際の OS によって個別に、または集合的に管理できる「仮想 OS」ピアのセットを構築するという方向性が選択されています。基盤となる OS (ここではメンテナンスオペレーティング システム、またはMOSという用語を導入します) が MLS セマンティクスを十分に理解して、TOP SECRET MSL ピアから UNCLASSIFIED MSL ピアにデータをコピーするなどの重大なエラーを防止するには、MOS に次の機能が必要です。ラベルを表す機能、ラベルをエンティティに関連付ける機能 (ここでは「サブジェクト」と「オブジェクト」という用語を厳密に使用しません)、ラベルを比較する機能 (「リファレンス モニター」という用語を厳密に使用しません)、ラベルが意味を持つコンテキストと意味を持たないコンテキストを区別する機能 (「トラステッド コンピューティング ベース」[TCB] という用語を厳密に使用しません)、などなど。 MLS のアーキテクチャと設計の問題は解消されておらず、上位層が管理する必要がないように、強制アクセス制御の問題を目に見えない形で管理する別のソフトウェア層に委ねられているだけであることがすぐにわかります。この概念は、そもそも DoD スタイルの信頼できるシステムの基盤となるジェミナル アーキテクチャ概念 (アンダーソン レポートから引用) に他なりません。

MSL ピアのセットの抽象化によって確かに達成されたのは、MAC 認識ソフトウェア メカニズムの範囲を、小規模で下位の MOS に大幅に制限することです。ただし、これは、SECRET 許可されたユーザーが UNCLASSIFIED ファイルから取得した UNCLASSIFIED 段落を SECRET レポートに追加するときなど、最も基本的な機能を含む実用的な MLS 機能をすべて排除するという代償を払って達成されました。MSL 実装では、明らかに、すべての「再利用可能な」リソース (この例では UNCLASSIFIED ファイル) を、それが有用である可能性があるすべての MSL ピアに複製する必要があります。つまり、大量の二次ストレージが不必要に消費されるか、ユーザーの要求に応じてそのような複製を実行できる許可された管理者に耐え難い負担がかかります。 (もちろん、SECRET ユーザーはログアウトして UNCLASSIFIED システムを新たに開始する以外に、システムの UNCLASSIFIED 提供を「参照」できないため、機能性と柔軟性にさらに別の重大な制限があることがわかります。) あるいは、機密性の低いファイル システムを読み取り専用で NFS マウントして、より信頼できるユーザーがその内容を参照することはできますが、変更することはできません。ただし、MLS OS ピアには、NFS マウントされたリソースがローカル リソースとは異なる機密レベルにあることを区別する実際の手段 (ディレクトリ一覧コマンドなど) はなく、読み取り専用 NFS マウントのブルート フォース、オール オア ナッシング メカニズム以外に、機密情報の不正な上流への流れを防ぐ厳密な手段はありません。

この「クロスレベル ファイル共有」の徹底的な実施が実際にどのような障害となるかを示すために、UNCLASSIFIED、SECRET、および TOP SECRET データをサポートする MLS システムと、そのレベルでシステムにログインする TOP SECRET 許可ユーザーのケースを考えてみましょう。MLS ディレクトリ構造は、封じ込め原則に基づいて構築されています。この原則は、大まかに言えば、より高い機密レベルがツリーの深いところに存在することを規定しています。通常、ディレクトリのレベルは、その親のレベルと一致するか、それより上位である必要があります。一方、ファイル (より具体的には、ファイルへのリンク) のレベルは、それをカタログ化するディレクトリのレベルと一致する必要があります。 (これは MLS UNIX に厳密に当てはまります。ディレクトリ、ディレクトリ エントリ、i-nodeなどの異なる概念をサポートする代替手段 (ディレクトリ パラダイムに「ブランチ」抽象化を追加するMulticsなど) は、より広範な代替実装を許容します。) /tmpやC:\TEMPなどのパブリック共有ディレクトリとスプール ディレクトリには直交メカニズムが提供され、OS によって自動的に (そして目に見えない形で) パーティション分割され、ユーザーのファイル アクセス要求は、適切にラベル付けされたディレクトリ パーティションに自動的に「転送」されます。 TOP SECRET ユーザーは、システム全体を自由に参照できますが、そのレベルでログインしている間は、特定のディレクトリまたはその子孫にのみ新しい TOP SECRET ファイルを作成できるという制限があります。 MSL の代替案では、閲覧可能なコンテンツは、完全に認可された管理者によって、該当するすべてのレベルにわたって具体的に、手間をかけて複製される必要があります。つまり、この場合、すべての SECRET データは TOP SECRET MSL ピア OS に複製され、すべての UNCLASSIFIED データは SECRET ピアと TOP SECRET ピアの両方に複製される必要があります。そのため、ユーザーの認可が高いほど、タイムシェアリング コンピューティング エクスペリエンスが苛立たしくなることは容易に理解できます。

トラステッド コンピューティングの基礎であるOrange Bookから引用した用語と概念に依拠する従来のトラステッド システム理論の意味では、MSL ピアをサポートするシステムは (B1) を超えるレベルの保証を達成できません。これは、(B2) の基準では、とりわけ、TCB 境界の明確な識別と、ADP システムのアクセス可能なすべてのリソース全体にわたって表されるすべてのデータへのアクセスを裁定する能力と権限を持つ単一の識別可能なエンティティの存在の両方が要求されるためです。したがって、非常に現実的な意味では、MSL 実装の記述子として「高保証」という用語を適用することは無意味です。「高保証」という用語は、(B3) および (A1) システムに適切に限定されており、多少の緩みはあるものの、(B2) システムにも限定されているからです。

MSL システムは、仮想か物理かを問わず、異なる分類レベル間の分離を維持するように設計されています。したがって、(MLS システムとは異なり) MSL 環境には、あるレベルから別のレベルにデータを移動する固有の機能はありません。

異なる機密レベルで動作するコンピュータ間でデータを共有できるようにするために、このようなサイトでは、一般にゲートキーパーまたはガードと呼ばれるクロスドメイン ソリューション(CDS) を導入しています。ガードは、多くの場合 MLS テクノロジ自体を活用し、ネットワーク間を流れるトラフィックをフィルタリングします。ただし、商用インターネットファイアウォールとは異なり、ガードははるかに厳格な保証要件に基づいて構築されており、そのフィルタリングは、異なるセキュリティ レベルで動作する LAN 間で機密情報が不適切に漏洩するのを防ぐように慎重に設計されています。

データ ダイオードテクノロジは、レベル間のデータ フローを一方向に制限し、データが逆方向に流れないことを高いレベルで保証する必要がある場合に広く使用されています。一般に、これらには、他の MLS ソリューションに課せられた課題と同じ制限が適用されます。つまり、厳格なセキュリティ評価と、分類間で情報を移動するための明示的なポリシーと同等の電子的ポリシーを提供する必要があることです (分類レベルの下位に情報を移動することは特に困難で、通常は複数の異なる人からの承認が必要です)。

2005 年後半現在、機密環境での使用が承認されている高保証プラットフォームおよびガード アプリケーションは数多くあります。ここで使用されている「高保証」という用語は、機密情報を処理するためのさまざまなシステムの構築と展開に関する準技術的なガイドである DCID 6/3 (「ディー スキッド シックス スリー」と読みます) のコンテキストで評価されることに注意してください。このガイドには、オレンジ ブックの基準の厳密な法的厳密さも、基礎となる数学的厳密さも欠けています。 (オレンジブックは、次のように構築された論理的な「推論の連鎖」を動機とし、その派生です。[a]「安全な」状態が数学的に定義され、数学モデルが構築され、その上で行われる操作によって安全な状態が維持されるため、安全な状態から始まる考えられるすべての操作シーケンスが安全な状態になります。[b]慎重に選択されたプリミティブをモデル上の操作シーケンスにマッピングします。[c]ユーザーインターフェイスで処理できるアクション(システムコールなど)をプリミティブのシーケンスにマッピングする「記述的なトップレベル仕様」。ただし、[d]ライブソフトウェア実装が前述のアクションシーケンスを正しく実装していることを正式に実証すること、[e]実行可能で「信頼できる」システムが、正しい信頼できるツール(コンパイラ、ライブラリアン、リンカーなど)によって生成されることを正式に主張することまでは至っていません。 )