Sistema de seguridad

En informática , un sistema de tipos se puede describir como un marco sintáctico que contiene un conjunto de reglas para asignar una propiedad de tipo (int, boolean, char, etc.) a diversos componentes de un programa, como variables o funciones. Un sistema de tipos de seguridad funciona de manera similar, centrándose principalmente en la seguridad del programa mediante el control del flujo de información . Así, a los distintos componentes del programa se les asignan tipos o etiquetas de seguridad. El objetivo de dicho sistema es verificar que un programa determinado cumple con las reglas del sistema de tipos y satisface el principio de no interferencia . Los sistemas de tipos de seguridad son una de las muchas técnicas de seguridad utilizadas en el ámbito de la seguridad basada en lenguajes y están estrechamente relacionados con el flujo de información y las políticas de flujo de información.

En términos sencillos, un sistema de seguridad puede utilizarse para detectar si existe algún tipo de violación de la confidencialidad o la integridad de un programa; es decir, el programador quiere detectar si el programa cumple o no con la política de flujo de información.

Supongamos que hay dos usuarios, A y B. En un programa, se introducen las siguientes clases de seguridad (SC):

• SC = {∅, {A}, {B}, {A,B}}, donde ∅ es el conjunto vacío .

La política de flujo de información debe definir la dirección en la que se permite que fluya la información, lo cual depende de si la política permite operaciones de lectura o escritura . Este ejemplo considera operaciones de lectura (confidencialidad). Se permiten los siguientes flujos:

• → = {({A}, {A}), ({B}, {B}), ({A,B}, {A,B}), ({A,B}, {A}), ({A,B}, {B}), ({A}, ∅), ({B}, ∅), ({A,B}, ∅)}

Esto también puede describirse como un superconjunto (⊇). En otras palabras: se permite que la información fluya hacia niveles de confidencialidad más estrictos. El operador de combinación (⊕) puede expresar cómo las clases de seguridad pueden realizar operaciones de lectura con respecto a otras clases de seguridad. Por ejemplo:

• {A} ⊕ {A,B} = {A}— la única clase de seguridad que puede leer de ambos {A}es {A,B}.{A}
• {A} ⊕ {B} = ∅— ni {A}ni {B}tienen permitido leer de ambos {A}y {B}.

Esto también puede describirse como una intersección (∩) entre clases de seguridad.

Una política de flujo de información puede representarse mediante un diagrama de Hasse . Esta política también debe ser una red , es decir, debe tener un límite inferior máximo y un límite superior mínimo (siempre existe una combinación entre las clases de seguridad). En el caso de la integridad, la información fluirá en sentido contrario, por lo que la política se invertirá.

Una vez establecida la política, el desarrollador de software puede aplicar las clases de seguridad a los componentes del programa. El uso de un sistema de tipos de seguridad suele combinarse con un compilador que puede verificar el flujo de información según las reglas del sistema de tipos. Para simplificar, se puede utilizar como ejemplo un programa informático muy sencillo, junto con la política de flujo de información descrita en la sección anterior. El programa sencillo se presenta en el siguiente pseudocódigo :

if y{A} = 1 then x{A,B} := 0 else x{A,B} := 1

Aquí, se realiza una comprobación de igualdad en una variable y a la que se le asigna la clase de seguridad {A}. Una variable x con una clase de seguridad inferior ( {A,B}) se ve afectada por esta comprobación. Esto significa que se está filtrando información de una clase {A}a otra {A,B}, lo que constituye una violación de la política de confidencialidad. Esta filtración debería ser detectada por el sistema de tipos de seguridad.