Base de computación confiable

Como consecuencia de la definición del Libro Naranja anterior, los límites del TCB dependen en gran medida de los detalles de cómo se implementa la política de seguridad. En el ejemplo del servidor de red mencionado anteriormente, aunque, por ejemplo, un servidor web que da servicio a una aplicación multiusuario no forme parte del TCB del sistema operativo, tiene la responsabilidad de realizar el control de acceso para que los usuarios no puedan usurpar la identidad y los privilegios de otros. En este sentido, definitivamente forma parte del TCB del sistema informático más amplio que comprende el servidor UNIX, los navegadores de los usuarios y la aplicación web ; en otras palabras, una intrusión en el servidor web, por ejemplo, mediante un desbordamiento de búfer, puede no considerarse una vulneración del sistema operativo propiamente dicho, pero sin duda constituye una vulnerabilidad perjudicial para la aplicación web.

Esta relatividad fundamental del límite del TCB se ejemplifica con el concepto de "objetivo de evaluación" ("TOE") en el proceso de seguridad de los Criterios Comunes : en el transcurso de una evaluación de seguridad de los Criterios Comunes, una de las primeras decisiones que deben tomarse es el límite de la auditoría en términos de la lista de componentes del sistema que serán objeto de escrutinio.

Los sistemas que no tienen una base de computación confiable como parte de su diseño no proporcionan seguridad por sí mismos: solo son seguros en la medida en que la seguridad les es proporcionada por medios externos (por ejemplo, una computadora que se encuentra en una habitación cerrada sin conexión de red puede considerarse segura dependiendo de la política, independientemente del software que ejecute). Esto se debe a que, como lo expresaron David J. Farber et al., ^{[ 6 ]} [i]n un sistema informático, la integridad de las capas inferiores suele ser tratada como axiomática por las capas superiores . En lo que respecta a la seguridad informática, razonar sobre las propiedades de seguridad de un sistema informático requiere poder hacer suposiciones sólidas sobre lo que puede, y más importante, lo que no puede hacer; sin embargo, a menos que haya alguna razón para creer lo contrario, una computadora es capaz de hacer todo lo que una máquina Von Neumann general puede hacer. Esto obviamente incluye operaciones que se considerarían contrarias a todas las políticas de seguridad excepto las más simples, como divulgar un correo electrónico o una contraseña que debería mantenerse en secreto; Sin embargo, salvo que existan disposiciones especiales en la arquitectura del sistema, es innegable que el ordenador podría programarse para realizar estas tareas indeseables.

Estas disposiciones especiales que tienen como objetivo evitar que se ejecuten ciertos tipos de acciones, en esencia, constituyen la base de la computación confiable. Por esta razón, el Libro Naranja (que sigue siendo una referencia sobre el diseño de sistemas operativos seguros a partir de 2007)) caracteriza los distintos niveles de garantía de seguridad que define principalmente en términos de la estructura y las características de seguridad del TCB.

Como se indica en el Libro Naranja mencionado anteriormente, las partes de software de la base de computación confiable deben protegerse contra manipulaciones para ser efectivas. Esto se debe a la arquitectura von Neumann implementada en prácticamente todos los ordenadores modernos: dado que el código máquina puede procesarse como un tipo de dato más, cualquier programa puede leerlo y sobrescribirlo. Esto se puede prevenir mediante disposiciones especiales de gestión de memoria que, posteriormente, deben considerarse parte de la base de computación confiable. Específicamente, la base de computación confiable debe, como mínimo, impedir que se escriba en su propio software.

En muchas CPU modernas , la protección de la memoria que aloja la TCB se logra mediante la adición de un componente de hardware especializado llamado unidad de gestión de memoria (MMU), que es programable por el sistema operativo para permitir o denegar el acceso de un programa en ejecución a rangos específicos de la memoria del sistema. Por supuesto, el sistema operativo también puede impedir dicha programación a otros programas. Esta técnica se denomina modo supervisor ; en comparación con enfoques más rudimentarios (como almacenar la TCB en la ROM o, equivalentemente, usar la arquitectura Harvard ), tiene la ventaja de permitir que el software crítico para la seguridad se actualice en campo, aunque permitir actualizaciones seguras de la base de computación confiable plantea sus propios problemas de arranque. ^{[ 7 ]}

Como se indicó anteriormente , la confianza en la base de computación confiable es necesaria para avanzar en la verificación de la seguridad del sistema informático. En otras palabras, la base de computación confiable es "confiable" ante todo en el sentido de que debe ser confiable, y no necesariamente en que sea digna de confianza. Los sistemas operativos del mundo real presentan habitualmente fallos de seguridad críticos, lo que demuestra los límites prácticos de dicha confianza. ^{[ 8 ]}

La alternativa es la verificación formal del software , que utiliza técnicas de demostración matemática para mostrar la ausencia de errores. Investigadores de NICTA y su filial Open Kernel Labs realizaron recientemente una verificación formal de seL4, un miembro de la familia de microkernels L4 , demostrando la corrección funcional de la implementación en C del kernel. ^{[ 9 ]} Esto convierte a seL4 en el primer kernel de sistema operativo que cierra la brecha entre confianza y fiabilidad, asumiendo que la prueba matemática está libre de errores.

Debido a la necesidad mencionada de aplicar técnicas costosas como la verificación formal o la revisión manual, el tamaño del TCB tiene consecuencias inmediatas en la economía del proceso de garantía del TCB y en la confiabilidad del producto resultante (en términos de la expectativa matemática del número de errores no encontrados durante la verificación o revisión). Por lo tanto, para reducir costos y riesgos de seguridad, el TCB debe mantenerse lo más pequeño posible. Este es un argumento clave en el debate sobre la preferencia de los microkernels a los kernels monolíticos . ^{[ 10 ]}