Читать «Цифровой журнал «Компьютерра» № 68» онлайн - страница 6
Коллектив авторов
Разработка собственного модуля мандатной системы разграничения доступа позволила эффективно модифицировать и другие компоненты системы. Так, на принципах MAC в Astra Linux созданы собственные реализации механизмов многозадачной работы системы с изоляцией адресных пространств выполняющихся процессов и контролируемого межпроцессного взаимодействия, дополнения стандартной для Linux системы регистрации событий технологиями регистрации событий над объектами доступа (файлами, процессами, записями баз данных), основанными на мандатной системе, и режима «киоск» — собственной технологии предоставления пользователю доступа только к определённым программам и только с жёстко определёнными правами.
На базе мандатной системы функционирует ещё одна собственная разработка Astra Linux — менеджер окон Fly. Этот рабочий стол наряду с простотой использования (термины большинства его объектов полностью соответствуют таковым в графическом интерфейсе знакомой абсолютному большинству пользователей Windows XP) обеспечивает разграничение на основе мандатной системы как программ с графическим интерфейсом к ответственному за графический режим X-серверу, так и самого X-сервера к аппаратным средствам графического режима (видеокартам, например). Согласитесь, возможность задать такие правила разграничения доступа — лишний способ закрыть целый ряд потенциальных лазеек.
Кроме собственной мандатной системы, Astra Linux обеспечивает и собственные механизмы очистки оперативной памяти и блоков файловой системы, которые содержали обрабатываемые ранее конфиденциальные данные. Это одно из требований сертификации к подобным системам. Оно реализовано в «Смоленске» в виде автономно функционирующего процесса, доступ к работе которого строго ограничен. А это значит, что ни одна из пользовательских программ не может остановить процесс такой очистки, чтобы скрытно собрать сведения об обрабатываемых ранее секретах.
Ещё одной собственной реализацией требований сертификации в Astra Linux является механизм маркировки печатаемых документов, отражающий уровень их конфиденциальности.
Благодаря полученной в наследство от Debian системе управления программными пакетами APT и наличию в «Смоленске» механизма контроля замкнутости программной среды собственной разработки, разработчики программ получают возможность создавать приложения, имеющие цифровую подпись, а администраторы системы — создавать репозитории таких доверенных программ.
Перечисленные выше возможности распространяются не только на саму операционную систему, но и на ряд ключевых программных продуктов. Так, правилам мандатной системы подчиняются: СУБД PostgreSQL, веб-сервер Apache 2, почтовый сервер Exim и менеджер печати CUPS. Все они модифицированы с учётом условий работы в разработанном в Astra Linux окружении разграничения доступа к информации.
