AC-25 - Moniteur de référence   (PaF-)

Énoncés :

Mettre en oeuvre un moniteur de référence pour les [Affectation : stratégies de contrôle d’accès définies par l’organisation] qui est résistant aux intrusions, systématiquement appelé et suffisamment simple pour faire l’objet d’une analyse et de tests dont l’exhaustivité peut être assurée.

Paramètres :

Discussion :

Un moniteur de référence est un ensemble d’exigences de conception sur un mécanisme de validation de référence qui, en tant qu’élément clé d’un système d’exploitation, applique une stratégie de contrôle d’accès à tous les sujets et objets. Un mécanisme de validation de référence est systématiquement appelé, résistant aux intrusions et suffisamment petit pour faire l’objet d’une analyse et de tests dont l’exhaustivité peut être assurée (c’est-à-dire vérifiable). L’information est représentée à l’interne dans les systèmes au moyen d’abstractions également appelées structures de données. Les structures de données internes peuvent représenter différents types d’entités actives et passives. Les entités actives, également appelées « sujets », sont associées à des personnes, à des dispositifs ou à des processus exécutés au nom des personnes. Les entités passives, également appelées « objets », sont associées à des structures de données comme des dossiers, des tampons, des ports de communications, des tableaux, des fichiers et des canaux interprocessus. Les moniteurs de référence appliquent les stratégies de contrôle d’accès limitant l’accès aux objets en fonction de l’identité des sujets ou des groupes auxquels les sujets appartiennent. Le système applique la stratégie de contrôle d’accès en fonction des règles établies par la stratégie. La propriété de résistance aux intrusions du moniteur de référence empêche les adversaires de compromettre le fonctionnement du mécanisme de validation de référence. La propriété systématiquement appelée empêche les adversaires de contourner le mécanisme et d’enfreindre la politique de sécurité. La propriété de petite taille aide à assurer l’exhaustivité de l’analyse et des tests des mécanismes pour détecter les faiblesses ou les lacunes (c’est-à-dire les lacunes latentes) qui empêcheraient l’application de la stratégie de sécurité.