美國的“可信計算機系統(tǒng)評估準則”
- 編輯：admin -美國國家計算機安全中心(NCSC)于1983年形成了DOD標準“可信計算機系統(tǒng)評估準則”(TCSEC，Trusted Computer System Evaluation Criteria)并發(fā)布施行，1985年進行了修訂。因該標準出版時封面為橘紅色，通常被稱為“橘皮書”。
美國國家計算機安全中心(NCSC)于1983年形成了DOD標準“可信計算機系統(tǒng)評估準則”(TCSEC，Trusted Computer System Evaluation Criteria)并發(fā)布施行，1985年進行了修訂。因該標準出版時封面為橘紅色，通常被稱為“橘皮書”。它起起初僅僅應用于美國政府和軍方的計算機系統(tǒng)，后來其影響逐漸擴展到商業(yè)領(lǐng)域，目前已經(jīng)成為得到廣泛公認的事實上的標準，許多公司都以專門的標記標明其產(chǎn)品按該標準規(guī)定所屬的安全級別。“橘皮書”將計算機系統(tǒng)的安全等級分為4個檔次8個等級，在安全策略、責任、保證、文檔等4個方面共設(shè)定了27條評估準則。不同的計算機信息系統(tǒng)可以此為依據(jù)，按按系統(tǒng)的實際需要和可能，從中選取具有不同安全保密強度的安全等級標準?，F(xiàn)將該標準的4個檔次8個安全等級，由低到高依次簡述如下。
1.D檔
D檔為無保護檔級，是安全等級的最低檔。其主要特征是沒有?！洪T的安全保護，此檔只有一個級別，即D級。
D級:安全保護欠缺級。凡經(jīng)評估，達不到C1及其以上安全等級的計算機系統(tǒng)均列入此級。這一等級的計算機系統(tǒng)，沒有有訪問控制機制，對于于來自任何用戶的訪問，沒有任何身份認證措施與訪問權(quán)限控制。早期商業(yè)領(lǐng)域的計算機系統(tǒng)往往屬于這一安全等級。
2.C檔
C檔為自主保護檔級。此檔又分兩個安全等級，共同特征是采用了自主訪問控制機制。C檔的兩個安全等級由低到高依次為C1級和C2級。
C1級:自主安全保護級。采用普通的自主訪問控制機制，主要特征是能將用戶與數(shù)據(jù)隔離，針對多個協(xié)作用戶在同一敏感級別上處理數(shù)據(jù)的工作環(huán)境，由用戶自主地確定如何控制對屬于自己的資源所進行的訪問，達到保護用戶自身資源安全的目的。例如，早期的UNIX計算機系統(tǒng)就屬于這一安全等級。
C2級:受控訪問保護級。采用比C1級更為精細的自主訪問控制機制。相對于C1級，增加了安全事件審計功能，能夠跟蹤每一個主體對每一個客體的每一次訪問或訪問企圖，加上若干其他措施，使用戶的行為具有個體獨自的可查性。C2級是軍用計算機系統(tǒng)所能采用的最低安全級別，也常用于金融系統(tǒng)。
3.B檔
B檔為強制保護檔級。此檔又分為3個安全等級，共同特征是采用強制訪問控制機制。B檔的3個安全等級由低到高依次為B1級、B2級和B3級。
B1級:有標記的安全保護級。所謂有標記的安全保護(Labeled Security Protection)，是指對每一個受控的客體都加有標明其安全級的標記，保護系統(tǒng)就據(jù)此在客體被訪問時進行相應的控制。B1級的訪問控制機制是采取對受控客體加標記的方式實現(xiàn)強制訪問控制，但也支持有限的用戶自主訪問控制功能。
B2級:結(jié)構(gòu)化保護級。所謂結(jié)構(gòu)化保護( Structured Protection)，是指在設(shè)計上把系統(tǒng)內(nèi)部結(jié)構(gòu)化地劃分成若干大體上相互獨立而明確的模塊，并按最小特權(quán)原則進行管理。所最小特權(quán)原則，就是當系統(tǒng)中的某一主體執(zhí)行授權(quán)任務(wù)時，只授予它為完成任務(wù)所必需的最
小權(quán)利，從而保證任何一個人都不可能享有對計算機系統(tǒng)進行操縱和管理的全部權(quán)利。B2級將強制訪問控制擴展到計算機系統(tǒng)的全部主體和全部客體，并且通過分析發(fā)現(xiàn)和消除能夠造成信息泄露的隱蔽倌道和安全漏洞。
B3級:安全域保護級。所謂安全域保護(Security Domain Protection)，是指用戶的程序或操作被限定在某個安全域之內(nèi)，而對安全域之間的訪問實行嚴格控制。為了更充分地體現(xiàn)最小特權(quán)原則，B3級要求專設(shè)安全管理員，使系統(tǒng)管理員、系統(tǒng)操作員、安全管理員三者的職能分離，以保證人為因素對計算機系統(tǒng)安全的威脅減到最小。B3級還具有更強的審計功能，不僅能記錄危害安全的事件，還能發(fā)出報警信號。實際上，就安全功能而言，B3級已經(jīng)達到了目前的最高等級。
4.A檔
A檔為驗證保護檔級。此檔又分兩個安全等級，由低到高依次為A1級和超A1級。它們共同的特征是，在系統(tǒng)設(shè)計階段就能夠?qū)︻A期的安全功能進行嚴格的驗證。
A1級:經(jīng)驗證的設(shè)計保護級。所謂經(jīng)驗證的設(shè)計保護(Verified Design Protection)，是指計算機系統(tǒng)的設(shè)計必須通過數(shù)學的形式化證明方法加以驗證，以證明其確實具有預期的安全功能。就A1級所具有的安全功能本身而言，是和B3級相同的。由于A1級的整個要求極高，目前達到這一要求的實際系統(tǒng)是很少的。
超A1級:驗證實現(xiàn)級。所謂驗證實現(xiàn)，是指對安全實現(xiàn)的驗證進入代碼級，只有當設(shè)計說明接近于實際實現(xiàn)的代碼時，才能達到對預期安全功能實現(xiàn)成功的驗證。
B3級、A1級和超A1級，都屬于最高的安全等級，相應地對成本的要求也高，只有極其重要的應用場合才采用。
“可信計算機系統(tǒng)評估準則”( TCSEC)的制定與頒布施行原本是針對單個計算機系統(tǒng)的，由于一切計算機網(wǎng)絡(luò)或信息網(wǎng)絡(luò)都建立在單機系統(tǒng)的基礎(chǔ)之上，所以當我們研究網(wǎng)絡(luò)安全的評估問題時，TCSEC作為得到廣泛公認的事實上的標準，仍然值得加以重視。然而如果微信網(wǎng)站制作僅有TCSEC這類針對單機系統(tǒng)的標準，要解決計算機網(wǎng)絡(luò)或信息網(wǎng)絡(luò)安全的評估問題，又確實是遠遠不夠的。正是基于這樣的背景，美國國防部的國家計算機安全中心又制定并出版了 TCSEC的三個解釋性文件，它們分別別是可信網(wǎng)絡(luò)解釋、計算機安全子系統(tǒng)解釋及可信數(shù)據(jù)庫解釋。至此，形成了美國計算機系統(tǒng)及網(wǎng)絡(luò)的安全評估標準系列一“彩虹系列”(Rainbow Series)。