Страница 34: ДСТУ 4249:2003. Інформаційні технології. Настанова щодо POSІX-сумісних середовищ відкритих систем (POSІX-OSE) (61118)

ISO/IEC PDTR 11017:1998 "Framework інтернаціоналізації" визначає процедури, які треба викону­вати щодо інтернаціоналізації і локалізації програмних продуктів під культурні специфікації для комп’ютерного використання, включно з специфікаціями розмовних культурних елементів у довільній формі, POSIX-локальністю та кодовими наборами, що відповідають ISO/IEC 9945-2.

ISO/IEC 14651:2001 визначає правила завдання лексикографічних порядків для порівняння символьних рядків, тобто текстових даних на будь-яких природних мовах світу,

ISO/IEC 15897:1999 «Процедури реєстрації культурних елементів» визначає процедури, яких треба дотримуватися у готуванні, публікуванні і підтримуванні реєстру культурних специфікацій для комп’ю­терного використання. Реєстрація відбувається в друкованій і електронній формі, а текст культурних специфікацій записують способом, що не залежить від жодного кодового набору символів.

ITU-T Т. 61 описує детальні визначення сукупностей графічних символів і функцій керування для використання в міжнародних службах Teletex. Описує засоби для визначання додаткового сим­вольного репертуару.

Деякі зі стандартів не мають міжнародних еквівалентів:

GB 2312-1980 — стандарт китайського національного набору символів;

JIS Х0208-1990 — стандарт японського національного набору символів;

KS 3 5601-1987 — стандарт корейського національного набору символів.

Міжнародні стандарти. Енергійний розвиток ділових можливостей на пан-європейському й азіат­ському ринках Інтенсифікував діяльність з розроблення стандартів для інтернаціоналізації інфор­маційних технологій. Запропоновані вихідні стандарти мають справу з наборами символів і Інтерфейсом, нейтральним до мови користувача І комунікацій.

Робоча група IEEE Р1003.2 визначає розширення ISO/IEC 9945-2:1993. У IEEE Р1003.2Ь включені розширення властивостей інтернаціоналізації і додаткових утиліт перетворення коду.

ISO/IEC 8859-11 визначав кодовий набір символів «Латиниця/тайська абетка» для UTF-кодування, Готують розширення чинних стандартів мови APL ISO 8485:1989 І ISO/IEC 13751:2001 мови APL для використання розширеного репертуару наборів символів; див. 4,1.

Регіональні стандарти. Європейське економічне співтовариство визначило склад європейських стандартів, що звуться EN (Europaeische Norm). Ще не прийняті EN-стандарти Інтернаціоналізації.

Національні стандарти. Розроблювальні національні норми щодо інтернаціоналізації, містять CAN/CSA-Z243.200-92, що визначає канадський національний стандарт клавіатури для англійсь­ких І французьких мов у текстових і офісних системах

— специфікації X/Open XPG4.

• репозитарію культурних угод;

• служб АРІ для культурних угод;

• служб АРІ для оброблення наборів символів;

• багатомовних правил упорядкування;

• систем доставления повідомлень, разом із системними повідомленнями;

• семантики піктограм для багатонаціональних застосувань;

• стандартів оголошення даних;

• конфігурації й адміністрування міжнаціональних і локальних об’єктів.

До того ж, сьогодні відсутні стандарти, що підтримують такі набори символів і функціональ­ність подання даних:

• ідентифікатор набору символів. Прикладна програма має записувати ідентифікатор на­бору символів у дані І відновлювати (відшукувати) ідентифікатор для запиту даних;

• порівняння ідентифікатора набору символів. Прикладна платформа повинна автоматично чи після запиту з прикладної програми порівнювати ідентифікатори наборів символів для даних, що взаємодіють у прикладній програмі (увід-вивід, оброблення, збереження даних, комунікація).

• трансляція набору символів. У разі виявлення невідповідності в процесі порівняння, при­кладна платформа повинна забезпечити трансляцію наборів символів на запит прикладної про­грами або автоматично.

Не застосовують.

Оскільки інтернаціоналізація — перехресна категорія служб POSIX-OSE, вона впливає майже на кожен елемент оброблення інформації. Таким чином, майже всі стандарти з інформаційних тех­нологій зв’язані з цим предметом. Нижче зазначені кілька основних родин стандартів, тісно пов’я­заних з інтернаціоналізацією.

ISO/IEC 8613 ODA; див. 4.5,

ISO/IEC 8824-1:1998/Amd 1:2000/Amd 2:2000, ISO/IEC 8824-2:1998/Amd 1:2000, ISO/IEC 8824-3:1998, ISO/IEC 8824-4:1998/Amd 1:2000 ASN.1; див. 4.3

ISO/IEC 8825-1:1998/Amd 1:2000, ISO/IEC 8825-2:1998/Amd 1:2000 Правила кодування ASN.1; див. 4.8.

ISO/IEC 9945-2:1993 Оболонки й утиліти; див. 4.7.

Мови програмування, що підтримують локальні середовища, див. 4.1.

Інформація — ключ до успішного використання систем. Наприклад, якщо використання інфор­мації є продуктивним та ефективним, то її можна використовувати для розширених служб і складання стратегічних планів. Більшість такої інформації (наприклад, персональна деталізація замов­ника і ділових фінансових планів) матиме таємний характер.

Хоча зареєстровані користувачі можуть скористатися перевагою POSIX-OSE для збільшення продуктивності й ефективності, суб’єкти з несанкціонованим доступом також можуть скористатися перевагою OSE для захоплення, керування чи заборони Іншим користувачам доступу до інформа­ції, що міститься усередині системи, чи заборони участі в певній транзакції, виконуваній через си­стему. Так само навіть зареєстровані користувачі могли б ненавмисно провокувати певну форму порушення цілісності даних, що знижує ефективність системи.

Отже, усередині системи необхідно мати служби безпеки для запобігання несанкціонованим чи випадковим діям. Для досягнення оптимального ступеня довіри до правильності й ефектив­ності служб безпеки системи повинна виробляти специфічну стратегію захисту і доцільну функціо­нальність захисту, впроваджувані в систему на початку її життєвого циклу.

Відносно високого ступеня захисту для звичайних комп’ютерних систем можна досягти, правильно конфігуруючи і підтримуючи системи адміністраторами згідно рекомендованого керівного принципу захисту і практичного досвіду, як це описано у Настановах із захисту X/Open (X/Open Security Guide). Однак додаткові засоби захисту повинні підтримувати у системі для розширення безпеки проти не­великого відсотка зломів системи, спрямованих на порушення ЇЇ захисту. Намір розширення безпеки щодо основного стандарту POSIX-інтерфейсу зводять до додаткових засобів захисту для усунення подібних проблем.

Забезпечують чотири головних мети безпеки системи:

• конфіденційність: тобто запобігання несанкціонованому перегляду даних системи;

• цілісність. Система повинна запобігти несанкціонованому перетворенню чи стиранню даних;

• доступність. Система повинна гарантувати зареєстрованим користувачам вільний виклик і оброблення даних;

• підзвітність; тобто відповідальність користувачів за їхні дії і простеження дій для посилення безпеки.

Для конкретних груп користувачів можна розставити різні акценти на зазначених чотирьох базових цілях безпеки. Наприклад, у військовому секторі конфіденційність можна вважати важливі­шою за підзвітність, тоді як комерційний сектор може вважати підзвітність важливішою за конфі­денційність.

З позицій ефективності система безпеки є таким глибоким захистом, що, якщо один рівень захисту порушений, то наступні рівні захисту обмежать чи попередять про несанкціоновані чи не­навмисні дії всередині системи. Для досягнення високого ступеня довіри до правильності й ефектив­ності захисту системи, що обробляє секретну інформацію, безпеку треба впроваджувати в систему на початку її життєвого циклу.

Стратегія безпеки системи (SSP — System Security Policy) визначає зміст "бути безпечною" для конкретної системи і також формує вбудовування базового захисту в життєвий цикл системи. Отже, SSP-специфікація — це аксіома для проектування безпечної системи.

Хоча SSP визначає заходи безпеки, забезпечувані усередині системи, це — документація з роз­роблення системи, що визначає фактичне виконання заходів безпеки. Один Із аспектів SSP може полягати в обов'язковій (мандатній) відповідності з розширенням POSIX-безпеки.

Одна з груп POSIX-безпеки IEEE Р1003.6 розробила розширення захисту (IEEE РЮОЗЛе та IEEE Р1003.2с) до основного стандарту POSIX-інтерфейсу. Специфікації інтерфейсу POSIX-безпеки призначені для надання допомоги у конструюванні безпечної системи. Вони не локалізують, а забез­печують будь-який захист від загроз системі.

Еталонна модель POSIX-OSE виділяє АРІ та ЕЕІ у сукупність служб, кожна з яких може мати компоненти безпеки. Індивідуальні компоненти можуть функціонувати незалежно чи разом з іншими компонентами безпеки. Наприклад, ідентифікація користувача й операція аутентифікації можуть включати елементи служб інтерфейсу користувача, комунікації і ведення баз даних.

Необхідні SSP-правила можна отримати, аналізуючи мету системної безпеки, потенційних за­гроз і вимог системи. Аналізуючи, також треба звернути увагу на доцільні корпоративні, юридичні та нормативні вимоги.

Конфіденційність системи, цілісність, доступність і підзвітність можна підтримувати такими цільовими функціями безпеки:

ідентифікація й аутентифікації. Такі системні об’єкти, як користувач чи елемент системи, по­винні довести легітимність їхньої заявленої щентифікації, щоб інші системні об’єкти могли довіряти заявленій ідентифікації;

керування доступом. Доступ до ресурсів системи повинен обмежуватися тільки зареєстрова­ними об’єктами. Залишкові дані, що містяться усередині об’єкта, треба надійно знищувати перш, ніж ними можуть повторно скористатися системні об’єкти;

відповідальність і ревізія. Користувачі системи повинні відповідати за свої дії. Повинно під­тримуватися контрольне відстеження виконуваних дій для виявлення несанкціонованих дій у системі;

точність. Система повинна гарантувати підтримку правильності і несуперечливості відповід­ного рівня безпеки Інформації;

доступність. Ресурси системи треба надавати користувачам несуперечливим і надійним спо­собом;

обмін даними. Дані, передані між користувачами і (або) елементами системи, повинні захи­щатися від несанкціонованого втручання або перегляду. Відправники й одержувачі даних повинні засвідчити свою оригінальність і могти взаємно доводити відповідність на участь у транзакції.

До Інших цільових функцій захисту належать:

гарантії (страхування). Безпеку системи визначають, розробляють, виконують, перевіряють і підтримують шляхом, що сполучає конфіденційність із правильними й ефективними діями системи.

Також визначають процедури, що гарантують безперервність конфіденційності в безпеці системи у разі її зміни будь-яким чином;

ролі й обов’язки безпеки. Функції безпеки повинні допускати їхнє розбиття на розділи і розподіл за ідентифікованими адміністраторами безпеки, що спричиняє задовільне виконання виділених для них задач;

оперативні процедури захисту. Складені процедури повинні надавати настанову адміністрато­рам системи і користувачам для правильних дій унаслідок появи певної події, що відповідає безпеці.