قاعدة الحوسبة الموثوقة

نتيجةً لتعريف الكتاب البرتقالي المذكور أعلاه، تعتمد حدود وحدة التحكم في الوصول (TCB) اعتمادًا وثيقًا على تفاصيل صياغة سياسة الأمان. في مثال خادم الشبكة المذكور أعلاه، على الرغم من أن خادم الويب الذي يخدم تطبيقًا متعدد المستخدمين ليس جزءًا من وحدة التحكم في الوصول لنظام التشغيل، إلا أنه يتحمل مسؤولية التحكم في الوصول لمنع المستخدمين من انتحال هويات وصلاحيات بعضهم البعض. وبهذا المعنى، يُعدّ جزءًا لا يتجزأ من وحدة التحكم في الوصول لنظام الحاسوب الأوسع الذي يشمل خادم يونكس ومتصفحات المستخدمين وتطبيق الويب ؛ بعبارة أخرى، قد لا يُعتبر اختراق خادم الويب، على سبيل المثال، من خلال ثغرة تجاوز سعة المخزن المؤقت ، اختراقًا لنظام التشغيل نفسه، ولكنه يُشكّل بالتأكيد استغلالًا ضارًا لتطبيق الويب.

تتجلى هذه النسبية الأساسية لحدود TCB في مفهوم "هدف التقييم" (TOE) في عملية الأمن وفقًا للمعايير المشتركة : ففي سياق تقييم الأمن وفقًا للمعايير المشتركة، فإن أحد القرارات الأولى التي يجب اتخاذها هو تحديد حدود التدقيق من حيث قائمة مكونات النظام التي ستخضع للتدقيق.

الأنظمة التي لا تتضمن قاعدة حوسبة موثوقة كجزء من تصميمها لا توفر أمانًا ذاتيًا؛ فهي آمنة فقط بقدر ما يتم توفير الأمان لها بوسائل خارجية (على سبيل المثال، قد يُعتبر جهاز كمبيوتر موجود في غرفة مغلقة بدون اتصال بالشبكة آمنًا اعتمادًا على السياسة المتبعة، بغض النظر عن البرنامج الذي يعمل عليه). هذا لأن، كما ذكر ديفيد ج. فاربر وآخرون ^{[ 6 ]} ، في نظام الكمبيوتر، تُعامل سلامة الطبقات الدنيا عادةً كأمر بديهي من قِبل الطبقات العليا . فيما يتعلق بأمن الكمبيوتر، يتطلب التفكير في خصائص أمان نظام الكمبيوتر القدرة على وضع افتراضات سليمة حول ما يمكنه فعله، والأهم من ذلك، ما لا يمكنه فعله؛ ومع ذلك، ما لم يكن هناك سبب يدعو إلى الاعتقاد بخلاف ذلك، فإن الكمبيوتر قادر على فعل كل ما يمكن أن تفعله آلة فون نيومان العامة . يشمل هذا بالطبع عمليات تُعتبر مخالفة لجميع سياسات الأمان باستثناء أبسطها، مثل إفشاء بريد إلكتروني أو كلمة مرور يجب الحفاظ على سريتها. ومع ذلك، وباستثناء الأحكام الخاصة في بنية النظام، لا يمكن إنكار إمكانية برمجة الكمبيوتر لأداء هذه المهام غير المرغوب فيها.

تُشكّل هذه الأحكام الخاصة، التي تهدف إلى منع تنفيذ أنواع معينة من الإجراءات، أساس الحوسبة الموثوقة. ولهذا السبب، لا يزال الكتاب البرتقالي (الذي لا يزال مرجعًا في تصميم أنظمة التشغيل الآمنة حتى عام 2007) مرجعًا أساسيًا في هذا المجال.) يصف مستويات ضمان الأمن المختلفة التي يحددها بشكل أساسي من حيث هيكل وخصائص أمان TCB.

كما هو موضح في الكتاب البرتقالي المذكور آنفًا، يجب على الأجزاء البرمجية من قاعدة الحوسبة الموثوقة حماية نفسها من التلاعب لكي تكون فعّالة. ويعود ذلك إلى بنية فون نيومان المُطبقة في جميع الحواسيب الحديثة تقريبًا: فبما أن لغة الآلة تُعالج كأي نوع آخر من البيانات، يُمكن لأي برنامج قراءتها والكتابة فوقها. ويمكن منع ذلك من خلال أحكام خاصة لإدارة الذاكرة ، والتي يجب التعامل معها لاحقًا كجزء من قاعدة الحوسبة الموثوقة. وعلى وجه التحديد، يجب على قاعدة الحوسبة الموثوقة على الأقل منع الكتابة إلى برمجياتها الخاصة.

في العديد من وحدات المعالجة المركزية الحديثة ، تُؤمَّن حماية الذاكرة التي تستضيف قاعدة الحوسبة الموثوقة (TCB) بإضافة وحدة متخصصة تُسمى وحدة إدارة الذاكرة (MMU)، والتي يُمكن لنظام التشغيل برمجتها للسماح لبرنامج قيد التشغيل بالوصول إلى نطاقات محددة من ذاكرة النظام أو منعه. وبطبيعة الحال، يستطيع نظام التشغيل أيضًا منع هذه البرمجة من البرامج الأخرى. تُسمى هذه التقنية وضع الإشراف ؛ وبالمقارنة مع الأساليب الأبسط (مثل تخزين قاعدة الحوسبة الموثوقة في ذاكرة القراءة فقط ، أو ما يُعادلها، استخدام بنية هارفارد )، فإنها تتميز بإمكانية ترقية البرامج الحساسة أمنيًا ميدانيًا، على الرغم من أن السماح بترقيات آمنة لقاعدة الحوسبة الموثوقة يطرح مشكلات خاصة به. ^{[ 7 ]}

كما ذُكر أعلاه ، فإن الثقة في قاعدة الحوسبة الموثوقة ضرورية لإحراز أي تقدم في التحقق من أمن نظام الحاسوب. بعبارة أخرى، تُعتبر قاعدة الحوسبة الموثوقة "موثوقة" في المقام الأول بمعنى أنه يجب الوثوق بها، وليس بالضرورة بمعنى أنها جديرة بالثقة. وتُكتشف في أنظمة التشغيل الواقعية بشكل روتيني ثغرات أمنية بالغة الأهمية، مما يُؤكد على الحدود العملية لمثل هذه الثقة. ^{[ 8 ]}

البديل هو التحقق الرسمي من البرمجيات ، الذي يستخدم تقنيات البرهان الرياضي لإثبات خلوها من الأخطاء. وقد أجرى باحثون في مركز NICTA وشركته المنبثقة Open Kernel Labs مؤخرًا تحققًا رسميًا من هذا النوع لنواة seL4، وهي إحدى نوى عائلة L4 المصغرة ، مُثبتين بذلك صحة وظائف تطبيق النواة المكتوب بلغة C. ^{[ 9 ]} وهذا يجعل seL4 أول نواة نظام تشغيل تُحقق التوازن بين الثقة والموثوقية، بافتراض خلو البرهان الرياضي من الأخطاء.

نظراً للحاجة المذكورة آنفاً إلى تطبيق تقنيات مكلفة كالتدقيق الرسمي أو المراجعة اليدوية، فإن حجم وحدة التحكم في الاختبار (TCB) يؤثر بشكل مباشر على اقتصاديات عملية ضمان وحدة التحكم في الاختبار، وعلى موثوقية المنتج الناتج (من حيث التوقع الرياضي لعدد الأخطاء التي لم يتم اكتشافها أثناء التدقيق أو المراجعة). ولتقليل التكاليف والمخاطر الأمنية، ينبغي الحفاظ على وحدة التحكم في الاختبار بأصغر حجم ممكن. هذه حجة أساسية في النقاش الدائر حول تفضيل النوى المصغرة على النوى المتجانسة . ^{[ 10 ]}