STANAG 4774/4778 käyttöönotto: luottamuksellisuusleimat käytännössä

Datakeskeinen turvallisuus – ajatus siitä, että suojaus seuraa dataobjektia eikä verkon kehää – ei ole uusi, mutta sen käytännön toteutus koalition sotilasjärjestelmissä on historiallisesti ollut vaikeaa. STANAG 4774 ja STANAG 4778 ovat NATOn muodollinen vastaus: kaksi toisiinsa kytkeytyvää standardia, jotka määrittelevät, miten luottamuksellisuusleimat rakennetaan, miten ne sidotaan dataan ja miten politiikkakoneet arvioivat niitä. Tämä artikkeli käsittelee vaatimustenmukaisen leimaustoteutuksen käytännön suunnittelua: leiman syntaksia, sidontamekanismia, politiikan valvontapisteen suunnittelua, koonnin käsittelyä ja leiman säilyttämisen kuria, joka ratkaisee, selviääkö arkkitehtuurisi akkreditointitarkastuksesta. Tämän suunnittelutyön kehystävästä turvaluokitus- ja luovutettavuuspolitiikan kontekstista katso oheinen artikkeli aiheesta STANAG 4774/4778 turvaluokitus ja koalition luovutettavuus.

Datakeskeinen turvallisuusmalli: miksi leimat kulkevat datan mukana

Perinteinen verkkokeskeinen turvallisuus nojaa enklaavin turvaluokitustasoon: kun tietopalanen on SECRET-verkossa, jokaisen kyseisen verkon järjestelmän luotetaan käsittelevän sitä. Tämä malli hajoaa koalitioympäristöissä, joissa data liikkuu enklaavien välillä, joilla on eri akkreditointitasot, eri kansalliset politiikat ja eri valtuutetut vastaanottajajoukot. SECRET-asiakirja yhteisessä verkossa ei ole välttämättä luovutettavissa jokaiselle kumppanikansakunnalle, jolla on pääsy kyseiseen verkkoon.

Datakeskeinen turvallisuus ratkaisee tämän tekemällä leimasta dataobjektin erottamattoman ominaisuuden. Jokainen objekti kantaa koneluettavaa luottamuksellisuusleimaa, joka määrittää sen turvaluokitustason, sen käyttöä ohjaavat käsittelyvaraukset ja luovutettavuusmerkinnät, jotka yksilöivät, mitkä organisaatiot ovat valtuutettuja vastaanottamaan sen. Politiikkapäätökset – välitetäänkö, näytetäänkö, tallennetaanko vai tulostetaanko objekti – tehdään arvioimalla objektin leima pyytävän subjektin turvaluvitusta ja kohdejärjestelmän akkreditointitasoa vasten, sen sijaan että luotettaisiin verkon valvovan oikeaa rajaa.

STANAG 4774 määrittelee leiman rakenteen. STANAG 4778 määrittelee sidontamekanismin. Yhdessä ne tarjoavat teknisen perustan koalition datanjaolle, joka kunnioittaa kunkin kansakunnan kansallista luovutuspolitiikkaa vaatimatta jokaisen datavaihdon manuaalista tarkistusta. Molempien standardien ymmärtäminen parina – ei erillään – on vaatimustenmukaisen toteutuksen edellytys.

STANAG 4774 -leiman syntaksi: rakenne ja koodaus

STANAG 4774 -luottamuksellisuusleima on XML-asiakirja, joka noudattaa STANAG 4774 -XML-skeemaa. Sen ylimmän tason elementti on <ConfidentialityLabel>, joka kantaa kolme pakollista lasta ja useita valinnaisia laajennuksia.

Politiikkatunniste. <PolicyIdentifier>-elementti sisältää Object Identifier -tunnisteen (OID), joka viittaa tätä leimaa hallitsevaan leimapolitiikka-asiakirjaan. OID on rekisteröity tunnustetulle viranomaiselle – tyypillisesti kansalliselle C3-toimistolle tai NATOn C3-virastolle – ja se on avain, jonka avulla vastaanottavat järjestelmät voivat hakea täyden politiikkamäärittelyn ja arvioida leiman oikein. Leimaa, jolla ei ole ratkaistavaa politiikan OID:tä, ei voida arvioida vaatimustenmukaisella politiikkakoneella, ja se on käsiteltävä todentamattomana.

Turvaluokitus. <Classification>-elementti määrittää turvaluokitustason luetteloituna arvona: UNCLASSIFIED, RESTRICTED, CONFIDENTIAL tai SECRET. Koodaus on kirjainkokoherkkä ja sen on vastattava täsmälleen OID:n viittaamassa politiikka-asiakirjassa määriteltyjä merkkijonoarvoja. Leima, joka käyttää muotoa "Secret" eikä "SECRET", epäonnistuu skeemavalidoinnissa vaatimustenmukaisessa toteutuksessa – yleinen integrointivirhe, kun leimoja tuotetaan yleiskäyttöisillä XML-kirjastoilla, jotka eivät pakota luettelointia.

Käsittelyvaraukset ja luovutettavuus. <CategoryData>-elementti kantaa käsittelyvarauksia kuten ATOMAL, CRYPTO, EYES ONLY tai politiikan määrittelemiä tehtäväkohtaisia varauksia. <PermittedCountryCodes>-elementti kantaa luovutettavuusmerkinnän joukkona ISO 3166-1 alpha-3 -maakoodeja. Luovutettavuusmerkintä on monikansallisissa ympäristöissä leiman operatiivisesti tärkein osa: se määrittää, mitkä kumppanikansakuntien järjestelmät ovat oikeutettuja vastaanottamaan leimatun datan, riippumatta turvaluokitustasosta.

Leiman tuottaminen: validointivaatimukset

Jokainen vaatimustenmukaisen järjestelmän tuottama leima on validoitava STANAG 4774 -XML-skeemaa vasten ennen kuin se sidotaan mihinkään dataobjektiin. Skeemavalidointi nappaa rakenteelliset virheet – väärinmuodostuneet OID:t, virheelliset turvaluokitusmerkkijonot, puuttuvat pakolliset elementit – mutta ei validoi semanttista oikeellisuutta politiikka-asiakirjaa vasten. Erillisen politiikkatason validointivaiheen on tarkistettava, että jokainen leiman varaus ja luovutettavuusmerkintä on määritelty viitatussa politiikka-asiakirjassa ja että turvaluokitustason ja varausten yhdistelmä on kyseisen politiikan sallima. Toteutus, joka ohittaa politiikkatason validoinnin, tuottaa leimoja, jotka läpäisevät skeemavalidoinnin mutta jotka alavirran politiikkakoneet hylkäävät virheillä, joita on vaikea diagnosoida jälkikäteen. Rakenna politiikkatason validointivaihe leimageneraattoriin, älä erilliseen tuotannon jälkeiseen auditointiin.

STANAG 4778 -sidontamekanismit: vakuutus ja kapselointi

STANAG 4778 määrittelee kaksi mekanismia STANAG 4774 -leiman sitomiseksi dataobjektiin: vakuutussidonnan ja kapselointisidonnan. Ne palvelevat eri käyttötapauksia ja niillä on eri turvallisuusominaisuudet, ja valinta niiden välillä on tehtävä arkkitehtuurin suunnitteluvaiheessa.

Vakuutussidonta tuottaa allekirjoitetun XML-vakuutuksen, joka sisältää leiman, viittauksen dataobjektiin (tyypillisesti hyötykuorman kryptografisen tiivisteen) ja digitaalisen allekirjoituksen leimaviranomaiselta. Allekirjoitus lasketaan käyttäen XML-digitaalista allekirjoitusta (XMLDSig) kanonisoidun leiman XML:n yli. Dataobjekti ja allekirjoitettu vakuutus välitetään yhdessä – joko samassa viestiympäristössä tai viittaus-ja-vakuutus-parina. Vastaanottava järjestelmä todentaa vakuutuksen tarkistamalla allekirjoituksen leimaviranomaisen julkista avainvarmennetta vasten ja tarkistaa sitten dataobjektin tiivisteen vakuutuksessa olevaa tiivistettä vasten. Jos molemmat tarkistukset läpäisevät, leima todennetaan aidoksi ja muuttamattomaksi, ja sidonta leiman ja dataobjektin välillä on kryptografisesti vahvistettu.

Vakuutussidonta on pakollinen datalle, joka ylittää turvaluokitusrajat ristidomain-ratkaisun (CDS) kautta. Akkreditoijan on todennettava, että CDS valvoo leimoja oikein, ja allekirjoitettu vakuutus tarjoaa tähän todennukseen vaadittavan auditointitodisteen. Ilman vakuutussidontaa CDS-rajalla akkreditoija ei voi vahvistaa, että matalan puolen järjestelmälle esitetyt leimat ovat aitoja esityksiä korkean puolen leimaviranomaisen päätöksestä – eikä CDS:ää akkreditoida.

Kapselointisidonta upottaa leiman suoraan dataobjektin rakenteeseen – viestin otsikkoon, metatietolohkoon tai määriteltyyn laajennuskenttään. Erillistä kryptografista allekirjoitusta ei ole; sidonta nojaa siirtokanavan eheyteen. Kapselointisidonta on yksinkertaisempi toteuttaa ja sitä käytetään laajasti datalle, joka pysyy yhden turvaalueen sisällä. C2-järjestelmälle, joka toimii kokonaan SECRET-enklaavin sisällä, kapselointisidonta viestiskeemassa on riittävä ja välttää vakuutussidonnan PKI-kuormituksen jokaista sisäistä viestiä kohti.

Sidontamekanismien sekoittaminen saman järjestelmän sisällä – kapselointisidonnan käyttäminen sisäisille viesteille ja vakuutussidonnan vain CDS-rajalla – on oikein ja yleistä, mutta raja on määriteltävä selvästi ja sitä on valvottava toteutuksessa. Epäselvyys siitä, mikä sidontamekanismi pätee millä järjestelmän rajalla, on akkreditointihavaintojen lähde.

Politiikan valvontapisteen suunnittelu

Politiikan valvontapiste (PEP) on ohjelmistokomponentti, joka sieppaa datan käyttö- ja vaihtopyynnöt ja arvioi pyydetyn objektin leiman pyytävän subjektin turvaluvitusta ja pyytävän järjestelmän akkreditointitasoa vasten. STANAG 4774/4778 -vaatimustenmukaisessa arkkitehtuurissa PEP ei ole valinnainen: se on mekanismi, jolla leima tuottaa todellisen pääsynvalvonnan sen sijaan, että se olisi pelkkä metatietomerkintä, jota ei koskaan arvioida.

PEP:n arviointialgoritmin on toteutettava dominanssi oikein. Subjekti voi käyttää objektia jos ja vain jos subjektin turvaluvitus dominoi objektin leimaa: subjektin turvaluokitustaso on vähintään yhtä korkea kuin objektin, subjekti pitää hallussaan kaikkia objektin käsittelymerkintöjen vaatimia varauksia, ja subjektin valtuutettu luovutettavuusjoukko kattaa kaikki objektin luovutettavuusmerkinnät. Jokainen näistä kolmesta ehdosta on arvioitava itsenäisesti; kahden kolmesta läpäiseminen on politiikkarikkomus, ei osittainen pääsyn myöntö.

Yleisimmin väärin toteutettu ehto on luovutettavuus. Oikea luovutettavuusvertailu tarkistaa, että vastaanottavan järjestelmän valtuutettu luovutettavuusjoukko on objektin luovutettavuusmerkinnän ylijoukko. Järjestelmä, joka on valtuutettu merkintään REL TO DEU GBR USA, voi vastaanottaa objektin, joka on merkitty REL TO DEU GBR, koska valtuutettu joukko sisältää kaikki merkityt kansakunnat. Järjestelmä, joka on valtuutettu merkintään REL TO GBR USA, ei voi vastaanottaa objektia, joka on merkitty REL TO DEU GBR, vaikka GBR esiintyy molemmissa joukoissa, koska DEU ei ole vastaanottavan järjestelmän valtuutetussa joukossa. Ylijoukkotarkistuksen toteuttaminen leikkaustarkistuksen sijaan on oikea logiikka; leikkaustarkistus on yleinen virhe ja tuottaa järjestelmän, joka myöntää pääsyn objekteihin, joita se ei ole valtuutettu vastaanottamaan.

Koonti ja leiman korotus

Koonti – kahden tai useamman leimatun objektin yhdistäminen johdetuksi tuotteeksi – on käytännön STANAG 4774/4778 -toteutuksen vaikein ongelma. Johdetun tuotteen on kannettava leima, joka on vähintään yhtä rajoittava kuin rajoittavin syöte kaikkien kolmen leimakomponentin osalta: turvaluokitustaso, käsittelyvaraukset ja luovutettavuus.

Turvaluokitustason osalta sääntö on suoraviivainen: tuloksen turvaluokitus on syöteluokitusten maksimi. RESTRICTED- ja CONFIDENTIAL-syötteistä johdettu tuote on CONFIDENTIAL. Käsittelyvarausten osalta tuloksen on sisällettävä kaikkien syötevarausten unioni: jos yksi syöte kantaa merkintää ATOMAL ja toinen CRYPTO, tuloksen on kannettava molemmat. Luovutettavuuden osalta tuloksen on kannettava syötteiden luovutettavuusjoukkojen leikkaus: jos yksi syöte on luovutettavissa joukolle DEU GBR USA ja toinen joukolle GBR FRA, tulos on luovutettavissa vain joukolle GBR, koska vain GBR on valtuutettu molemmille syötteille.

Tämä koontilogiikka on toteutettava jokaisessa komponentissa, joka tuottaa johdettua dataa: fuusiokoneissa, raporttigeneraattoreissa, tiivistelmäpalveluissa ja missä tahansa analytiikkaputkessa, joka yhdistää syötteitä useista lähteistä. Leiman koontilaskennan on tapahduttava ennen kuin tulosobjekti kirjoitetaan mihinkään puskuriin tai jonoon, ei jälkikäsittelyvaiheena. Tulos, joka on olemassa ilman oikeaa leimaa edes lyhyen ajan – ennen kuin jälkikäsittelyvaihe laukeaa – edustaa politiikan vaatimustenvastaisuuden ikkunaa, jonka akkreditoija tunnistaa suunnittelutarkastuksen aikana.

Leiman säilyttäminen koalitiovaihdossa

Leiman säilyttäminen on kuri, jolla varmistetaan, että STANAG 4774 -leima ja sen STANAG 4778 -sidonta selviävät koko siirtopolusta alkuperäisestä järjestelmästä jokaiselle valtuutetulle vastaanottajalle, mukaan lukien väliohjelmistojen, viestivälittäjien, federaatioyhdyskäytävien ja muodonmuunnoskomponenttien läpi, jotka eivät välttämättä ole leimatietoisia.

Federated Mission Network (FMN) -yhteensopivassa vaihtoinfrastruktuurissa leiman säilyttäminen on rakennettu profiiliin: FMN-palvelukerroksen on vaadittava kantamaan STANAG 4774 -leimat viestiympäristöissä ja todentamaan sidonnat vastaanotossa. Käytännössä monet käyttöönotetut järjestelmät sisältävät komponentteja, jotka edeltävät FMN-yhteensopivuutta tai jotka integroitiin ilman leimatietoisuutta – vanhat viestivälittäjät, vaatimustenvastaiset CoT-reitittimet, tietokantaväliohjelmistot, jotka poistavat metatiedot lisättäessä. Jokainen tällainen komponentti edustaa mahdollista leiman pudotuspistettä, joka on tunnistettava ja korjattava järjestelmän suunnittelussa.

Vakiokorjaus leiman pudotusriskille on käyttää vakuutussidontaa kapselointisidonnan sijaan datalle, joka kulkee ei-luotetun infrastruktuurin läpi. Koska vakuutus on osa hyötykuorman runkoa eikä siirto-otsikkoa, se selviää siirrosta sellaisten komponenttien läpi, jotka poistavat tai uudelleenkirjoittavat viestiotsikoita. Vastaanottavassa päässä vakuutussidonnan todennus vahvistaa, että leima on aito ja ehjä, vaikka siirtometatietoa olisi muutettu siirron aikana.

Järjestelmille, joiden on linjattava laajemmin NATOn yhteentoimivuusstandardien kanssa, leiman säilymistestaus tulisi integroida CWIX-yhteentoimivuustestaussuunnitelmaan ensiluokkaisena testitavoitteena, ei myöhäisen vaiheen lisäyksenä. Järjestelmä, joka läpäisee kaikki toiminnalliset yhteentoimivuustestit mutta pudottaa leimat hiljaisesti siirrossa, epäonnistuu turvallisuusakkreditointitarkastuksessa, vaikka se ei koskaan epäonnistuisi yhdessäkään toiminnallisessa testissä. Leiman säilymistestipaketin on syötettävä objektit tunnetuilla leimoilla jokaiseen syötepisteeseen, kaapattava ja tarkastettava objektit jokaisessa tulospisteessä ja varmistettava, että sekä leiman sisältö että sidonnan allekirjoitus ovat identtiset syötön ja vastaanoton välillä.