Brewer-Nash-Modell

Das Brewer-Nash-Modell (auch Chinese-Wall-Modell) beschreibt ein IT-Sicherheitsmodell zum Schutz von Daten. Es schützt die Vertraulichkeit von Informationen mittels eines Systems durchgesetzter Regeln. Damit setzt es das Konzept Mandatory Access Control der IT-Systemsicherheit um. Es soll eine „unzulässige Ausnutzung von Insiderwissen bei der Abwicklung von Bank- oder Börsentransaktionen“ oder die Weitergabe von unternehmensspezifischen Insiderinformationen an konkurrierende Unternehmungen durch einen Berater verhindern.Vorlage:Rp

Seine Ursprünge hat das Modell in der Finanzbranche und bezeichnet bestimmte Regeln, die verhindern sollen, dass ein Interessenkonflikt herbeigeführt wird (siehe auch Chinese Wall (Finanzwelt)).

Das Brewer-Nash-Modell wurde 1989 von David F.C. Brewer und Michael J. Nash beschrieben 

Formale Definition

Die Menge der Subjekte $S$ modelliert die Akteure, also z. B. die tätigen Berater in einer Unternehmensberatung, während die Menge der Objekte $O$ die Schutzobjekte darstellt, also zum Beispiel sensible Dokumente einer Bank oder eines Unternehmens.

Zugriffshistorie

Beim Brewer-Nash-Modell betrachtet man eine Zugriffshistorie, welche durch eine Matrix $N_t:S\times O\to 2^R$ gegeben ist. Dabei gilt, dass $N_t(s,o)=\{r_1,\dots ,r_n\}$ genau dann, wenn es Zeitpunkte $t^{\prime }<t$ gibt, an denen das Subjekt $s$ auf das Objekt $o$ mit Berechtigungen $r_1,\dots ,r_n$ zugegriffen hat. 

Objektbaum

Die Objekte werden in einem Objektbaum der Tiefe 3 strukturiert: Die Schutzobjekte sind die Blätter des Baumes. Die Elternknoten der Schutzobjekte stellen die Unternehmen oder Bereiche dar, zu denen die Objekte gehören. Für ein Objekt $o$ wird das Unternehmen, dem es zugeordnet ist, mit $y(o)$ bezeichnet. Die Unternehmen wiederum haben als Elternknoten die Interessenskonfliktklassen, welche für ein gegebenes Objekt durch $x(o)$ gekennzeichnet wird. Intuitiv heißt das, dass wenn zwei Unternehmen A und B in der gleichen Interessenskonfliktklasse sind, Subjekte nicht gleichzeitig in Kenntnis von sensiblen Informationen (Objekten) sowohl über A, als auch über B kommen dürfen.

Zusätzlich markiert man Objekte, die allen Subjekten öffentlich zugänglich sein sollen, mit $y_0$ und definiert für diese Objekte entsprechend die Interessenskonfliktklasse $x_0=\{y_0\}$.

Leseregel

Nun müssen die systembedingten Zugriffsbeschränkungen definiert werden. Die erste Regel, die Leseregel, besagt, dass ein Subjekt genau dann lesenden Zugriff auf ein Objekt $o$ erhält, wenn für alle Objekte, auf die es bereits (mit einem beliebigen Recht) Zugriff hatte, gilt, dass sie öffentlich sind, sie dem gleichen Unternehmen wie $o$ zugeordnet sind oder sie einer anderen Interessenskonfliktklasse als $o$ angehören. Formal heißt das

$\mathrm{\forall }{o}^{\prime }\in O:(N_t(s,o^{\prime })\ne \mathrm{\varnothing }\to y(o^{\prime })=y_0\vee y(o)=y(o^{\prime })\vee x(o)\ne x(o^{\prime }))$

Schreibregel

Nur mit der Leseregel lässt sich kein ungewünschter Informationsfluss ausschließen. Es besteht nämlich die Möglichkeit, dass ein Subjekt $s_1$ auf ein Objekt $o_1$ lesend zugreift und dessen Inhalt daraufhin in ein Objekt $o_3$ schreibt, welches in einer anderen Interessenskonfliktklasse als $o_1$ liegt. Ein zweites Subjekt $s_2$ könnte nun zuerst auf ein Objekt $o_2$ zugreifen, welches in der gleichen Interessenskonfliktklasse wie $o_1$ liegt, allerdings einem anderen Unternehmen angehört. Nun könnte sich $s_2$ durch Lesen von $o_3$ unzulässiges Insiderwissen über $y(o_1)$ aneignen, da die Inhalte von $o_3$ und $o_1$ übereinstimmen.

Um diesen Informationsfluss zu verhindern, definieren wir folgende Schreibregel, welche besagt, dass ein Subjekt genau dann schreibenden Zugriff auf ein Objekt $o$ erhält, wenn für alle Objekte, auf welches das Subjekt bereits lesenden Zugriff ausgeübt hat, gilt, dass sie öffentlich oder dem gleichen Unternehmen wie $o$ zugeordnet sind. Formal heißt das

$\mathrm{\forall }{o}^{\prime }\in O:(read\in N_t(s,o^{\prime })\to y(o^{\prime })=y_0\vee y(o)=y(o^{\prime }))$

Es wird durch diese Regel also genau der oben beschriebene Fall unterbunden, dass ein Subjekt Insiderinformationen über eine andere Interessenskonfliktklasse an einen Konkurrenten weitergibt.

Siehe auch

• Clark-Wilson-Modell
• Role Based Access Control
• Mandatory Access Control

Literatur

• Heinrich Kersten: Einführung in die Computersicherheit. Oldenbourg, München u. a. 1991, ISBN 3-486-21873-5 (Sicherheit in der Informationstechnik. 3, Schriftenreihe Bd. 1).
• Claudia Eckert: IT-Sicherheit. Konzepte – Verfahren – Protokolle. 5. überarbeitete Auflage. Oldenbourg Wissenschaftsverlag, München u. a. 2008, ISBN 978-3-486-58270-3.

Weblinks

• Vorlage:Literatur