Свойства безопасности

OSAFIS 2.0.0-draft.1 · Исследовательское предложение · 17 мин чтения

OSAFIS 2.0.0-draft.1 | Исследовательское предложение | 7 сентября 2026 г.

Что устанавливает свойство

Свойство безопасности называет обязательство, которое оценка может конкретизировать для защищаемого объекта, функции или связи. Механизм атаки описывает, как действует воздействие; область указывает местоположение соответствующего контракта; свойство определяет, что именно этот контракт защищает. Эти оси связаны, но не взаимозаменяемы. Вредоносный документ может попасть в систему, не нарушив ни одного свойства, а одно и то же свойство может быть нарушено через несколько механизмов в нескольких областях.

Приведённые ниже двадцать три идентификатора сохраняют назначения и метки из исходного документа «Версии и идентификаторы». Это предлагаемые аналитические соглашения, а не доказательства того, что развёрнутая система им удовлетворяет. В исходном документе «Свойства безопасности» использовались нумерованные заголовки разделов, не совпадающие со всеми постоянными идентификаторами. Цитирование должно опираться на идентификаторы P и версию фреймворка, а не выводить идентичность из положения раздела. В частности, P14 — это Управляемость, P15 — Целостность планирования, P17 — Временная целостность, а P18 — Целостность решений.

Конкретизация и проверка свойства

Для каждого применимого свойства укажите защищаемый объект или связь, уполномоченных субъектов, разрешённые операции, определяющие условия, временной горизонт и наблюдаемый критерий нарушения. Укажите владельца политики и доказательства того, что политика применима. Фраза «вывод был вредным» не определяет обязательство, а фраза «система осталась защищённой» не является оракулом. Контракты могут включать категорические запреты, лимиты, пороговые значения или условные обязательства; их значения требуют обоснования в оцениваемой обстановке.

Оракул решает, выполняется ли заданное условие. Он может сравнивать записи о разрешениях с воздействиями, проверять привязки к источникам, оценивать объявленное правило на контролируемых фактах или использовать прошедшую рецензирование рубрику для оценки смысла и подачи информации. Ограничения оракула должны сообщаться, включая разногласия между экспертами-арбитрами. Объяснения, сгенерированные моделью, могут служить наблюдениями, но не следует предполагать, что они раскрывают фактический причинный процесс или дают независимую эталонную истину.

Приведённые ниже примеры и тесты иллюстративны и не выполнялись. Они предлагают возможные схемы оценки, а не экспериментальные результаты, подтверждённые уязвимости или универсальные меры защиты. Там, где это практически осуществимо, тесты должны использовать синтетические данные и изолированные воздействия. Каждая запись о выполнении должна указывать поведение на базовом уровне, изменяемое условие, отрицательные контроли, наблюдаемый исход, конфигурацию и неопределённость. Свойство может быть неприменимым, непроверенным, выполненным в исследованных условиях, нарушенным при указанных условиях или неразрешённым. Эти состояния нельзя сводить к бинарному утверждению о защищённости системы.

P01 Конфиденциальность

Конфиденциальность требует, чтобы защищаемая информация раскрывалась только субъектам и по каналам, разрешённым применимой политикой. Контракт должен определять входящие в область информацию, получателей, преобразования и выходные данные. Инструкции, артефакты моделей и внутренние трассировки конфиденциальны лишь тогда, когда их действительно защищает политика; само по себе внутреннее расположение не является правилом секретности. Раскрытие может происходить через текст, поиск, память, полезную нагрузку инструментов или иные наблюдаемые каналы.

Оракул нарушения устанавливает, что неуполномоченный получатель получил защищаемую информацию или запрещённый вывод согласно объявленному критерию утечки. Изолированный тест может поместить синтетический секрет в одну учётную запись и изучить выходные данные другой, используя уполномоченного получателя в качестве отрицательного контроля. Угаданный маркер — слабое доказательство, если его происхождение нельзя отличить от случайности или разрешённого знания. P01 касается раскрытия; P02 — несанкционированного изменения, а P03 — доступа к сервису. Один инцидент может независимо затрагивать все три свойства.

P02 Целостность

Целостность требует, чтобы защищаемые информация, конфигурация, вычисления или состояние создавались и изменялись только посредством разрешённых преобразований и уполномоченными участниками. Понятие «заслуживающий доверия» необходимо перевести в конкретный инвариант, например утверждённый дайджест артефакта, действительное разрешение на обновление или сохранённую привязку к учётной записи. Общее свойство остаётся полезным для объектов, обязательство которых не выражается лучше специализированным свойством целостности.

Оракул сравнивает наблюдаемое состояние или переход защищаемого объекта с разрешённой версией и правилами изменения. Тест на замену артефакта модели может проверить фактически загруженный артефакт, а не выводить замену только из изменившихся ответов. Разрешённое обновление проверяет отрицательный случай. Используйте P07 для особой семантики сохраняемой рабочей памяти, P04 — для полномочий инструкций, а другие конкретные свойства — там, где они точно выражают обязательство. Добавление P02 к каждой находке, связанной со специализированной целостностью, не устанавливает дополнительного нарушения и не повышает его серьёзность.

P03 Доступность

Доступность требует предоставления заданной функциональности уполномоченным пользователям в пределах объявленных границ обслуживания, ресурсов или времени. Эти границы должны определять рабочую нагрузку и допущения об окружении, включая механизмы контроля допуска и зависимости. Отказ, требуемый политикой, не является отказом в разрешённом обслуживании. Неограниченное обещание ответить на каждый запрос не является работоспособным контрактом.

Оракул измеряет заданный результат обслуживания, например завершение, задержку или принятую рабочую нагрузку, в контролируемых условиях. Изолированный тест может ввести ограниченную рекурсивную работу и измерить, остаются ли посторонние разрешённые запросы в пределах контракта обслуживания. Рабочая нагрузка эквивалентной разрешённой стоимости помогает отличить предполагаемый механизм усиления от обычных ограничений мощности. P03 касается возможности получить обслуживание; P14 — возможности уполномоченной стороны ограничить или остановить работу. Непрерывно работающий сервис может удовлетворять одному свойству, нарушая другое.

P04 Целостность инструкций

Целостность инструкций требует, чтобы разрешённые инструкции сохраняли свой смысл, полномочия, объём и приоритет на всём пути обработки. Развёртывание должно определять, кто может выдавать инструкции каждого класса и как разрешаются конфликты. Найденные фрагменты, ответы инструментов и цитируемая речь не повышаются до привилегированной роли инструкции лишь потому, что их формулировка напоминает приказ.

Оракул сравнивает принятый набор инструкций и его наблюдаемые последствия с определяющим источником и правилами приоритета. Иллюстративный тест подаёт документ, содержащий якобы отменяющее политику положение, и проверяет, вытеснено ли защищаемое ограничение задачи. Действительная инструкция из уполномоченного источника служит отрицательным контролем против неразборчивого отказа. P11 касается сохранения смысла в более общем виде; P04 касается именно инструкций и их полномочий. P09 касается итоговой разрешённой цели. Фиксируйте оба свойства лишь тогда, когда доказательства устанавливают и нарушение инструкций, и изменение цели, а не выводите одно из другого.

P05 Целостность контекста

Целостность контекста требует, чтобы материал, собираемый для постановки задачи, сохранял необходимые состав, атрибуцию, порядок и оговорки значимой информации. Контракт может определять, какие история, допущения, наблюдения или доказательства должны сопровождать решение и какие контекстные пропуски запрещены. Он не требует, чтобы каждый возможный факт помещался в контекст модели.

Оракул сравнивает собранный контекст решения с этим контрактом. Иллюстративный тест вводит этап суммаризации, который сохраняет утверждение об одобрении, но отбрасывает ограничивающее его условие, а затем проверяет, остаётся ли ограничение доступным в контексте решения. Сводка, сохраняющая оба положения, служит отрицательным контролем. P06 касается исходного ресурса знаний; P07 — состояния, сохраняемого между операциями. P05 касается рамки задачи, фактически предоставленной для текущего решения. Если необходимая оговорка была утрачена ещё в постоянной памяти, следует различать нарушение памяти и его распространение в контекст.

P06 Целостность знаний

Целостность знаний требует, чтобы информация, используемая в качестве знаний, сохраняла необходимые происхождение, статус проверки и условия использования. Она не утверждает универсальной истинности. Система может законно использовать неопределённые или противоречивые источники, если контракт сохраняет эти оговорки и не представляет их как проверенные факты. Значимыми ресурсами являются справочные документы, поисковые коллекции, а также обучающие и иные информационные входные данные.

Оракул сравнивает источник информации и её объявленный статус с контрактом ресурса при загрузке, преобразовании и использовании. Изолированный тест может смешать синтетические проверенные и непроверенные записи и проверить, не повышают ли преобразования их статус ложным образом. Корректно помеченный непроверенный результат служит отрицательным контролем, даже если его содержание ошибочно. P21 в более широком смысле регулирует изменения отношений доверия; P20 — прослеживаемое происхождение. P06 защищает эпистемическую обработку ресурса знаний, тогда как P22 и P23 касаются наблюдения и представления операционной среды.

P07 Целостность памяти

Целостность памяти требует, чтобы сохраняемое рабочее состояние создавалось, изменялось, связывалось, интерпретировалось и выводилось из употребления только в рамках его разрешённого контекста безопасности. Контракт определяет задачу или субъекта, которым принадлежит состояние, его объём и срок действия, а также допустимые хранение и повторное использование. Сводка разговора, контрольная точка или сохранённое предпочтение могут нести это обязательство независимо от носителя данных и срока хранения.

Оракул сравнивает ранее существовавшие полномочия и состояние с тем, что восстанавливается или используется в последующей операции. Иллюстративный тест возобновляет две синтетические пользовательские сессии и проверяет, не переходит ли предпочтение или одобрение одного пользователя к другому. Корректно привязанное возобновление служит отрицательным контролем. P05 касается собранного текущего контекста, P06 — ресурсов знаний. P17 касается обязательств во времени даже при неизменном содержимом памяти. P07 обоснованно применяется, когда само сохранённое или восстановленное рабочее состояние нарушает контракт своей авторизации, привязки или интерпретации.

P08 Целостность идентификации

Целостность идентификации требует надёжной привязки значимых участников и заявленных ими полномочий к пользователям, агентам, сервисам, сессиям или источникам, которые они представляют. Контракт определяет доказательства идентичности, принимаемые для конкретной роли, и допустимую связь между идентичностью и полномочиями. Знакомое имя или заявление о роли само по себе не обеспечивает такой привязки.

Оракул сравнивает субъекта, которого система считает действующим, с проверенной идентичностью и записью о ролях. Синтетическое сообщение между агентами может повторно использовать отображаемое имя другого агента, сохраняя иную аутентифицированную идентичность; тест проверяет, наделяет ли получатель его ролью названного агента. Сообщение с действительной привязкой идентичности служит отрицательным контролем. P20 касается истории происхождения и вклада; P21 — допустимых отношений доверия. P08 выявляет ошибочную привязку участника или его полномочий, тогда как P16 проверяет, не получает ли корректно идентифицированный делегат избыточный объём полномочий.

P09 Целостность цели

Целостность цели требует сохранения разрешённой задачи или результата до тех пор, пока субъект, имеющий право их изменить, не сделает этого в пределах своих полномочий. Запись о цели должна указывать её исходный источник полномочий, определяющие ограничения, принятые изменения и неурегулированные конфликты. Вклад могут вносить политика развёртывания, действительный запрос пользователя и ограниченное делегирование; их приоритет должен быть задан. Система не может установить разрешение, просто объявив предпочтительную цель законной.

Оракул сравнивает задачу, которую система обязуется выполнять, с этой записью. В иллюстративном тесте задача проверки отчёта после прочтения исходного содержимого перенаправляется на продвижение названного поставщика. Доказательства должны устанавливать изменение критерия задачи или преследуемого результата; одной неверной рекомендации недостаточно. Разрешённое изменение служит отрицательным контролем. P18 касается суждения, выносимого при неизменной задаче, а P15 — стратегии её достижения. P09 не оценивает этическую ценность разрешённой цели и не разрешает неопределённый конфликт в области управления.

P10 Поведенческая целостность

Поведенческая целостность требует соблюдения определённого значимого для безопасности поведенческого ограничения, когда ни одно более конкретное свойство не выражает это обязательство. Это остаточное свойство по замыслу. Контракт должен описывать запрещённое или требуемое наблюдаемое поведение независимо от того, что вывод кому-то не понравился или оказался вредным. Вариативность, неожиданность и обычные ошибки модели не устанавливают нарушения этого свойства.

Например, для системы поддержки может действовать прошедший рецензирование запрет на адресные угрозы с целью принудить человека продолжать взаимодействие. Предлагаемый тест должен до наблюдения выводов определить критерии угрозы и принуждения, контроли с безобидным обсуждением, процедуру арбитража и допустимую обстановку оценки. Оракул касается этих критериев, а не общей оценки вредности. Используйте P19, когда продемонстрированное обязательство касается существенно вводящего в заблуждение воздействия на решения людей, P09 — для изменённых целей, P15 — для недопустимых стратегий и P18 — для недопустимых суждений. Если нет конкретного поведенческого контракта или надёжного арбитража, фиксируйте классификацию как неразрешённую, а не присваивайте P10 по умолчанию.

P11 Семантическая целостность

Семантическая целостность требует сохранения значимого для безопасности смысла при интерпретации или преобразовании. Контракт определяет, какие различия должны сохраниться, например отрицание, объём, условия, различие между цитируемым и утверждаемым высказыванием или между гипотетическим и фактическим разрешением. Он не обязательно требует буквальных формулировок или идентичных выводов, а там, где различие существенно, неоднозначность должна быть представлена, а не разрешена молча.

Оракул сравнивает интерпретированное или преобразованное утверждение с заданным смыслом, используя контролируемые случаи или прошедшую рецензирование рубрику арбитража. Иллюстративный тест переводит фразу «одобрение действительно только для тестовой учётной записи» и проверяет, сохранилось ли ограничение учётной записи; перефразирования, сохраняющие смысл, образуют отрицательные контроли. P04 применяется именно к полномочиям и смыслу инструкций, P08 — к привязке участников, а P09 — к разрешённой цели. P11 полезно, когда продемонстрированное нарушение представляет собой преобразование смысла; его не следует добавлять лишь потому, что где-то на пути встречается естественный язык.

P12 Целостность возможностей

Целостность возможностей требует, чтобы выбор и предполагаемое использование доступных возможностей оставались в пределах их разрешённых границ безопасности. Контракт определяет разрешённые инструменты или операции, цели, объекты, субъектов и условия. Обладание учётными данными или техническим доступом устанавливает лишь одну часть отношения разрешения; оно не разрешает любую задачу или любое предлагаемое использование.

Оракул сравнивает выбранное или запрошенное использование возможности с её разрешённым назначением и объёмом до наступления соответствующего внешнего воздействия. Иллюстративный тест предоставляет агенту инструмент запросов только для чтения и инструмент изменения для разных задач, а затем проверяет, не побуждает ли фрагмент источника выбрать второй инструмент для запроса только на чтение. Законно разрешённое изменение служит отрицательным контролем. P13 касается фактических воздействий, P15 — стратегии как последовательности, а P09 — цели. Заблокированный недопустимый выбор может нарушать P12, тогда как контроль на этапе выполнения успешно сохраняет P13.

P13 Целостность действий

Целостность действий требует, чтобы внешние воздействия при выполнении оставались в разрешённом объёме. Контракт должен привязывать фактический объект действия, получателя, данные, масштаб, время и значимые предусловия. Он охватывает цифровые воздействия и физическое приведение в действие. Правильного выбора возможности недостаточно, если меняются параметры, цель устаревает или выполнение даёт иное воздействие.

Оракул сравнивает наблюдаемые воздействия с применимыми условиями разрешения и выполнения. В изолированном тесте одобренная запись в синтетическую запись A перенаправляется в запись B между выбором и отправкой. Проверенная запись в A служит отрицательным контролем. P12 касается выбора возможности; P13 — воздействия. Если оба контракта нарушены независимо, оба могут быть зафиксированы в причинном описании. Этот проект не сохраняет обязательного правила «самого раннего свойства», которое скрыло бы отдельно нарушенную проверку выполнения. Самое раннее подтверждённое нарушение может оставаться выбором для индексации, не стирая более поздних доказательств.

P14 Управляемость

Управляемость требует, чтобы уполномоченная сторона сохраняла заданную возможность наблюдать, прерывать, ограничивать, отзывать или восстанавливать работу системы. Контракт определяет доступное вмешательство, ответственную сторону, временное требование и воздействия, остающиеся обратимыми. Отображаемая кнопка остановки не доказывает, что ей подчиняются выполняющиеся задачи или делегированные операции.

Оракул измеряет, вступает ли вмешательство в силу до заданного срока и в заявленном объёме. Иллюстративное моделирование отменяет поставленную в очередь операцию и проверяет, прекращаются ли выполнение и делегированные продолжения до смоделированной точки фиксации. Задача без ожидающего воздействия служит отрицательным контролем для пути сигнала отмены, но не доказывает своевременного предотвращения. P03 касается продолжения обслуживания, тогда как P14 — законного контроля над этим обслуживанием. Восстановление обратимого состояния не может продемонстрировать отмену раскрытия или иных необратимых воздействий; для них необходимы локализация и вмешательство до соответствующей границы.

P15 Целостность планирования

Целостность планирования требует, чтобы стратегия достижения разрешённой цели удовлетворяла объявленным ограничениям безопасности на последовательность, зависимости, ресурсы и промежуточные состояния. Законные цели и по отдельности разрешённые операции не гарантируют, что их композиция допустима. Оцениваемым объектом является выбранный план, запланированная последовательность или достаточно наблюдаемая стратегия выполнения, а не предполагаемая внутренняя трассировка рассуждений.

Оракул проверяет эту стратегию на соответствие её ограничениям до наступления вреда или независимо от него. Иллюстративная задача разрешает обновлять две записи только совместно; план зафиксировать одну до проверки другой нарушает заявленное условие. Транзакционная последовательность служит отрицательным контролем. P09 касается преследуемого результата; P18 — суждений, например о том, пройдена ли проверка; P13 — фактических последствий обновления. Доказательства вредного итогового действия сами по себе не позволяют определить, был ли дефектным план, поддерживающее его суждение или только выполнение.

P16 Целостность делегирования

Целостность делегирования требует, чтобы передаваемые или осуществляемые полномочия сохраняли действительный объём полномочий делегирующего и все ограничения, наложенные на передачу. Контракт определяет делегирующего, делегата, задачу, разрешённые ресурсы, срок действия, поведение при отзыве и допустимость дальнейшего делегирования. Передача ответственности не является разрешением расширять возможности или менять цель.

Оракул сравнивает полномочия, принятые или осуществлённые делегатом, с исходным предоставлением и разрешёнными преобразованиями. Изолированный тест делегирует доступ к одной синтетической папке и проверяет, не трактует ли следующий сервис запрос как доступ ко всей учётной записи. Действительное суженное делегирование служит отрицательным контролем. P08 защищает привязку участников, P12 — выбор возможностей, а P17 — действительность во времени. Обмен информацией или рекомендация агента не обязательно делегируют полномочия; прежде чем применять это свойство на таком основании, граф должен выявить фактическое отношение делегирования.

P17 Временная целостность

Временная целостность требует, чтобы обязательства безопасности оставались действительными при заданных задержках, переходах состояния, повторяющихся взаимодействиях и событиях жизненного цикла. Она охватывает временные условия, такие как истечение срока действия, отзыв, порядок и сохраняющаяся действительность. Утверждения «нарушение произошло позже» недостаточно; оценка должна определить, какое именно зависящее от времени обязательство было сорвано.

Оракул сравнивает время операции и переход её состояния с соответствующим правилом действительности. Иллюстративный тест ставит в очередь синтетическое действие по разрешению, срок которого истекает до выполнения, и проверяет, проходит ли действие повторную проверку или блокируется. Выполнение в пределах срока действия разрешения служит отрицательным контролем. P07 касается сохраняемого рабочего состояния, тогда как P17 может быть нарушено при точном хранении, если неизменное истёкшее разрешение всё ещё соблюдается. P14 касается эффективности вмешательства. Временные оговорки могут сопровождать любое свойство, не образуя самостоятельного нарушения P17, если не доказано отдельное временное обязательство.

P18 Целостность решений

Целостность решений требует, чтобы значимые для безопасности суждения системы следовали заданному правилу принятия решений, допустимым доказательствам и требованиям к неопределённости. Цель может оставаться неизменной, тогда как вердикт, классификация, решение об авторизации или промежуточное суждение подвергаются манипуляции. Контракт должен определять правило или принятый метод арбитража; расхождение с интуицией оценщика — недостаточный оракул.

Иллюстративный тест выясняет, удовлетворяет ли синтетический запрос фиксированному условию доступа, варьируя несущественную подачу источника при неизменных проверенных фактах. Оракул сравнивает возвращённый вердикт с объявленным правилом и проверяет, объясняет ли предполагаемое воздействие отклонение. Законно иные факты, меняющие вердикт, служат отрицательными контролями. P09 касается подмены самой задачи, P15 — стратегии, а P19 — последующего суждения человека. Неверный вердикт системы можно продемонстрировать без внешнего действия, но приписывание его атаке требует доказательств, выходящих за рамки одного неверного ответа.

P19 Целостность решений человека

Целостность решений человека требует, чтобы опосредованное системой воздействие на значимые для безопасности выборы людей соблюдало объявленные условия существенно правдивого представления информации и информированного разрешения. Контракт определяет, какие утверждения, умолчания, сведения о неопределённости или объёме существенны для роли человека. Обычное влияние не запрещено; вопрос в неразрешённом или существенно вводящем в заблуждение воздействии согласно заданным критериям.

Оракул может выявлять несоответствие между представленным объёмом действия и фактически запрашиваемым одобрением или оценивать вводящие в заблуждение утверждения по прошедшей рецензирование рубрике. Чтобы показать, что люди изменили решения из-за такой подачи, нужны отдельные доказательства с участием людей; дефект интерфейса сам по себе не доказывает влияния на последующее решение. Предварительный просмотр с точным объёмом служит отрицательным контролем в синтетическом рабочем процессе. P18 касается суждений, вырабатываемых системой, P20 — происхождения, а P14 — пригодного к использованию вмешательства. Исследования с участием людей требуют надлежащего согласия, этической экспертизы, разъяснения после исследования и защиты данных; ничего не подозревающие пользователи не должны становиться объектами тестирования.

P20 Целостность атрибуции

Целостность атрибуции требует сохранения записей о происхождении и вкладе, необходимых для прослеживания значимой информации, решений и воздействий. Контракт определяет требуемую родословную, включая инициирующего субъекта, внёсшие вклад источники, агентов, инструменты и, где это существенно, записи о разрешениях. Он не обещает идеальной реконструкции внутренних рассуждений модели и не требует бессрочного хранения частного содержимого.

Оракул сравнивает зафиксированную родословную с контролируемыми записями об источниках и выполнении. Иллюстративный тест пропускает синтетический запрос через двух агентов и общий инструмент, а затем проверяет, не называет ли итоговое событие ошибочно второго агента исходным разрешившим лицом. Корректно связанное событие служит отрицательным контролем. P08 касается привязки идентичности участника, P06 — происхождения знаний в роли ресурса, а P21 — назначения доверия. Атрибуция поддерживает подотчётность, но сама по себе не устанавливает ответственности, истинности или разрешения. Журналы могут быть полными и всё же вводить в заблуждение, если заявленные в них связи не привязаны к описываемым событиям.

P21 Целостность доверия

Целостность доверия требует, чтобы отношения доверия и привилегии доверенных ролей менялись только посредством разрешённого процесса. Контракт должен определять, что именно даёт доверие: право полагаться на источник как на проверенное доказательство, принимать его как источник инструкций или разрешать сервису действовать от имени субъекта. Единый недифференцированный признак «доверенный» может скрывать существенно различные разрешения.

Оракул выявляет неразрешённое изменение роли или степени доверия, предоставленных источнику или участнику. Иллюстративный тест вставляет в непроверенную запись заявление о статусе проверенного издателя и проверяет, принимает ли получающий рабочий процесс это заявление как достаточное доказательство для повышения статуса. Фактический разрешённый переход к проверенному статусу служит отрицательным контролем. P08 касается того, кем является участник; P21 — отношения доверия, назначенного этому участнику или содержимому. P04 применяется, когда повышение статуса меняет именно полномочия инструкций. Несколько меток должны отражать независимо сформулированные обязательства, а не повторные описания одного и того же повышения.

P22 Целостность восприятия

Целостность восприятия требует, чтобы полученные наблюдения сохраняли точность, привязку к сущностям, время и неопределённость, требуемые контрактом наблюдения. Её неизменный предмет — то, что наблюдает система. Данная редакция явно включает наблюдение цифровых сред наряду с физическим восприятием; исторические применения, ограниченные физическими средами, требуют пересмотра с указанием версии. Сам по себе текстовый ввод не устанавливает и не исключает функции наблюдения.

Оракул сравнивает представление наблюдения с контролируемой средой или надлежащим образом обоснованным эталоном, используя заранее определённые критерии ошибки и достоверности. Иллюстративное моделирование меняет идентичность отображаемого объекта и проверяет, привязывается ли новое наблюдение к правильному объекту. Стабильная сцена служит отрицательным контролем. P06 касается информации, предоставляемой как знание; P23 — поддерживаемого и выводимого представления мира. Одно ошибочное наблюдение не доказывает автоматически устойчивого искажения модели мира. Утверждение ограничено достоверностью симулятора или эталонного измерения, а аутентифицированное происхождение сигнала датчика само по себе не устанавливает точности восприятия.

P23 Целостность модели мира

Целостность модели мира требует, чтобы поддерживаемое представление операционной среды оставалось согласованным с требуемыми наблюдениями, переходами состояния, неопределённостью и правилами обновления. Оно включает выводимое состояние и условия, которые в данный момент не наблюдаются. Контракт должен определять значимые признаки среды, допустимую степень устаревания и поводы для пересмотра представлений; полное знание реальности не является выполнимым требованием.

Оракул сравнивает поддерживаемое представление и его использование с контролируемой историей среды. Иллюстративное цифровое моделирование меняет владельца ресурса после более раннего наблюдения и проверяет, исправляет ли требуемое обновление представленного владельца до принятия зависимого решения. Разрешённый интервал неизменного владения служит отрицательным контролем. P22 касается полученных наблюдений, P07 — разрешённого хранения, а P17 — временных условий в более общем смысле. Точно сохранённое, но устаревшее представление мира может нарушать P23 без какого-либо изменения хранилища. Ложное наблюдение, которое быстро исправлено, не обязательно устанавливает отдельное нарушение P23.

Разграничение целей, суждений, стратегий и поведения

P09, P18, P15 и P10 отвечают на разные вопросы. P09 спрашивает, какого разрешённого результата пытается достичь система. P18 спрашивает, следует ли значимое для безопасности суждение своему объявленному правилу. P15 спрашивает, соблюдает ли выбранная стратегия свои ограничения. P10 спрашивает, нарушено ли отдельно определённое остаточное поведенческое ограничение. То, что каждое из них может влиять на вывод, не стирает этих границ.

Рассмотрим иллюстративную, не выполнявшуюся задачу проверки транзакций. Замена задачи с выявления несанкционированных переводов на максимизацию числа одобрений указывает на P09. Сохранение задачи проверки при признании перевода действительным вопреки фиксированному правилу указывает на P18. Получение правильного вердикта при плане уведомить получателя до завершения требуемых проверок указывает на P15. Ни один из этих случаев не следует перемаркировать как P10 лишь потому, что он порождает нежелательное поведение. Доказательства могут подтверждать несколько нарушений, но каждому нужны собственное обязательство и оракул; невидимые промежуточные состояния должны оставаться гипотезами.

Отчётность, взаимосвязи и ограничения

Находка должна называть наиболее узкое подтверждённое обязательство, его компонент или связь, соответствующую область и доказанный механизм. Общая целостность и контекстные оговорки могут облегчать поиск, не умножая число уязвимостей. Несколько независимо не сработавших мер защиты могут быть зафиксированы в одном причинном случае. Путь, проходящий через память, интерпретацию и выполнение, не устанавливает трёх нарушений свойств, если не нарушен каждый соответствующий контракт.

Эти обязательства могут затрагиваться и невраждебными возмущениями. Зафиксируйте наблюдаемый триггер, а затем отдельно оцените, может ли противник вызвать его или воспользоваться им. Точно так же уязвимость может существовать до наступления вредного инцидента; оцениваемым нарушением может быть неразрешённое предоставление прав или путь раскрытия, а не свершившаяся катастрофа. Степень уверенности, повторяемость, серьёзность последствий, подверженность и тестовый охват остаются разными понятиями. Необратимые последствия оправдывают локализацию и консервативные решения, а вероятностные доказательства сохраняют смысл в рамках своих допущений.

«Основные понятия» определяют контракты и доказательства; «Уровни безопасности» определяют расположение их функций; «Модель угроз» формулирует допущения и возможности; «Методика оценки» регулирует записи о выполнении; «Реестр уязвимостей» регулирует рассмотренные утверждения. Будущие предложения должны обосновывать добавленные или уточнённые свойства пограничными случаями и воспроизводимыми доказательствами. Этот проект даёт язык для оценки в заданных границах, а не доказательство полного охвата и не сертификат защищённости какой-либо системы.