El modelo de integridad de Clark-Wilson proporciona una base para especificar y analizar una política de integridad para un sistema informático.
El modelo se ocupa principalmente de formalizar la noción de integridad de la información . La integridad de la información se mantiene evitando la corrupción de elementos de datos en un sistema debido a errores o intenciones maliciosas. Una política de integridad describe cómo los elementos de datos del sistema deben mantenerse válidos de un estado del sistema al siguiente y especifica las capacidades de varios principios del sistema. El modelo utiliza etiquetas de seguridad para otorgar acceso a objetos mediante procedimientos de transformación y un modelo de interfaz restringida.
El modelo fue descrito en un artículo de 1987 ( Una comparación de políticas de seguridad informática comercial y militar ) de David D. Clark y David R. Wilson. El artículo desarrolla el modelo como una forma de formalizar la noción de integridad de la información, especialmente en comparación con los requisitos para los sistemas de seguridad multinivel (MLS) descritos en el Libro Naranja . Clark y Wilson sostienen que los modelos de integridad existentes, como Biba (lectura/anotación), eran más adecuados para hacer cumplir la integridad de los datos que la confidencialidad de la información. Los modelos Biba son más claramente útiles, por ejemplo, en sistemas de clasificación bancaria para evitar la modificación no confiable de información y la contaminación de información en niveles de clasificación más altos. Por el contrario, Clark-Wilson se aplica más claramente a procesos empresariales e industriales en los que la integridad del contenido de la información es primordial en cualquier nivel de clasificación (aunque los autores subrayan que los tres modelos son obviamente útiles tanto para las organizaciones gubernamentales como para las industriales). .
Según la sexta edición de la Guía de estudio CISSP de Stewart y Chapple , el modelo Clark-Wilson utiliza un enfoque multifacético para hacer cumplir la integridad de los datos. En lugar de definir una máquina de estados formal, el modelo define cada elemento de datos y permite modificaciones a través de sólo un pequeño conjunto de programas. El modelo utiliza una relación de tres partes sujeto/programa/objeto (donde programa es intercambiable con transacción) conocida como triple o triple de control de acceso. Dentro de esta relación, los sujetos no tienen acceso directo a los objetos. Sólo se puede acceder a los objetos a través de programas. Mire aquí para ver en qué se diferencia de otros modelos de control de acceso.
Las reglas de cumplimiento y certificación del modelo definen elementos de datos y procesos que proporcionan la base para una política de integridad. El núcleo del modelo se basa en la noción de transacción.
El modelo contiene una serie de construcciones básicas que representan tanto elementos de datos como procesos que operan sobre esos elementos de datos. El tipo de datos clave en el modelo Clark-Wilson es un elemento de datos restringido (CDI). Un procedimiento de verificación de integridad (IVP) garantiza que todos los CDI del sistema sean válidos en un estado determinado. Las transacciones que hacen cumplir la política de integridad están representadas por Procedimientos de Transformación (TP). Un TP toma como entrada un CDI o un elemento de datos sin restricciones (UDI) y produce un CDI. Un TP debe realizar la transición del sistema de un estado válido a otro estado válido. Las UDI representan entradas del sistema (como las proporcionadas por un usuario o adversario). Un TP debe garantizar (mediante certificación) que transforma todos los valores posibles de una UDI en un CDI “seguro”.
En el centro del modelo está la noción de una relación entre un principal autenticado (es decir, un usuario) y un conjunto de programas (es decir, TP) que operan sobre un conjunto de elementos de datos (por ejemplo, UDI y CDI). Los componentes de tal relación, en conjunto, se denominan tripleta de Clark-Wilson. El modelo también debe garantizar que diferentes entidades sean responsables de manipular las relaciones entre principales, transacciones y elementos de datos. Como breve ejemplo, un usuario capaz de certificar o crear una relación no debería poder ejecutar los programas especificados en esa relación.
El modelo consta de dos conjuntos de reglas: Reglas de Certificación (C) y Reglas de Cumplimiento (E). Las nueve reglas garantizan la integridad externa e interna de los elementos de datos. Parafraseando estos:
Como debemos asegurarnos de que estos TP estén certificados para operar en un CDI en particular, debemos tener E1 y E2.
Esto requiere realizar un seguimiento de las tripletas (usuario, TP, {CDIs}) denominadas "relaciones permitidas".
Necesitamos autenticación para realizar un seguimiento de esto.
Cuando la información ingresa al sistema, no es necesario confiar en ella ni restringirla (es decir, puede ser una UDI). Debemos abordar esto adecuadamente.
Finalmente, para evitar que las personas accedan cambiando las cualificaciones de un TP:
Una variante de Clark-Wilson es el modelo CW-lite, que relaja el requisito original de verificación formal de la semántica de TP. La verificación semántica se remite a un modelo separado y a herramientas de prueba formales generales.