Modelo de Graham-Denning

El modelo Graham-Denning es un modelo de seguridad informática que muestra cómo crear y eliminar sujetos y objetos de forma segura. También aborda cómo asignar derechos de acceso específicos. Se utiliza principalmente en mecanismos de control de acceso para sistemas distribuidos . El modelo consta de tres partes principales: un conjunto de sujetos, un conjunto de objetos y un conjunto de ocho reglas. Un sujeto puede ser un proceso o un usuario que solicita acceso a un recurso. Un objeto es el recurso al que un usuario o proceso desea acceder.

Este modelo aborda los problemas de seguridad relacionados con la definición de un conjunto de derechos básicos sobre cómo sujetos específicos pueden ejecutar funciones de seguridad en un objeto . El modelo cuenta con ocho reglas de protección básicas (acciones) que describen:

• Cómo crear un objeto de forma segura.
• Cómo crear un sujeto de forma segura.
• Cómo eliminar un objeto de forma segura.
• Cómo eliminar un tema de forma segura.
• Cómo otorgar de forma segura el derecho de acceso de lectura.
• Cómo proporcionar de forma segura el derecho de acceso a la subvención.
• Cómo otorgar de forma segura el derecho de acceso para eliminar.
• Cómo proporcionar de forma segura el derecho de acceso a la transferencia.

Además, cada objeto tiene un propietario que posee derechos especiales sobre él, y cada sujeto tiene otro sujeto (controlador) que posee derechos especiales sobre él.

El modelo se basa en el modelo de Matriz de Control de Acceso, donde las filas corresponden a sujetos y las columnas a objetos y sujetos; cada elemento contiene un conjunto de derechos entre el sujeto i y el objeto j o entre el sujeto i y el sujeto k.

Por ejemplo, una acción A[s,o] contiene los derechos que el sujeto s tiene sobre el objeto o (ejemplo: {poseer, ejecutar}).

Al ejecutar una de las 8 reglas, por ejemplo, al crear un objeto, la matriz se modifica: se agrega una nueva columna para ese objeto y el sujeto que lo creó se convierte en su propietario.

Cada regla está asociada a una condición previa; por ejemplo, si el sujeto x quiere eliminar el objeto o, debe ser su propietario (A[x,o] contiene el derecho de "propietario").

Harrison, Ruzzo y Ullman ampliaron este modelo definiendo un sistema de protección basado en comandos compuestos por operaciones y condiciones primitivas.

• Matriz de control de acceso
• Modelo de Bell-LaPadula
• Modelo Biba
• Modelo de Brewer y Nash
• Modelo de Clark-Wilson
• Modelo de Harrison-Ruzzo-Ullman

• Krutz, Ronald L. y Vines, Russell Dean, The CISSP Prep Guide; Gold Edition, Wiley Publishing, Inc., Indianápolis, Indiana, 2003.
• Seguridad en la informática (por Charles P. Pfleeger, Shari Lawrence Pfleeger)
• http://www.cs.ucr.edu/~brett/cs165_s01/LECTURE11/lecture11-4up.pdf