Referencemonitorprinsippene

Referencemonitorprinsippene er et sett med sikkerhetsdesignprinsipper som omhandler hvordan et datasystem håndhever tilgangskontroll gjennom en sentral komponent kalt referencemonitoren. Prinsippene beskriver krav som må oppfylles for at en monitor skal være pålitelig og effektiv i praksis, og de har hatt stor innflytelse på design av operativsystemer og sikre applikasjoner. Hovedideen er at all tilgang til objekter og ressurser må gjennom referencemonitoren, og at monitoren har myndighet til å avgjøre om en tilgang skal tillates.

De viktigste prinsippene inkluderer fullstendig mediering av alle tilganger, slik at ingen tilgang kan krype rundt monitoren; tamperresistens, slik at monitoren og dens sikkerhetspolicy ikke kan endres eller omgås; og verifierbarhet, slik at monitorens beslutninger og sikkerhetspolicy kan etterprøves og verifiseres. I tillegg bør referencemonitoren være en del av det betrodde beregningsmiljøet (TCB), ha et veldefinert og lite grensesnitt, og være utformet slik at all interaksjon går gjennom den og ikke utenom.

Historisk stammer prinsippene fra arbeidet til Saltzer og Schroeder i 1970-årene, som formulerte kravene til en referencemonitor. Prinsippene gir en teoretisk målsetning for isolasjon, policyens klarhet og pålitelighet, og har påvirket utviklingen av sikre operativsystemer og sikkerhetsarkitektur. Realistiske systemer må imidlertid balansere mellom idealet og praktiske kostnader, og ofte blir monitoren implementert som en liten, revisjonssikker komponent innenfor en større sikkerhetsramme.