Referenzmonitore

Referenzmonitor ist ein abstraktes Schutzmodul in der Informatik, das alle Zugriffe von Subjekten auf Objekte eines Systems überprüft und durchsetzt. Es dient als zentrale Instanz, die sicherstellt, dass Berechtigungen gemäß einer festgelegten Sicherheitsrichtlinie eingehalten werden.

Zu den Kernmerkmalen des Referenzmonitors gehören vier Prinzipien. Erstens die vollständige Mediation: jeder Zugriff muss den Monitor passieren, unabhängig von Quelle oder Art des Zugriffs. Zweitens die Unverfälschbarkeit: der Monitor darf nicht manipuliert oder umgangen werden. Drittens die Verifizierbarkeit: er soll klein und einfach genug sein, dass seine Korrektheit formal geprüft werden kann. Viertens die Durchsetzung einer Sicherheitsrichtlinie: der Monitor setzt festgelegte Zugriffsrechte durch, unabhängig von anderen Systemkomponenten.

Implementierung und Kontext: In der Praxis entspricht der Referenzmonitor oft dem Sicherheitskern eines Betriebssystems oder einer sicherheitskritischen Komponente. Er kann als Teil eines Security Kernel oder in microkernel-Architekturen realisiert sein. In vielen Systemen dient er als Grundlage für Mandatory Access Control (MAC) und andere Schutzmechanismen. Die Idee ist, dass nur der Monitor Zugriff auf sicherheitsrelevante Entscheidungsprozesse hat und alle Zugriffe durch ihn validiert werden.

Historischer Hintergrund: Das Referenzmonitor-Konzept entstand in den Arbeiten zur sicheren Systemgestaltung der 1970er Jahre. Es wird häufig mit dem Ziel verbunden, einen formal beherrschbaren Mechanismus zur Durchsetzung von Schutzpolitik bereitzustellen.

Bedeutung und Grenzen: Das Konzept dient als theoretische Orientierung für den sicheren Kernel-Entwurf und die Implementierung von Schutzrichtlinien. In der Praxis erfüllt kein System die ideale Form uneingeschränkt; Verifikation, Performance-Überlegungen und Komplexität begrenzen oft die Umsetzung. Trotzdem bleibt es ein zentrales Referenzmodell in der Sicherheitstechnik von Betriebssystemen.