ГОСТ ISO/TS 22600-3—2013
П р и м е ч а н и е — 8 языке XML-для похожих целей используются универсальные идентификаторы объек
тов URI. Для передачи объектных идентификаторов в XML можно использовать имя пространства имен a URI или
имя протокола «o*d».
l
h)типы данных, описывающие в ASN.1 время (UTCTime и GeneralizedTime). отображаются на элементы,
используя синтаксис, предложенный в стандарте ISO 8601:
I) тип последовательности значений ASN.1 (SEQUENCE) преобразуется с использованием модели группи
ровки содержания с запятой в качестве разделителя, например. <!ELEMENT х(foo.bar)>:
j) тип выбора значенийASN.1 (CHOICE)преобразуется с использованием модели группировки содержания с
вертикальной чертой в качестве разделителя, например. <!ELEMENT х (foo|bar)>;
k) множество значений ASN.1 (SET)не имеетпрямогоэквивалента в XML. хотя в SGML его можноотобразить
на группировкусодержания со знаком & в качестве разделителя;
) конструкция ASN.1 «SEQUENCE OF* отображается на повторяющийся компонент, используя синтаксис
регулярных выражений XML (’ для нуля, одного или нескольких повторений. + для одного или нескольких повторе
ний). например. <ELEMENT у(foo*)>:
m) конструкция ASN.1 «SET OF* не имеет эквивалента в XML;
л) необязательные поля в ASN.1 (OPTIONAL) отображаются на необязательные компоненты XML. напри
мер. <!ELEMENT z(foo?)>.
ОА должны гарантировать, что описания политик внутренне непротиворечивы, например, один и тот же тип
атрибута не должен появляться в двух логически противоречивых конструкциях политики. Политики должны быть
подписаны ОА; они могут передаваться в сертификате авторизации заявителя или как отдельные объекты.
А.9.15 Согласие пациента
Согласие пациента представляетсобой специальную политику, котораядолжна бытьолисана неопределен
ном языке (например. XACML) в соответствии с принятой моделью политик.
А.9.16 Совпадение удостоверения
Атрибуты удостоверений описаны в стандарте ISO/TS 22600-2:2006 (в 11. а также в 5.6 и 5.8). Удостоверения
выпускаются доверенными органами и содержат идентифицирующую строку. Примерами могут служить лицензии
на право медицинской деятельности, выдаваемые уполномоченными органами, и номера, присваиваемые Управ
лением по борьбе с наркотиками (Drug Enforcement Agency — DEA). Удостоверение содержит тип. имя издателя и
идентификатор.
Для совпадения с политикой удостоверений сертификаты заявителя, вместе взятые, должны содержать
совпадающее удостоверениедля каждогоэлементаспискаcredentlas.Для совпадения сэлементом удостоверение
должно иметь тотжетип. аесли в элементе указано имя издателя, то удостоверение (или содержащийегосертифи
кат)должно иметь то же имя издателя.
А.9.17 Совпадение метки безопасности
Чтобы установить совпадение метки безопасности, необходимо сравнить допуск инициатора запроса с мет
кой безопасности целевого объекта. Чтобы доступ был разрешен,должны выполняться все следующие условия:
- идентификаторы политики безопасности должны быть идентичны;
- гриф допуска инициатора должен быть не ниже, чем гриф секретности целевого объекта (т е. в списке гри
фов допуска хотя бы одно значение должно быть не ниже грифа секретности целевого объекта);
- для каждой категории безопасности, указанной в метке целевого объекта,должна существоватьдоминиру
ющая категория безопасности того же типа в допуске инициатора.
А.9.18 Совпадение общего объявления
Политика привилегий включает в себя один из следующих параметров:
- предикат ppPredicate: объявление специфичного атрибута;
- связь «И» (and): список политик: чтобы данная политика была истинна, все политики изэтого спискадолжны
быть истинны.
- связь «ИЛИ» (or): список более простыхполитик; чтобыданная политика была истинна, хотя бы одна полити
ка из этогосписка должны быть истинна;
- функция «НЕ» (not): отдельная политика: чтобы данная политика была истинна, эта политика должна быть
ложной:
- упорядоченный список orderedPPE: список более простых политик, проверяемых в заданном порядке.
В качестве предикатов могут использоваться:
- объявление простого значения: значениеодного атрибута целевого документа (или переменной контекста)
сравнивается с объявленным значением атрибута:
- объявление множества значений: все множество значений атрибута целевого документа (или переменной
контекста)сравнивается с объявленным множеством значений;
- объявление наличия: атрибутдолжен присутствовать в документе:
- возможное совпадение (approxImateMatch): объявленные значения атрибута сравниваются со значениями
атрибута в документе с помощью некоторого местного алгоритма совпадения (например, фонетическое совпаде
ние или приближенное арифметическое сравнение);
43