2、TCSEC（橘皮书）详解

2.1 TCSEC的起源与历史背景

TCSEC（Trusted Computer System Evaluation Criteria，可信计算机系统评估准则）诞生于20世纪80年代初期，由美国国防部（DoD）下属的国家计算机安全中心（NCSC）发布。因其封面颜色为橙色，故俗称“橘皮书”。

在TCSEC出现之前，计算机系统的安全性主要依赖于物理隔离和行政管理，缺乏统一的技术评估标准。随着分时系统和网络应用的普及，不同安全级别的用户共享同一台计算机成为常态，迫切需要一套可量化的安全评估体系。TCSEC的发布标志着计算机安全从“艺术”走向“科学”，成为全球第一个系统化的信息安全评估标准。

2.2 四个安全等级划分（A/B/C/D）

TCSEC将计算机系统的安全等级从低到高划分为四大类：D、C、B、A，其中C和B内部又细分为子级别。等级越高，安全策略越严格，系统可信度越高。

等级	名称	子级别	核心特征	典型场景
D	最低保护	D	无安全机制，系统完全不可信	早期个人电脑、无保护系统
C1	自主保护	C1	自主访问控制（DAC），用户身份鉴别	多用户商业系统
C2	受控访问保护	C2	更细粒度的DAC、审计日志、对象复用保护	银行、金融系统
B1	标记安全保护	B1	强制访问控制（MAC）+ 敏感度标记	政府机密级系统
B2	结构化保护	B2	形式化安全模型、最小权限、隐蔽信道分析	军事指挥系统
B3	安全域	B3	安全内核、高抗渗透能力、审计事件扩展	最高军事机密系统
A1	验证设计	A1	形式化验证、可信分发、顶级规范	核武器控制系统

2.3 每个等级的核心安全要求

2.3.1 D级：最低保护

• 核心要求：无任何安全机制，系统对用户完全开放。
• 典型特征：无身份鉴别、无访问控制、无审计功能。
• 适用场景：已淘汰的早期系统或无需任何保护的实验环境。

2.3.2 C级：自主保护

C1（自主安全保护）

• 用户身份标识与鉴别（I&A）
• 自主访问控制（DAC）：资源所有者可自行决定访问权限
• 系统架构需将用户空间与安全机制隔离

C2（受控访问保护）

• 在C1基础上增加：
• 更细粒度的自主访问控制（单用户级）
• 对象复用保护（内存/磁盘释放时清除残留数据）
• 审计日志：记录所有安全相关事件
• 系统需通过严格测试确保无明显的安全漏洞

2.3.3 B级：强制保护

B1（标记安全保护）

• 引入强制访问控制（MAC）：基于安全标签（如：机密、秘密、绝密）
• 所有主体（用户/进程）和客体（文件/设备）必须带有敏感度标记
• 系统必须维护安全策略的形式化模型

B2（结构化保护）

• 在B1基础上增加：
• 形式化安全模型（如Bell-LaPadula模型）
• 最小权限原则：每个进程只拥有完成任务所需的最小权限
• 隐蔽信道分析：检测并消除潜在的隐蔽信息传输路径
• 系统架构分层，安全内核更小更可靠

B3（安全域）

• 在B2基础上增加：
• 安全内核必须足够小，便于形式化验证
• 高抗渗透能力，必须通过渗透测试
• 审计事件扩展，支持实时告警
• 系统恢复机制：安全状态可恢复

2.3.4 A级：验证保护

A1（验证设计）

• 在B3基础上增加：
• 形式化验证：使用数学方法证明安全策略的正确性
• 顶级规范（Top-Level Specification）：系统设计必须从顶级规范开始
• 可信分发：确保软件在分发过程中未被篡改
• 配置管理：严格的变更控制流程
• 安全测试：必须包含形式化证明和渗透测试

2.4 等级对比总结

安全要素	D级	C1	C2	B1	B2	B3	A1
身份鉴别	✗	✓	✓	✓	✓	✓	✓
自主访问控制	✗	✓	✓+	✓	✓	✓	✓
强制访问控制	✗	✗	✗	✓	✓	✓	✓
审计日志	✗	✗	✓	✓	✓	✓+	✓+
隐蔽信道分析	✗	✗	✗	✗	✓	✓	✓
形式化验证	✗	✗	✗	✗	✗	✗	✓

2.5 历史影响与现代意义

TCSEC虽然已被国际通用标准（CC，ISO 15408）所取代，但其核心思想——等级化安全评估、强制访问控制、安全内核、形式化验证——深刻影响了后续所有安全标准的设计。现代操作系统（如SELinux、Windows安全内核）和云安全架构中，依然可以看到TCSEC的影子。