Mô hình Bell-La Padula

Mô hình Bell-La Padula (viết tắt là BLP) là một mô hình máy được sử dụng để thực thi kiểm soát truy cập vào các ứng dụng của chính phủ và quân sự. Nó được phát triển bởi David Elliott Bell và Leonard J. LaPadula, tiếp theo để hướng dẫn mạnh mẽ từ Roger R. Schell để chính thức hóa an ninh đa cấp (MLS) chính sách của Bộ quốc phòng Mỹ (DoD). mô hình này là một mô hình nhà nước chuyển đổi chính thức chính sách bảo mật máy tính mô tả một tập hợp các quy tắc kiểm soát truy cập mà sử dụng các nhãn an ninh vào đối tượng và thanh thải cho các đối tượng. Nhãn an ninh từ nhạy cảm nhất (ví dụ như "Top Secret"), xuống đến ít nhạy cảm nhất (ví dụ, "Không phân loại" hay "công cộng").

Các mô hình Bell-LaPadula là một ví dụ về một mô hình mà không có sự phân biệt rõ ràng về bảo vệ và an ninh.

Tính năng

Các mô hình Bell-LaPadula tập trung vào bảo mật dữ liệu và kiểm soát truy cập thông tin mật, trái ngược với Biba Liêm mẫu trong đó mô tả các quy tắc cho việc bảo vệ toàn vẹn dữ liệu. Trong mô hình chính thức này, các chủ thể trong hệ thống thông tin được chia thành các đối tượng và các đối tượng. Các khái niệm về một "trạng thái an toàn" được định nghĩa, và nó được chứng minh rằng mỗi sự chuyển tiếp trạng thái bảo mật bằng cách di chuyển từ trạng thái an toàn để đảm bảo nhà nước, do đó quy nạp chứng minh rằng hệ thống đáp ứng các mục tiêu an ninh của mô hình. Các mô hình Bell-LaPadula được xây dựng trên khái niệm của một máy nhà nước với một tập các trạng thái cho phép trong một hệ thống máy tính. Việc chuyển đổi từ một tiểu bang khác được xác định bởi các chức năng chuyển đổi

Một hệ thống nhà nước được định nghĩa là "an toàn" nếu chỉ được phép chế độ truy cập của các đối tượng với các đối tượng là phù hợp với chính sách bảo mật. Để xác định liệu một chế độ truy cập cụ thể được cho phép, giải phóng mặt bằng của một chủ thể được so sánh với việc phân loại các đối tượng (chính xác hơn, sự kết hợp của phân loại và thiết lập các khoang, chiếm mức độ bảo mật) để xác định đối tượng được ủy quyền cho chế độ truy cập cụ thể. Đề án giải phóng mặt bằng / phân loại được thể hiện trong điều khoản của một mạng tinh thể. Mô hình này định nghĩa hai điều khiển truy cập bắt buộc quy định (MAC) và một điều khiển truy cập tùy ý (DAC) quy tắc với ba đặc tính an toàn:

Các tài sản an Simple - một đối tượng ở mức độ an toàn nhất định có thể không đọc được một đối tượng ở một mức độ bảo mật cao hơn (không đọc-up).

Các -property ★ (đọc "ngôi sao" -property) - một đối tượng ở mức độ an ninh cao hơn không được viết vào đối tượng ở một mức độ bảo mật thấp hơn (không ghi giảm).

Các Discretionary an bất động sản - sử dụng một ma trận truy cập để chỉ định kiểm soát truy cập tùy ý.

Việc chuyển giao các thông tin từ một tài liệu có độ nhạy cao để một tài liệu nhạy thấp hơn có thể xảy ra trong mô hình Bell-LaPadula qua các khái niệm về đối tượng tin cậy. Đối tượng Trusted không bị giới hạn bởi các -property ★. Đối tượng không đáng tin cậy được. Đối tượng Trusted phải được chứng minh là đáng tin cậy đối với các chính sách an ninh. Mô hình bảo mật này được hướng vào kiểm soát truy cập và được đặc trưng bởi các cụm từ: "không đọc lên, không viết ra." Hãy so sánh các mô hình Biba, mô hình Clark-Wilson và mô hình Trung Quốc Wall.