Модель Белла-Лападулы

Многоуровневыми системами принято называть системы, в которых обрабатывается классифицированная информация различного грифа секретности и не все пользователи допущены к этой информации.

Для многоуровневых систем (MLS) контролируемый субъект доступа сопоставляется с max и min уровнями секретности, в диапазоне которых ему позволено создавать документ и выполнять доступ к нему в различных режимах. После создания объекта пользователь, даже будучи его владельцем, не может понизить метку безопасности данного объекта.

При выполнении запроса на чтение уровень секретности субъекта должен доминировать над уровнем секретности объекта, а при выполнении операций добавления в объект действует обратное правило.

Модель Белла-Лападулы обладает свойством индуктивности и может применяться для MLS систем.

Модель определяет следующий набор атрибутов секретности:

Мmax(S) – max уровень секретности для объектов

М(О) – уровень секретности простого (F) или составного (D) объекта

Mc(S) – текущий уровень секретности объекта S

{D1| D2 |D3 … Dn} – локализация объекта доступа О

М(Di) – уровень секретности контейнерного объекта, содержащего на i-м уровне ссылку на объект О

Каждое состояние системы описывается множеством текущих разрешений доступа субъектов к объектам.

Правила предоставления доступа имеют вид:

- Субъект S имеет доступ к объекту О в режиме чтения, если Mc(S)>M(O)

- Субъект S имеет право на запись в объект О, если выполняется условие Mc(S)=M(O)

- Субъект S имеет право на добавление в объект О, если M(O)≥ Mc(S)

- Субъект S имеет право создать объект О (контейнерный или простой), относительно иерархии D при выполнении M(O)≥М(Dn)≥…≥М(D)

Первые 3 правила ограничивают потоки информации в соответствии с правилами функционирования многоуровневых систем, т.е. правилами доступа должностных лиц к секретным сведеньям соответствующего уровня и категории.

Применение этих правил к пользовательским запросам исключают утечку информации за счет понижения грифа секретности.

Последнее правило исключает утечку информации за счет просмотра приложениями с более низкими значениями категории секретности Mc(S) структуры каталогов, содержащей файлы с более высоким значением уровня секретности.