logo
ИнфСборник по ЗИ и ИБ

Модель Белла и Лападула

Модель, получившая название модели Белла и Лападула (БЛМ) до сих пор оказывает огромное влияние на исследования и разработки в области компьютерной безопасности. Об этом свидетельствует огромное количество различных документов, ссылающихся в библиографии на первоначальную БЛМ. Данная модель лежит в основе построения MAC. Идеи, заложенные в БЛМ, могут быть использованы при построении различных политик безопасности.

Основным наблюдением, сделанным Беллом и Лападулой является то, что в правительстве США все субъекты и объекты ассоциируются с уровнями безопасности, варьирующимися от низких уровней (неклассифицированных) до высоких (совершенно секретные). Кроме того, они обнаружили, что для предотвращения утечки информации к неуполномоченным субъектам, этим субъектам с низкими уровнями безопасности не позволяется читать информацию из объектов с высокими уровнями безопасности. Это ведет к первому правилу БЛМ.

Простое свойство безопасности, также известное как правило «нет чтения вверх» (NRD), гласит, что субъект с уровнем безопасностиxs может читать информацию из объекта с уровнем безопасностиxo, только еслиxsпреобладает надxo. Это означает, что если в системе, удовлетворяющей правилам модели БЛМ субъект с уровнем доступа секретный попытается прочитать информацию из объекта, классифицированного как совершенно секретный, то такой доступ не будет разрешен.

Белл и Лападула сделали дополнительное наблюдение при построении своей модели: в правительстве США субъектам не позволяется размещать информацию или записывать ее в объекты, имеющие более низкий уровень безопасности. Например, когда совершенно секретный документ помещается в неклассифицированное мусорное ведро, может произойти утечка информации. Это ведет ко второму правилу БЛМ.

Свойство-*, известное как правило "нет записи вниз" (NRD), гласит, что субъект безопасностиxsможет писать информацию в объект с уровнем безопасностиxoтолько еслиxoпреобладает надxs. Это означает, что если в системе, удовлетворяющей правилам модели БЛМ субъект с уровнем доступа совершенно секретный попытается записать информацию в неклассифицированный объект, то такой доступ не будет разрешен.

Правило запрета по записи является большим упрощением некоторых реализаций БЛМ. Так, некоторые описания включают более детальное понятие типа доступа (например, такие как добавление и выполнение). Помимо этого, многие модели БЛМ включают понятие дискретной защиты с целью обеспечения хорошо гранулированной защиты при сохранении всех преимуществ БЛМ.

Правила запрета по записи и чтению БЛМ отвечают интуитивным понятиям того, как предотвратить утечку информации к неуполномоченным источникам.

Рассмотрим формализацию БЛМ. В соответствии с определениями:

S —множество субъектов;

О —множество объектов;

L —решетка уровней безопасности;

F:SOL— функция, применяемая к субъектам и объектам; определяет уровни безопасности своих аргументов в данном состоянии;

V —множество состояний —множество упорядоченных пар (F, М), где М —матрица доступа субъектов системы к объектам.

Система представляется начальным состоянием v, определенным множеством запросовRи функцией переходовT: (VR)V, такой что система переходит из состояния в состояние после исполнения запроса. Сформулируем определения, необходимые для доказательства основной теоремы безопасности (ОТБ), доказанной для БЛМ.

Определение 1.Состояние (F, М) безопасно по чтению (RS) тогда и только тогда, когда дляsSи дляoO, чтениеM[s, о]F(s)F(o).

Определение 2. Состояние (F,М) безопасно по записи (WS, *-свойство) тогда и только тогда, когда дляsSи дляoO, запись M[s,о] F(o)F(s)

Определение З. Состояние безопасно тогда и только тогда, когда оно безопасно по чтению и по записи.

Определение 4. Система (vo,R, Т) безопасна тогда и только тогда, когда состояниеvoбезопасно и любое состояние, достижимое изvoпосле исполнения конечной последовательности запросов из Rбезопасны в смысле определения 3.

Теорема 2.2.(ОТБ) Система (vo, R,Т) безопасна тогда и только тогда, когда состояниеvoбезопасно и Т таково, что для любого состоянияv, достижимого изvoпосле исполнения конечной последовательности запросов из R безопасны, еслиT(v,c)=v*, гдеv=(F, М) иv*=(F*, М*), такие что для sSи для oO

Доказательство:

1.Необходимость. Предположим система безопасна. СостояниеVoбезопасно по определению. Если имеется некоторое состояниеv, достижимое из состоянияvoпосле исполнения конечной последовательности запросов из R, таких что T(v,c)=v*, хотяv* не удовлетворяет одному из двух первых ограничений для Т, тоv* будет достижимым состоянием, но противоречащим ограничению по чтению. Еслиv* не удовлетворяет одному из двух последних ограничений для Т, тоv* будет достижимым состоянием, но противоречащим ограничению по записи. В любом случае система небезопасна.

2.Достаточность. Предположим, что система небезопасна. В этом случае, либоvoдолжно быть небезопасно, либо должно быть небезопасное состояниеv, достижимое из состоянияvoпосле исполнения конечной последовательности запросов из R.Если Уд небезопасно —все доказано. Еслиvoбезопасно, допустим чтоv* —первое в последовательности запросов небезопасное состояние. Это означает, что имеется такое безопасное состояниеv, такое что T(v, c)=v*,гдеv— небезопасно. Но это противоречит четырем ограничениям на Т.

Несмотря на все достоинства, оказалось, что при использовании БЛМ в контексте практического проектирования и разработки реальных компьютерных систем возникает ряд технических вопросов. Данные вопросы являются логическим следствием достоинства БЛМ —ее простоты. Проблемы возникают при рассмотрении вопросов построения политик безопасности для конкретных типов систем, т.е. на менее абстрактном уровне рассмотрения. Как следствие, в мире компьютерной безопасности ведется широкая полемика по поводу применимости БЛМ для построения безопасных систем.

Рассмотрим ряд примеров критики БЛМ. Некоторые из них взяты из литературы, посвященной вопросам безопасности, другие часто включаются в техническое описание и представляют собой так называемую "обязательную критику" БЛМ.

Начнем данное рассмотрение с обсуждения проблемы, возникающей в распределенных системах, удовлетворяющих правилам БЛМ. В частности, покажем, что запрос на чтение вызывает протекание потоков информации в обоих направлениях между компонентами, что является нарушением правил модели. Затем рассмотрим проблему использования этой модели для обеспечения безопасности доверенных субъектов, которые выполняют наиболее критичные задачи в компьютерной системе. Завершим обсуждение примером описания компьютерной системы, известной как система Z.