Модель Белла — Лападулы

Материал из Википедии — свободной энциклопедии
Перейти к навигации Перейти к поиску
Диаграмма информационных потоков

Модель Белла — Лападулы  — модель контроля и управления доступом, основанная на мандатной модели управления доступом. В модели анализируются условия, при которых невозможно создание информационных потоков от субъектов с более высоким уровнем доступа к субъектам с более низким уровнем доступа.

История[править | править код]

Классическая модель Белла — Лападулы была описана в 1975 году сотрудниками компании MITRE Corporation Дэвидом Беллом и Леонардом Лападулой, к созданию модели их подтолкнула система безопасности для работы с секретными документами Правительства США[1][2][3]. Суть системы заключалась в следующем: каждому субъекту (лицу, работающему с документами) и объекту (документам) присваивается метка конфиденциальности, начиная от самой высокой («особой важности»), заканчивая самой низкой («несекретный» или «общедоступный»). Причем субъект, которому разрешён доступ только к объектам с более низкой меткой конфиденциальности, не может получить доступ к объекту с более высокой меткой конфиденциальности. Также субъекту запрещается запись информации в объекты с более низким уровнем безопасности.

Особенности[править | править код]

Модель Белла — Лападулы является моделью разграничения доступа к защищаемой информации. Она описывается конечным автоматом с допустимым набором состояний, в которых может находиться информационная система. Все элементы, входящие в состав информационной системы, разделены на две категории — субъекты и объекты. Каждому субъекту присваивается свой уровень доступа, соответствующий степени конфиденциальности. Аналогично, объекту присваивается уровень секретности. Понятие защищённой системы определяется следующим образом: каждое состояние системы должно соответствовать политике безопасности, установленной для данной информационной системы. Переход между состояниями описывается функциями перехода. Система находится в безопасном состоянии в том случае, если у каждого субъекта имеется доступ только к тем объектам, к которым разрешен доступ на основе текущей политики безопасности. Для определения, имеет ли субъект права на получение определенного вида доступа к объекту, уровень секретности субъекта сравнивается с уровнем секретности объекта, и на основе этого сравнения решается вопрос, предоставить или нет запрашиваемый доступ. Наборы уровень доступа/уровень секретности описываются с помощью матрицы доступа.
Основными правилами, обеспечивающими разграничение доступа, являются следующие:

Простое свойство безопасности (The Simple Security)[править | править код]

Субъект с уровнем доступа может читать информацию из объекта с уровнем секретности тогда и только тогда, когда преобладает над . Это правило также известно под названием «нет чтения верхнего» (NRU). Например, если субъект, имеющий доступ только к несекретным данным, попытается прочесть объект с уровнем секретности совершенно секретно, то ему будет отказано в этом.

Свойство * (The *-property)[править | править код]

Субъект с уровнем секретности xs может писать информацию в объект с уровнем безопасности xо только если xо преобладает над . Это правило также известно под названием «нет записи вниз» (NWD). Например, если субъект, имеющий уровень доступа совершенно секретно, попытается записать в объект с уровнем секретности секретно, то ему будет отказано в этом.

Дискреционное свойство безопасности (The Discretionary Security Property)[править | править код]

Заключается в том, что права дискреционного доступа субъекта к объекту определяются на основе матрицы доступа.

Формальное описание модели[править | править код]

Обозначения[править | править код]

  •  — множество субъектов;
  •  — множество объектов, ;
  •  — множество прав доступа,  — доступ на чтение,  — доступ на запись;
  •  — множество уровней секретности,  — Unclassified,  — Sensitive but unclassified,  — Secret,  — Top secret;
  •  — решётка уровней секретности, где:
    •  — оператор, определяющий частичное нестрогое отношение порядка для уровней секретности;
    •  — оператор наименьшей верхней границы;
    •  — оператор наибольшей нижней границы.
  •  — множество состояний системы, представляемое в виде набора упорядоченных пар , где:
    •  — функция уровней секретности, ставящая в соответствие каждому объекту и субъекту в системе определённый уровень секретности;
    •  — матрица текущих прав доступа.


Оператор отношения обладает следующими свойствами:

  • Рефлексивность: , данное свойство означает, что между субъектами и объектами одного уровня безопасности передача информации разрешена.
  • Антисимметричность: , свойство означает, что если информация может передаваться от субъектов и объектов уровня A к субъектам и объектам уровня B, так и от субъектов и объектов уровня B к субъектам и объектам уровня A, то эти уровни эквивалентны.
  • Транзитивность: , свойство означает, что если информации может передаваться от субъектов и объектов уровня A к субъектам и объектам уровня B, и от субъектов и объектов уровня B к субъектам и объектам уровня C, то она может передаваться от субъектов и объектов уровня A к субъектам и объектам уровня C.

Оператор наименьшей верхней границы определяется следующим отношением:

Оператор наибольшей нижней границы определяется следующим отношением:

Исходя из определения этих двух операторов можно показать, что для каждой пары существует единственный элемент наименьшей верхней границы и единственный элемент наибольшей нижней границы.

Система в модели Белла — Лападулы состоит из следующий элементов:

  •  — начальное состояние системы;
  •  — множество прав доступа;
  •  — функция перехода, которая в ходе выполнения запросов переводит систему из одного состояния в другое.

Определения состояния безопасности[править | править код]

Состояние называется достижимым в системе , если существует последовательность Начальное состояние является достижимым по определению.

Состояние системы называется безопасным по чтению (или simple-безопасным), если для каждого субъекта, осуществляющего в этом состоянии доступ по чтению к объекту, уровень безопасности субъекта доминирует над уровнем безопасности объекта:

Состояние системы называется безопасным по записи (или * — безопасным) в случае, если для каждого субъекта, осуществляющего в этом состоянии доступ по записи к объекту, уровень безопасности объекта доминирует над уровнем безопасности субъекта:

Состояние называется безопасным, если оно безопасно по чтению и по записи.

Система называется безопасной, если её начальное состояние v0 безопасно, и все состояния, достижимые из путём применения конечной последовательности запросов из , безопасны.

Основная теорема безопасности Белла — Лападулы[править | править код]

Система безопасна тогда и только тогда, когда выполнены следующие условия:

  1. Начальное состояние безопасно.
  2. Для любого состояния , достижимого из путём применения конечной последовательности запросов из , таких, что и , для выполнены условия:
    1. Если и , то
    2. Если и , то
    3. Если и , то
    4. Если и , то

Недостатки[править | править код]

В силу своей простоты, классическая модель Белла — Лападулы имеет ряд серьёзных недостатков:[источник не указан 2365 дней]

Удаленное чтение[править | править код]

См. также[править | править код]

Примечания[править | править код]

  1. Bell, David Elliott and LaPadula, Leonard J. (1973). «Secure Computer Systems: Mathematical Foundations» (PDF). MITRE Corporation.
  2. Bell, David Elliott and LaPadula, Leonard J. (1976). «Secure Computer System: Unified Exposition and Multics Interpretation» (PDF). MITRE Corporation.
  3. Bell, David Elliott (December 2005). "Looking Back at the Bell-LaPadula Model" (PDF). Proceedings of the 21st Annual Computer Security Applications Conference: 337–351. DOI:10.1109/CSAC.2005.37.  Slides — Looking Back at the Bell-LaPadula Model

Литература[править | править код]

  • Цирлов В. Л. Основы информационной безопасности автоматизированных систем. — Р.: Феникс, 2008. С. 40-44 ISBN 978-5-222-13164-0
  • Девянин П. Н. Модели безопасности компьютерных систем: Учебное пособие для студентов высших учебных заведений. — М.: Издательский центр «Академия», 2005. С. 55-66 ISBN 5-7695-2053-1
  • Грушо А. А., Тимонина Е. Е. Теоретические основы защиты информации. — М.: Издательство Агентства «Яхтсмен», 1996. С 52-55
  • А. П. Баранов, Н. П. Борисенко, П. Д. Зегжда, А. Г. Ростовцев, Корт С. С. — Математические основы информационной безопасности. — М.: Издательство Агентства «Яхтсмен», 1997. C 22-36 https://web.archive.org/web/20110611052603/http://www.ssl.stu.neva.ru/sam/Book97.pdf