ベル・ラパドゥーラモデル

Bell –LaPadula モデル( BLP ) は、政府および軍事アプリケーションでアクセス制御を実施するために使用されるステートマシンモデルです。 ^[1]これは、 Roger R. Schellの強力な指導を受けて、 David Elliott Bell、^[2]および Leonard J. LaPadula によって開発され、米国国防総省(DoD)のマルチレベルセキュリティ(MLS) ポリシーを形式化しました。^[3]^[4]^[5]このモデルは、オブジェクトのセキュリティラベルとサブジェクトのクリアランスを使用する一連のアクセス制御ルールを記述する、コンピュータセキュリティポリシーの正式な状態遷移モデルです。セキュリティラベルには、最も機密性の高いもの (「最高機密」など) から最も機密性の低いもの (「非機密」または「公開」など) まであります。

ベル・ラパドゥーラモデルは、保護と安全保障の間に明確な区別がないモデルの例である。^[6]

特徴

Bell-LaPadula モデルは、データの機密性と機密情報への制御されたアクセスに焦点を当てており、データの整合性を保護するためのルールを記述するBiba 整合性モデルとは対照的です。この形式モデルでは、情報システム内のエンティティはサブジェクトとオブジェクトに分割されます。「セキュア状態」の概念が定義され、各状態遷移はセキュア状態からセキュア状態に移行することでセキュリティを維持することが証明され、それによってシステムがモデルのセキュリティ目標を満たしていることが帰納的に証明されます。 ^[7]^{: 34} Bell-LaPadula モデルは、コンピュータシステムで許容される一連の状態を持つ状態マシンの概念に基づいています。ある状態から別の状態への遷移は、遷移関数によって定義されます。システム状態は、サブジェクトからオブジェクトへの許可されたアクセスモードのみがセキュリティポリシーに準拠している場合に「セキュア」であると定義されます。特定のアクセスモードが許可されているかどうかを判断するには、サブジェクトのクリアランスをオブジェクトの分類 (より正確には、セキュリティレベルを構成する分類とコンパートメントのセットの組み合わせ) と比較し、サブジェクトが特定のアクセスモードを許可されているかどうかを判断します。クリアランス/分類スキームは、部分順序で表現されます。モデルは、1 つの任意アクセス制御(DAC) ルールと 2 つの強制アクセス制御(MAC) ルールを定義し、3 つのセキュリティプロパティを備えています。

シンプルセキュリティプロパティは、特定のセキュリティレベルのサブジェクトが、より高いセキュリティレベルのオブジェクトを読み取ることができないことを示します。
* (スター) セキュリティプロパティは、特定のセキュリティレベルのサブジェクトが、それより低いセキュリティレベルのオブジェクトに書き込むことができないことを示します。
任意セキュリティプロパティは、アクセスマトリックスを使用して任意アクセス制御を指定します。

機密性の高い文書から機密性の低い文書への情報の転送は、信頼できる主体の概念を介して Bell-LaPadula モデルで発生する可能性があります。信頼できる主体は、Star プロパティによって制限されません。信頼できる主体は、セキュリティポリシーに関して信頼できることが示されなければなりません。

Bell–LaPadula セキュリティモデルはアクセス制御を対象としており、「write up, read down」(WURD) というフレーズが特徴です。Bibaモデル、Clark–Wilson モデル、Chinese Wallモデルと比較してください。

Bell–LaPadula では、ユーザーは自分のセキュリティレベル以上のコンテンツのみを作成できます (つまり、秘密研究者は秘密または極秘のファイルを作成できますが、公開ファイルを作成することはできません。また、書き込みもできません)。逆に、ユーザーは自分のセキュリティレベル以下のコンテンツのみを表示できます (つまり、秘密研究者は公開または秘密のファイルを表示できますが、極秘のファイルを表示することはできません。また、読み取りもできません)。

Bell-LaPadula モデルでは、その範囲が明確に定義されています。以下の項目については、あまり詳しく扱われていません。

秘密チャネル。事前に準備されたアクションを介して情報を渡す方法について簡単に説明しました。
システムのネットワーク。その後のモデリング作業ではこのトピックが取り上げられました。
マルチレベルセキュリティ以外のポリシー。1990 年代初頭の研究では、MLS は、公開されている他のすべてのポリシーと同様に、ブールポリシーの 1 つのバージョンであることが示されました。

強力なスタープロパティ

強いスタープロパティは *-プロパティの代替であり、サブジェクトは一致するセキュリティレベルのオブジェクトにのみ書き込むことができます。したがって、通常の *-プロパティで許可されている write-up 操作は存在せず、write-to-same 操作のみが可能です。強いスタープロパティは、通常、マルチレベルデータベース管理システムのコンテキストで議論され、整合性に関する懸念から生じます。^[8]この強いスタープロパティは、Biba モデルで予測されており、強い整合性と Bell-LaPadula モデルを組み合わせると、単一レベルでの読み取りと書き込みが可能になることが示されました。

静穏原則

Bell-LaPadula モデルの静穏原則は、サブジェクトまたはオブジェクトの分類は参照されている間は変更されないことを規定しています。静穏原則には 2 つの形式があります。「強い静穏原則」は、システムの通常の操作中にセキュリティレベルが変更されないことを規定しています。「弱い静穏原則」は、セキュリティレベルが定義されたセキュリティポリシーに違反するような方法で変更されることは決してないということを規定しています。弱い静穏は、システムが最小権限の原則を遵守できるため望ましいものです。つまり、プロセスは所有者の許可に関係なく低い許可レベルから開始し、アクションで必要になるにつれて徐々に高い許可レベルを蓄積していきます。

制限事項

機密性、書き込み制御（整合性の1つの形式）、*-プロパティ、および任意のアクセス制御のみを扱います。
秘密チャネルについては言及されているが、包括的には扱われていない
静穏原則は、セキュリティレベルが動的に変更されないシステムへの適用を制限します。信頼されたサブジェクトを介して、高レベルから低レベルへの制御されたコピーを許可します。[編集者注: BLP を使用するシステムの多くは、オブジェクトのセキュリティレベルを動的に変更しません。]

参照

注記

^ ハンシェ、スーザン、ジョン・ベルティ、クリス・ヘア (2003)。CISSP 試験の公式 (ISC)2 ガイド。CRC プレス。pp. 104。ISBN 978-0-8493-1707-1。
^ デビッド・エリオット・ベル、オーラル・ヒストリー・インタビュー、2012年9月24日。ミネソタ大学チャールズ・バベッジ研究所
^ Bell, David Elliott & LaPadula, Leonard J. (1973). セキュアコンピュータシステム: 数学的基礎(PDF) (レポート). MITRE Corporation. 2006-06-18 のオリジナル(PDF)からアーカイブ。2006-04-20に取得。
^ Bell, David Elliott & LaPadula, Leonard J. (1976). セキュアコンピュータシステム: 統一された説明と Multics 解釈(PDF) (レポート). MITRE Corporation. 2008-08-29 のオリジナル(PDF)からアーカイブ。2006-03-25に取得。
^ Bell, David Elliott (2005 年 12 月)。「Bell-LaPadula モデルを振り返る」(PDF)。第 21 回年次コンピュータセキュリティアプリケーションカンファレンスの議事録。米国アリゾナ州ツーソン。pp. 337–351。doi : 10.1109 /CSAC.2005.37。スライド - ベル・ラパドゥーラモデルを振り返る 2008年6月8日アーカイブ、Wayback Machine
^ Landwehr, Carl (1981 年 9 月). 「コンピュータセキュリティの形式モデル」(PDF) . ACM Computing Surveys . 13 (3): 8, 11, 247–278. doi :10.1145/356850.356852. ISSN 0360-0300. S2CID 12863663.
^ R. Shirey (2007 年 8 月). インターネットセキュリティ用語集、バージョン 2. ネットワークワーキンググループ. doi : 10.17487/RFC4949 . RFC 4949. 情報提供。
^ Sandhu, Ravi S. ( 1994)。「リレーショナルデータベースアクセスコントロール」。情報セキュリティ管理ハンドブック (1994-95 年鑑)。Auerbach Publishers。pp. 145–160。S2CID 18270922。

参考文献

ビショップ、マット (2003)。『コンピュータセキュリティ：芸術と科学』ボストン：アディソンウェスレー。
ロナルド・L・クルツ;ラッセル・ディーン・ヴァインズ (2003)。CISSP 準備ガイド(ゴールド版)。インディアナ州インディアナポリス: Wiley Publishing。
McLean, John (1994)。「セキュリティモデル」。ソフトウェアエンジニアリング百科事典。第 2 巻。ニューヨーク: John Wiley & Sons, Inc.、pp. 1136–1145。

[:0-1] ハンシェ、スーザン、ジョン・ベルティ、クリス・ヘア (2003)。CISSP 試験の公式 (ISC)2 ガイド。CRC プレス。pp. 104。ISBN 978-0-8493-1707-1。

[2] デビッド・エリオット・ベル、オーラル・ヒストリー・インタビュー、2012年9月24日。ミネソタ大学チャールズ・バベッジ研究所

[3] Bell, David Elliott & LaPadula, Leonard J. (1973). セキュアコンピュータシステム: 数学的基礎(PDF) (レポート). MITRE Corporation. 2006-06-18 のオリジナル(PDF)からアーカイブ。2006-04-20に取得。

[4] Bell, David Elliott & LaPadula, Leonard J. (1976). セキュアコンピュータシステム: 統一された説明と Multics 解釈(PDF) (レポート). MITRE Corporation. 2008-08-29 のオリジナル(PDF)からアーカイブ。2006-03-25に取得。

[5] Bell, David Elliott (2005 年 12 月)。「Bell-LaPadula モデルを振り返る」(PDF)。第 21 回年次コンピュータセキュリティアプリケーションカンファレンスの議事録。米国アリゾナ州ツーソン。pp. 337–351。doi : 10.1109 /CSAC.2005.37。スライド - ベル・ラパドゥーラモデルを振り返る 2008年6月8日アーカイブ、Wayback Machine

[6] Landwehr, Carl (1981 年 9 月). 「コンピュータセキュリティの形式モデル」(PDF) . ACM Computing Surveys . 13 (3): 8, 11, 247–278. doi :10.1145/356850.356852. ISSN 0360-0300. S2CID 12863663.

[rfc4949-7] R. Shirey (2007 年 8 月). インターネットセキュリティ用語集、バージョン 2. ネットワークワーキンググループ. doi : 10.17487/RFC4949 . RFC 4949. 情報提供。

[8] ^ Sandhu, Ravi S. ( 1994)。「リレーショナルデータベースアクセスコントロール」。情報セキュリティ管理ハンドブック (1994-95 年鑑)。Auerbach Publishers。pp. 145–160。S2CID 18270922。