複数の独立したセキュリティレベル

複数の独立したセキュリティ/安全性レベル（MILS ）は、分離^[1]と制御された情報フローの概念に基づく高保証セキュリティアーキテクチャです。信頼できないコンポーネントと信頼できるコンポーネントの両方をサポートする分離メカニズムによって実装され、全体的なセキュリティソリューションがバイパス不可能、評価可能、常に呼び出され、改ざん不可能であることを保証します。

MILSソリューションは、セキュリティコンポーネントと信頼できる構成の独立した評価を可能にします。^{[2] [3] MILSは、国防総省}オレンジブックの基礎理論を代表する、安全なシステムに関する古いベル理論とラパドゥラ理論に基づいています。

MILS システムは、1 つ以上の分離メカニズム (分離カーネル、パーティショニング通信システム、物理的な分離など) を採用して、確実なデータとプロセスの分離を維持します。MILS システムは、同じセキュリティ ドメイン内のコンポーネント間または信頼できるセキュリティ モニター (アクセス制御ガード、ダウングレーダー、暗号化デバイスなど) のみで情報フローを許可することにより、1 つ以上のアプリケーション/システム固有のセキュリティ ポリシーの適用をサポートします。

プロパティ:

• バイパス不可: コンポーネントは、セキュリティ モニターをバイパスするための下位レベルのメカニズムを含む別の通信パスを使用できません。
• 評価可能: 信頼できるコンポーネントは、そのコンポーネントに必要な保証レベルまで評価できます。つまり、コンポーネントはモジュール化されており、適切に設計され、適切に指定され、適切に実装され、小さく、複雑性が低いなどです。
• 常に呼び出される: すべてのアクセス/メッセージは適切なセキュリティ モニターによってチェックされます (つまり、セキュリティ モニターは最初のアクセスをチェックするだけで、その後のすべてのアクセス/メッセージを通過させるわけではありません)。
• 改ざん防止: システムはセキュリティ モニター コード、構成、およびデータに対する「変更」権限を制御し、不正な変更を防止します。

これらの特性を表す便利な頭字語は NEAT です。

「信頼できる」とは、コンポーネントが、そのコンポーネントのリスク レベルに見合った保証レベルで、明確に定義されたセキュリティ ポリシーを満たすことが認定されていることを意味します (たとえば、CC EAL4で評価された単一レベルのアクセス制御ガード、高堅牢性で評価された分離メカニズム、 EAL 5の 2 レベルの分離ガード、および TYPE I 暗号化をすべて同じ MILS システムで使用できます)。

「信頼できない」とは、システムがセキュリティ ポリシーに関する仕様を満たしていることに自信がないことを意味します。

以下の企業がMILS分離カーネル製品を持っています:

• グリーンヒルズソフトウェア
• 翻訳
• シスゴー
• ウインドリバーシステムズ
• ベルタンテクノロジーズ
• OKラボ^{[4] [5]}

MILS 製品を作成する他の分離方法を持つ企業:

• タレス^[6]

MILSコミュニティ

• MILSコミュニティ[1]は、MILSのアーキテクチャとテクノロジーに関する世界規模の国際的なオープンメンバーシップの非営利の能力ネットワークです。

研究プロジェクト

• EURO-MILS: 重要なドメインにおける信頼できるアプリケーションのための安全な欧州仮想化 [2]
• D-MILS：信頼性の高い情報通信インフラストラクチャのための分散MILS [3]。
• certMILS: 新たな脅威が存在する環境における中程度から高い保証のCOTSベースシステム向けの複合セキュリティ認証[4]

• 複数のセキュリティレベル
• 設計上安全な

• Rushby, J.、2008。「MILS における分離と統合 (MILS の構成)」技術レポート SRI-CSL-08-XX、SRI International。