Модель Бела — ЛаПадули

Суб'єкт з рівнем доступу ${\displaystyle x_{s}}$ може читати інформацію з об'єкта з рівнем таємності ${\displaystyle x_{o}}$ тоді і тільки тоді, коли ${\displaystyle x_{s}}$ перевищує ${\displaystyle x_{o}}$. Це правило також відоме під назвою «Немає читання зверху» (No read up, NRU). Наприклад, суб'єкт, який має доступ лише до нетаємних даних, спробує прочитати об'єкт з рівнем «цілком таємно», то йому буде відмовлено.

Сутність властивості ★ (читається як «властивість зірочка») полягає у тому, що суб'єкт з рівнем доступу _s може писати інформацію у об'єкт з рівнем таємності x_о тільки якщо x_о перевищує ${\displaystyle x_{s}}$. Це правило також відоме під назвою «Немає запису вниз» (No write down, NWD). Наприклад, якщо суб'єкт, який має рівень доступу «цілком таємно» спробує записати у об'єкт з рівнем таємності «таємно», то йому буде відмовлено у цьому.

Сильна властивість ★ є альтернативною властивості ★, у якій суб'єкти можуть писати у об'єкти тільки з тим рівнем таємності, що відповідає рівню доступу суб'єкта. Таким чином, операція запису вгору, присутня при властивості ★, відсутня, а лише наявна операція запису у об'єкти з тим же рівнем доступу. Сильна властивість ★ зазвичай згадується у контексті багаторівневих систем керування базами даних і обумовлена вимогами цілісності[4]. Сильна властивість ★ передбачається моделлю Біби, де було показано, що стійка цілісність у поєднанні з моделлю Бела — ЛаПадули забезпечується читанням і записом у межах єдиного рівня таємності.

Принцип стійкості моделі Бела — ЛаПадули стверджує, що рівень таємності/доступу суб'єкта або об'єкта на змінюється під час звернення. Є дві форми принципу стійкості. Принцип сильної стійкості стверджує, що рівень безпеки не зміниться під час нормальної роботи системи. Принцип слабкої стійкості стверджує, що рівень безпеки неможливо змінити таким чином, що порушилась політика безпеки. Принцип слабкої стійкості дозволяє дотримуватися принципу мінімуму повноважень у системі. Тобто процеси починаються з низьким рівнем ознайомленості, незалежно від рівня ознайомленості їх власників, і у процесах поступово накопичуються більш високі рівні обізнаності, по мірі потреби у діях, які вимагають підвищення рівня обізнаності.

• ${\displaystyle S\ }$ — множина суб'єктів;
• ${\displaystyle O\ }$ — множина об'єктів, ${\displaystyle S\subset O}$;
• ${\displaystyle R=\{r,\ w\}}$ — множина прав доступу, ${\displaystyle r\ }$ — доступ на читання, ${\displaystyle w\ }$ — доступ на запис;
• ${\displaystyle L=\{U,SU,S,TS\}\ }$ — множина рівнів таємності, ${\displaystyle U\ }$ — відкрита, ${\displaystyle SU\ }$ — для службового користування, ${\displaystyle S\ }$ — таємна, ${\displaystyle TS\ }$ — цілком таємна;
• ${\displaystyle \Lambda =(L,\leq ,\bullet ,\otimes )}$ — решітка рівнів секретності, де:
  • ${\displaystyle \leq }$ — оператор, що визначає часткове несуворе відношення порядку рівнів таємності;
  • ${\displaystyle \bullet }$ — оператор найменшої верхньої межі;
  • ${\displaystyle \otimes }$ — оператор найбільшої нижньої межі.
• ${\displaystyle V\ }$ — множина станів системи, що представляється у вигляді впорядкованих пар ${\displaystyle (F,M)\ }$, де:
  • ${\displaystyle F:S\cup O\rightarrow L}$ — функція рівнів таємності, яка ставить у відповідність кожному об'єкту і суб'єкту в системі певний рівень таємності;
  • ${\displaystyle M\ }$ — матриця поточних прав доступу.

Оператор відношення ${\displaystyle \leq }$ має наступні властивості:

• Рефлексивність: ${\displaystyle {\mathcal {8}}~a\in L:a\leq a}$, полягає тому, що між суб'єктами та об'єктами одного рівня таємності передача інформації дозволена.
• Антисиметричність: ${\displaystyle \forall a_{1},a_{2}\in L:((a_{1}\leq a_{2})\And (a_{2}\leq a_{1}))\rightarrow a_{2}=a_{1}}$, полягає у тому, що якщо інформація може передаватися від суб'єктів та об'єктів рівня A до суб'єктів та об'єктів рівня B, і ід суб'єктів та об'єктів рівня B до суб'єктів та об'єктів рівня A, то ці рівні еквівалентні.
• Транзитивність: ${\displaystyle \forall a_{1},a_{2},a_{3}\in L:((a_{1}\leq a_{2})\And (a_{2}\leq a_{3}))\rightarrow a_{1}\leq a_{3}}$, полягає у тому, що якщо інформація може передаватися від суб'єктів і об'єктів рівня A до суб'єктів і об'єктів рівня B, і від суб'єктів і об'єктів рівня B до суб'єктів і об'єктів рівня C, то вона може передаватися від суб'єктів і об'єктів рівня A до суб'єктів і об'єктів рівня C.

Оператор найменшої верхньої межі ${\displaystyle \bullet }$ визначається відношенням:

${\displaystyle a=a_{1}\bullet a_{2}\Leftrightarrow (a_{1},a_{2}\leq a)\And (\forall a'{\mathcal {2}}L:(a'\leq a)\rightarrow (a'\leq a_{1}\vee a'\leq a_{2}))}$

Оператор найбільшої нижньої межі ${\displaystyle \otimes }$ визначається відношенням: ${\displaystyle a=a_{1}\otimes a_{2}\Leftrightarrow (a\leq a_{1},a_{2})\And (\forall a'{\mathcal {2}}L:(a'\leq a_{1}\And a'\leq a_{2})\rightarrow (a'\leq a))}$ З визначення цих двох операторів можна показати, що для кожної пари ${\displaystyle a_{1},a_{2}~{\mathcal {2}}~L}$ існує єдиний елемент найменшої верхньої межі та єдиний елемент найбільшої нижньої межі.

Система ${\displaystyle ~\Sigma =(\nu _{0},R,T)}$ у моделі Бела — ЛаПадули складається з наступних елементів:

• ${\displaystyle \nu _{0}\ }$ — початковий стан системи;
• ${\displaystyle \mathbb {R} \ }$ — множина прав доступу;
• ${\displaystyle T:V\times R\rightarrow V}$ — функція переходу, яка у ході виконання запитів переводить систему із одного стану у інший.

Стан ${\displaystyle \nu \ }$ називається досяжним у системі ${\displaystyle ~\Sigma =(\nu _{0},R,T)}$, якщо існує послідовність ${\displaystyle \{(r_{0},\nu _{0}),...,(r_{n-1},\nu _{n-1}),(r_{n},\nu _{n})\}:T(r_{i},\nu _{i})=\nu _{i+1}~\forall i=0,n-1}$ Початковий стан ${\displaystyle \nu _{0}\ }$ є досяжним за визначенням.

Стан системи ${\displaystyle (F,M)}$ називається безпечним по читанню (або просто безпечним (від простої властивості)), якщо для кожного суб'єкта, який здійснює у цьому стані доступ на читання до об'єкта, рівень доступу суб'єкта переважає рівень таємності об'єкта: ${\displaystyle \forall s\in S,\forall o\in O,r\in M[s,o]\rightarrow F(o)\leq F(s)}$

Стан системи ${\displaystyle (F,M)}$ називається безпечним по запису (або &#x2605 — безпечним (від властивості &#x2605)), якщо для кожного суб'єкта, який здійснює у цьому стані доступ на запис до об'єкта, рівень таємності об'єкта переважає рівень доступу суб'єкта: ${\displaystyle \forall s\in S,\forall o\in O,w\in M[s,o]\rightarrow F(s)\leq F(o)}$

Стан ${\displaystyle (F,M)}$ називається безпечним, якщо він є безпечним і по читанню, і по запису.

Система ${\displaystyle \Sigma =(\nu _{0},R,T)}$ називається безпечною, якщо її початковий стан ${\displaystyle \nu _{0}\ }$ є безпечним, і усі стани, які можуть бути досягнуті з ${\displaystyle \nu _{0}\ }$ шляхом застосування скінченної послідовності запитів з ${\displaystyle R\ }$, безпечні.

Система ${\displaystyle ~\Sigma =(\nu _{0},R,T)}$ безпечна тоді, і тільки тоді, коли виконані наступні умови:

1. Початковий стан ${\displaystyle \nu _{0}\ }$ є безпечним.
2. Для будь-якого стану ${\displaystyle \nu \ }$, яке досяжне з ${\displaystyle \nu _{0}\ }$ шляхом застосування скінченної послідовності запитів з ${\displaystyle R\ }$, таких, що ${\displaystyle ~T(\nu ,r)=\nu ^{*},\nu =(F,M)}$ и ${\displaystyle ~\nu ^{*}=(F^{*},M^{*})}$, для ${\displaystyle {\mathcal {8}}s{\mathcal {2}}S,{\mathcal {8}}o{\mathcal {2}}O}$ виконані умови:
   1. Якщо ${\displaystyle r{\mathcal {2}}M^{*}[s,o]}$ и ${\displaystyle r\notin M[s,o]}$, то ${\displaystyle F^{*}(o)\leq F^{*}(s)}$
   2. Якщо ${\displaystyle r{\mathcal {2}}M[s,o]}$ и ${\displaystyle ~F^{*}(s)<F^{*}(o)}$, то ${\displaystyle r\notin M^{*}[s,o]}$
   3. Якщо ${\displaystyle w{\mathcal {2}}M^{*}[s,o]}$ и ${\displaystyle w\notin M[s,o]}$, то ${\displaystyle F^{*}(s)\leq F^{*}(o)}$
   4. Якщо ${\displaystyle w{\mathcal {2}}M[s,o]}$ и ${\displaystyle ~F^{*}(o)<F^{*}(s)}$, то ${\displaystyle w\notin M^{*}[s,o]}$

Доказ.
Необхідність твердження.
Нехай система ${\displaystyle ~\Sigma =(\nu _{0},R,T)}$ безпечна. У цьому випадку початковий стан ${\displaystyle \nu _{0}\ }$ безпечний за визначенням. Припустимо, що існує безпечний стан ${\displaystyle \nu ^{*}\ }$, досяжний із стану ${\displaystyle \nu$ :~T(\nu ,r)=\nu ^{*}} , і для даного переходу порушено одну з умов 1-4. Легко помітити, що якщо порушені властивості 1 або 2, то стан ${\displaystyle \nu ^{*}\ }$ не буде безпечним по читанню, а якщо порушені властивості 3 або 4, то стан ${\displaystyle \nu ^{*}\ }$ не буде безпечним по запису. У обох випадках стан ${\displaystyle \nu ^{*}\ }$ не є безпечним.
Достатність твердження.
Система ${\displaystyle ~\Sigma =(\nu _{0},R,T)}$ може бути небезпечною у двох випадках:

1. У випадку, якщо початковий стан ${\displaystyle \nu _{0}\ }$ небезпечний. Однак це твердження суперечить умовам теореми.
2. Якщо існує небезпечний стан ${\displaystyle \nu ^{*}\ }$ , досяжний з безпечного стану ${\displaystyle \nu _{0}\ }$ шляхом застосування скінченного числа запитів ${\displaystyle R\ }$. Це означає, що на певному проміжному етапі відбувся перехід ${\displaystyle ~T(\nu ,r)=\nu ^{*}}$, де ${\displaystyle \nu \ }$ – безпечний стан, а ${\displaystyle \nu ^{*}\ }$ — небезпечний. Однак умови 1-4 роблять такий перехід неможливим.

Ця вразливість полягає у тому, що класична модель не попереджує пониження рівня таємності об'єкта (зміну рівня таємності аж до «відкрита» за бажанням суб'єкта з допуском до «цілком таємно»). Наприклад, нехай суб'єкт з високим рівнем доступу A читає інформацію з об'єкта з тим же рівнем таємності. Далі він понижує свій рівень до низького B, і записує зчитану раніше інформацію у об'єкт з низьким рівнем таємності. Таким чином, хоч модель формально не порушена, було порушено політику безпеки. Для вирішення цієї проблеми вводяться правила:

• Правило сильного спокою — рівні безпеки суб'єктів і об'єктів ніколи не змінюються під час роботи системи.
• Правило слабкого спокою — рівні безпеки суб'єктів і об'єктів ніколи не змінюються під час роботи системи таким чином, щоб порушити задану політику безпеки.

Ця вразливість проявляється у розподілених комп'ютерних системах. Припустимо, суб'єкт A з високим рівнем доступу намагається прочитати інформацію об'єкта B з низьким рівнем таємності. Під час операції між віддаленими об'єктами відбувається утворення потоку інформації від об'єкта, що читається, до суб'єкта, який запитав читання. Цей потік є безпечним, тому що інформація недоступна неавторизованим суб'єктам. Однак у розподіленій системі читання ініціюється запитом від одного об'єкта до іншого. Такий запит створює потік інформації, який направлений від об'єкта з високим рівнем таємності до об'єкта з низьким рівнем таємності, що заборонено класичною моделлю Бела — ЛаПадули.