El modelo Bell-LaPadula ( BLP ) es un modelo de máquina de estados utilizado para aplicar el control de acceso en aplicaciones gubernamentales y militares. [1] Fue desarrollado por David Elliott Bell , [2] y Leonard J. LaPadula, luego de una fuerte guía de Roger R. Schell , para formalizar la política de seguridad multinivel (MLS) del Departamento de Defensa de los EE. UU. [ 3 ] [4] [5] El modelo es un modelo de transición de estado formal de la política de seguridad informática que describe un conjunto de reglas de control de acceso que utilizan etiquetas de seguridad en objetos y autorizaciones para sujetos. Las etiquetas de seguridad van desde las más sensibles (por ejemplo, "Alto secreto"), hasta las menos sensibles (por ejemplo, "Sin clasificar" o "Público").
El modelo Bell-LaPadula es un ejemplo de un modelo en el que no existe una distinción clara entre protección y seguridad . [6]
El modelo Bell–LaPadula se centra en la confidencialidad de los datos y el acceso controlado a la información clasificada , en contraste con el Modelo de Integridad de Biba que describe reglas para la protección de la integridad de los datos . En este modelo formal, las entidades de un sistema de información se dividen en sujetos y objetos. Se define la noción de un " estado seguro " y se demuestra que cada transición de estado preserva la seguridad al pasar de un estado seguro a otro, demostrando así de manera inductiva que el sistema satisface los objetivos de seguridad del modelo. [7] : 34 El modelo Bell–LaPadula se basa en el concepto de una máquina de estados con un conjunto de estados permitidos en un sistema informático. La transición de un estado a otro se define mediante funciones de transición. Un estado del sistema se define como "seguro" si los únicos modos de acceso permitidos de los sujetos a los objetos están de acuerdo con una política de seguridad . Para determinar si se permite un modo de acceso específico, la autorización de un sujeto se compara con la clasificación del objeto (más precisamente, con la combinación de clasificación y conjunto de compartimentos que componen el nivel de seguridad ) para determinar si el sujeto está autorizado para el modo de acceso específico. El esquema de autorización/clasificación se expresa en términos de un orden parcial. El modelo define una regla de control de acceso discrecional (DAC) y dos reglas de control de acceso obligatorio (MAC) con tres propiedades de seguridad:
La transferencia de información de un documento de alta sensibilidad a un documento de menor sensibilidad puede ocurrir en el modelo Bell-LaPadula a través del concepto de sujetos confiables. Los sujetos confiables no están restringidos por la propiedad Star. Se debe demostrar que son confiables con respecto a la política de seguridad.
El modelo de seguridad Bell-LaPadula está orientado al control de acceso y se caracteriza por la frase "escribir hacia arriba, leer hacia abajo" (WURD). Compárese con el modelo Biba , el modelo Clark-Wilson y el modelo de la Muralla China .
Con Bell-LaPadula, los usuarios pueden crear contenido solo en su propio nivel de seguridad o por encima de él (es decir, los investigadores secretos pueden crear archivos secretos o de alto secreto, pero no pueden crear archivos públicos; no se puede escribir). Por el contrario, los usuarios pueden ver contenido solo en su propio nivel de seguridad o por debajo de él (es decir, los investigadores secretos pueden ver archivos públicos o secretos, pero no pueden ver archivos de alto secreto; no se puede leer).
El modelo Bell-LaPadula definió explícitamente su alcance, pero no abordó en profundidad los siguientes aspectos:
La propiedad Strong Star es una alternativa a la propiedad *, en la que los sujetos pueden escribir en objetos con solo un nivel de seguridad coincidente. Por lo tanto, la operación de escritura permitida en la propiedad * habitual no está presente, solo una operación de escritura en el mismo. La propiedad Strong Star suele analizarse en el contexto de los sistemas de gestión de bases de datos multinivel y está motivada por preocupaciones de integridad. [8] Esta propiedad Strong Star se anticipó en el modelo Biba , donde se demostró que la integridad fuerte en combinación con el modelo Bell–LaPadula dio como resultado lectura y escritura en un solo nivel.
El principio de tranquilidad del modelo Bell-LaPadula establece que la clasificación de un sujeto u objeto no cambia mientras se hace referencia a él. Hay dos formas del principio de tranquilidad: el "principio de tranquilidad fuerte" establece que los niveles de seguridad no cambian durante el funcionamiento normal del sistema. El "principio de tranquilidad débil" establece que los niveles de seguridad nunca pueden cambiar de manera tal que violen una política de seguridad definida. La tranquilidad débil es deseable ya que permite a los sistemas observar el principio del mínimo privilegio . Es decir, los procesos comienzan con un nivel de autorización bajo independientemente de la autorización de sus propietarios y acumulan progresivamente niveles de autorización más altos a medida que las acciones lo requieren.