Bell–LaPadula模型

Bell-LaPadula模型（BLP）是一種有關計算機安全策略的狀態機模型，用於在政府和軍事應用中實施訪問控制。它是由David Elliott Bell 和Leonard J. LaPadula在Roger R. Schell的指導下設計的，用於規範美國國防部（DoD）的多級安全（MLS）策略。該模型是計算機安全策略的形式狀態轉換模型，它利用訪問主體和訪問對象的安全等級來描述一系列訪問控制規則。安全等級的範圍從最敏感（如「最高機密」）到最不敏感（如「未分類」或「公開」）。

Bell-LaPadula模型是保護與安全之間沒有明顯區別的模型之一 。

特徵

與描述了數據完整性保護規則的Biba完整性模型不同，Bell-LaPadula模型側重於數據的保密性和對機密信息的受控訪問。在該模型中，信息系統中的實體分為主體和對象。模型定義了「安全狀態」的概念，並且證明了每個狀態轉換都是從一個安全狀態轉移到另一個安全狀態，從而歸納證明了該系統滿足了模型的安全性要求。Bell-LaPadula模型基於狀態機的概念，該狀態機在一個計算機系統中具有一組允許的狀態，並且從一個狀態到另一種狀態的轉換由狀態轉移函數定義。

如果主體對對象的所有訪問模式符合安全策略，則該系統的狀態被定義為「安全」。為了確定是否允許特定的訪問模式，系統需要將主體的許可權與對象的等級（更確切地說，數據等級和數據分隔的組合所構成的安全級別 ）進行比較。這種許可/等級模式以術語「網格」表示。 該模型定義了一個自主訪問控制 (DAC) 規則和兩個強制訪問控制 (MAC) 規則，具有三個安全屬性：

1. 簡單安全屬性 (Simple Security Property) 規定給定安全級別的主體無法讀取更高安全級別的對象。
2. *屬性 (star Property) 規定給定安全級別的主體無法寫入任何更低安全級別的對象。
3. 自主安全屬性 (Discretionary Security Property) 使用訪問矩陣來規定自主訪問控制。

在存在受信任主體的情況下，Bell-LaPadula模型可能會產生從高機密文檔到低機密文檔的信息流動。受信任主體不受*屬性的限制，但必須證明其在安全策略方面是值得信任的。該安全模型針對訪問控制，並被描述為：「下讀，上寫」。

在Bell-LaPadula模型中，用戶只能在其自己的安全級別或更高的安全級別上創建內容（如，秘密研究人員可以創建秘密或絕密文件，但不能創建公共文件；不能下寫）。相反，用戶只能查看在其自己的安全級別或更低的安全級別的內容（如，秘密研究人員可以查看公共或秘密文件，但不能查看絕密文件；不能上讀）。