Quelltext der Seite Bell-LaPadula-Sicherheitsmodell

Das '''Bell-LaPadula-Sicherheitsmodell''' beschreibt ein [[Informationssicherheit|IT-Sicherheitsmodell]] und „gilt als das erste vollständig formalisierte“.<ref name="Eckert_6te">Claudia Eckert: ''IT-Sicherheit. Konzepte - Verfahren - Protokolle.'' 6., überarbeitete und erweiterte Auflage. Oldenbourg, 2009, ISBN 978-3-486-58999-3</ref>{{rp|265}} Es schützt die [[Vertraulichkeit]] von Informationen mittels eines Systems durchgesetzter Regeln. Es setzt somit das Konzept [[Mandatory Access Control]] der IT-Systemsicherheit um. Es soll nicht möglich sein, Informationen einer höheren Schutzstufe zu lesen oder Informationen einer höheren Schutzstufe in eine tiefere Schutzstufe zu überführen. Systeme, die auf dem ''Bell-LaPadula''-Prinzip basieren, wurden vor allem dann verwendet, wenn Daten einer gewissen Geheimhaltung unterstehen. Die klassischen ''Bell-LaPadula''-Systeme wurden durch ''lattice-'' oder ''compartment''-basierende Systeme abgelöst (zu deutsch: ''[[Verband (Mathematik)|Verband]]- oder Kategorie-basierende Systeme''), welche horizontale und vertikale Einstufungen (Segmente) implementieren.

== Hintergrund ==
Das Sicherheitsmodell wurde 1973 von David Elliott Bell und [[Leonard J. LaPadula]] im Auftrag der [[United States Air Force|US Air Force]] entwickelt.<ref>{{Internetquelle |autor=D. Elliott Bell, Leonard J. LaPadula |url=http://www.albany.edu/acc/courses/ia/classics/belllapadula1.pdf |titel=Secure Computer Systems: Mathematical Foundations |hrsg=[[MITRE Corporation]] |datum=1973 |abruf=2008-03-13 |format=PDF; 192&nbsp;kB |sprache=en |archiv-url=https://web.archive.org/web/20060618092351/http://www.albany.edu/acc/courses/ia/classics/belllapadula1.pdf |archiv-datum=2006-06-18}}</ref><ref>{{Internetquelle |autor=D. Elliott Bell, Leonard J. LaPadula |url=http://csrc.nist.gov/publications/history/bell76.pdf |titel=Secure Computer Systems: Unified Exposition and MULTICS Interpretation |hrsg=MITRE Corporation |datum=1976 |zugriff=2008-03-13 |format=PDF; 3,1&nbsp;MB |sprache=en}}</ref>
Das Bell-LaPadula-Modell schützt vor allem die ''Vertraulichkeit von Daten'': Hauptaugenmerk wird auf eine ''Kontrolle des Informationsflusses'' gelegt. Es soll nicht möglich sein, dass [[Vertraulichkeit|vertrauliche]] Informationen an nicht vertrauenswürdige Personen weitergegeben werden. Das steht im Gegensatz zum [[Biba-Modell]], welches eine Umkehrung des Bell-LaPadula-Modelles ist und hauptsächlich die ''Integrität des Informationsflusses'' sichert.

Vor jedem Zugriff werden drei Regeln überprüft:

# No-Read-Up oder ''simple security property''<br /> Es darf niedriger eingestuften Personen nicht möglich sein, Informationen von vertrauenswürdigeren Personen zu lesen.
# No-Write-Down oder ''★-property''<br /> Höher eingestufte Personen dürfen nicht in Dateien von weniger vertrauenswürdigen Personen schreiben. Dadurch wird verhindert, dass sie Informationen „nach unten“ weitergeben.
# Eine frei definierbare Zugriffsmatrix oder ''discretionary security property''<br /> Es gibt eine frei definierbare Access-Control Matrix, um den Zugriff von Subjekten auf Objekte anzugeben.

Der Term ''★-property'' soll daher kommen, dass die Autoren des Modells so unter Zeitdruck standen, dass sie die abzugebenden Papiere nicht bereinigen konnten, und der Stern (''★'') als Platzhalter erhalten blieb.<ref>{{Internetquelle |autor=D. Elliott Bell |url=http://www.acsac.org/2005/papers/Bell.pdf |titel=Looking Back at the Bell-La Padula Model |datum=2005-12-07 |zugriff=2011-01-25 |format=PDF; 224&nbsp;kB |sprache=en |kommentar=[[doi:10.1109/CSAC.2005.37]]}}</ref><ref>{{Literatur |Autor=William Stallings, Lawrie Brown |Titel=Computer security: principles and practice |Verlag=Prentice Hall |Ort=Upper Saddle River,NJ |Datum=2008 |ISBN=978-0-13-513711-6}}</ref>

== Verwendung ==
Verschiedene, auf Sicherheit ausgelegte Betriebssysteme (OS) basieren auf dem Bell-LaPadula-Modell. Dabei setzen die OS das Modell unter der Bezeichnung Multi-Level Security (MLS) um. Beispiele sind [[SELinux]], Red Hat Enterprise Linux, IBM [[z/OS]] für Mainframes und unter anderem auch [[Solaris (Betriebssystem)|Trusted Solaris]] mit den integrierten ''Trusted Extensions''.<ref name="Eckert_6te" />{{rp|268}}

== Mathematische Grundsätze ==

* Jedem Objekt O werden Zuständigkeitsbereich und Einstufung zugeordnet (Z(O), E(O))
* Jedem [[Person|Subjekt]] S werden Zuständigkeitsbereich und Ermächtigung zugeordnet (Z(S), E(S))

Lesen von Objekten ist nur möglich, wenn:

:<math>\begin{cases}Z(O) \subseteq Z(S) \\ E(S) \ge E(O) \end{cases}</math>

Schreiben von Objekten ist nur möglich, wenn:

:<math>\begin{cases}Z(S) \subseteq Z(O) \\ E(S) \le E(O) \end{cases}</math><br />

Erzeugen von Subjekten T (z.&nbsp;B. Prozesse):

:<math>\begin{cases}Z(T) \subseteq Z(S) \\ E(T) \le E(S) \end{cases}</math>

Weiterhin muss gelten:

:<math>Z(S) \subseteq Z(O)\;\neq\;\emptyset</math>

== Siehe auch ==
* [[Clark-Wilson-Modell]]
* [[Biba-Modell]]
* [[Multiple Independent Levels of Security]]
* [[Brewer-Nash-Modell]]

== Literatur ==
* Heinrich Kersten: ''Einführung in die Computersicherheit.'' Oldenbourg, München u. a. 1991, ISBN 3-486-21873-5 (''Sicherheit in der Informationstechnik.'' 3, Schriftenreihe Bd. 1).

== Einzelnachweise ==
<references />

[[Kategorie:IT-Sicherheit]]
[[Kategorie:Zugriffskontrolle]]