벨-라파둘라 모델
더 많은 작업
- Bell-LaPadula Confidentiality Model; BLP;
- 미 국방부 지원 보안 모델로 보안 요소 중 기밀성 강조
- 최초의 수학적 모델로 강제적 정책에 의해 접근 통제하는 모델
- 보안 정책은 정보가 높은 레벨에서 낮은 레벨로 흐르는 것을 방지
- 벨-라파둘라모델 속성
- No Read Up (단순 보안속성)
- 보안 수준이 낮은 주체는 보안 수준이 높은 객체를 읽어서는 안되는 정책
- 주체는 객체와 동일한 등급이거나 객체보다 높은 등급일 때만 읽을 수 있음
- No Write Down (스타 보안 속성)
- 보안 수준이 높은 주체는 보안 수준이 낮은 객체에 기록해서는 안됨
- 주체의 등급이 객체와 동일하거나 그 객체보다 낮아야 기록이 가능
- No Read Up (단순 보안속성)
- 단점: 낮은 등급의 주체가 상위 등급의 객체를 보지 않은 상태에서 수정하여 덮어쓰기가 가능하므로 문서가 비인가자로부터 변경될 가능성이 있음 (Blind Write 가능) ⇒ 무결성 파괴
벨-라파둘라(BLP) 모델은 MITRE의 D. E. Bell과 L. J. La Padula가 미 공군 전자시스템사단(ESD)의 의뢰로 만든 보안 모델이다. 1976년 3월 보고서 "Secure Computer System: Unified Exposition and Multics Interpretation"(MTR-2997 Rev. 1)에서 모델 전체를 정리하고 Multics 운영체제에 적용하는 방법을 제시했다. 군의 비밀 등급(분류, classification)과 비밀 취급 인가(clearance), 구획(compartment, need-to-know)을 그대로 수학적 상태 기계(state machine)로 옮긴 것으로, 시스템이 안전한 상태에서 시작하고 모든 상태 전이가 규칙을 지키면 항상 안전한 상태에 머문다는 것을 증명하는 방식이다.
모델의 목적은 기밀성 하나이다. 높은 등급의 정보가 낮은 등급으로 흘러 내려가지 않도록 읽기와 쓰기를 제한한다. 이 사상은 TCSEC(오렌지북)의 B 등급 이상이 요구하는 강제적 접근통제(MAC)의 이론적 기반이 되었다. 보안 등급은 등급과 범주의 조합이 지배(dominate) 관계로 부분 순서를 이루는 격자(lattice) 구조로 표현된다.
| 규칙 | 다른 이름 | 내용 | 막는 것 |
|---|---|---|---|
| 단순 보안 속성(simple security property, ss-property) | No Read Up | 주체는 자신의 인가 등급이 객체의 등급을 지배할 때(같거나 높을 때)만 읽을 수 있다 | 낮은 인가자가 높은 등급 정보를 읽는 것 |
| *-속성(star property) | No Write Down | 주체는 자신보다 낮은 등급의 객체에 쓸 수 없다. 같거나 높은 등급에만 쓸 수 있다 | 높은 등급을 읽은 주체(또는 그 주체가 실행한 트로이 목마)가 낮은 등급 객체로 정보를 옮기는 것 |
| 강한 *-속성(strong star property) | 같은 등급에서만 읽기·쓰기 | 읽기와 쓰기를 모두 하려면 주체와 객체의 등급이 같아야 한다 | 위로 쓰기(write up)로 상위 문서를 덮어쓰는 문제까지 줄임 |
| 임의적 보안 속성(discretionary security property, ds-property) | 접근 행렬 | 강제 규칙을 만족하더라도 접근 행렬(access matrix)에 허용된 접근만 할 수 있다 | 등급은 맞지만 업무상 알 필요(need-to-know)가 없는 접근 |
1976년 보고서는 강제 규칙(ss-속성, *-속성)과 임의 규칙(ds-속성)을 함께 정의하며, *-속성의 적용을 면제받는 신뢰 주체(trusted subject)를 둔다. 신뢰 주체는 등급을 낮추는 기밀 해제(declassification) 같은 작업을 맡으며, 그 정당성은 모델 밖에서 검증해야 한다.
평온 원칙(tranquility principle)은 주체와 객체의 보안 등급이 운영 중에 바뀌는 경우를 다룬다. 등급이 아무 때나 바뀌면 규칙을 지키면서도 정보가 아래로 흘러갈 수 있기 때문이다.
| 구분 | 내용 |
|---|---|
| 강한 평온 원칙(strong tranquility) | 시스템이 동작하는 동안 보안 등급이 절대 바뀌지 않는다 |
| 약한 평온 원칙(weak tranquility) | 보안 정책을 위반하지 않는 방식으로만 등급이 바뀔 수 있다. 예: 최소 권한을 위해 세션을 낮은 등급으로 시작했다가 필요할 때만 높인다 |
- 무결성 미보장: 위로 쓰기(write up)를 허용하므로 낮은 등급 주체가 높은 등급 문서를 보지 않고 덮어쓸 수 있다(위의 Blind Write). 무결성은 비바 무결성 모델이나 클락-윌슨 모델이 다룬다.
- 가용성 미고려: 접근을 제한할 뿐 서비스 지속은 다루지 않는다.
- 은닉 채널(covert channel): 모델은 명시적인 읽기·쓰기만 통제한다. 자원 사용 여부나 처리 시간 변화를 이용해 높은 등급 프로세스가 낮은 등급 프로세스에 신호를 보내는 저장 채널·타이밍 채널은 막지 못한다. 1976년 보고서도 실시간 간격을 이용한 통신 예를 들어 이 문제를 언급한다.
- 신뢰 주체 의존: 실제 시스템에는 등급을 넘나드는 작업이 필요하고, 이를 신뢰 주체에게 맡기면 그 주체가 약점이 된다.
- 정책 경직성: 상업 조직의 직무 분리, 이해 상충 같은 요구는 표현하기 어렵다(만리장성 모델 참고).
| 구분 | 벨-라파둘라 모델 | 비바 무결성 모델 |
|---|---|---|
| 목표 | 기밀성 | 무결성 |
| 등급 의미 | 비밀 등급(얼마나 민감한가) | 무결성 등급(얼마나 믿을 수 있는가) |
| 읽기 규칙 | No Read Up (위로 읽기 금지) | No Read Down (아래로 읽기 금지, 단순 무결성 속성) |
| 쓰기 규칙 | No Write Down (아래로 쓰기 금지, *-속성) | No Write Up (위로 쓰기 금지, *-무결성 속성) |
| 막는 흐름 | 높은 등급 정보가 아래로 새는 것 | 낮은 신뢰 데이터가 위로 오염시키는 것 |
| 대표 적용 | 군·정부 비밀 등급 체계, MAC 운영체제 | 무결성 수준으로 쓰기를 제한하는 운영체제 기능, 데이터 오염 방지 |
두 모델은 규칙 방향이 정반대이다. 하나의 시스템에서 둘을 동시에 엄격히 적용하면 서로 다른 등급 사이에는 사실상 정보 교환이 불가능해진다.
- BLP는 기밀성, 비바는 무결성이다. 문제에 "기밀성"이 나오면 BLP, "무결성"이 나오면 비바나 클락-윌슨을 고른다.
- BLP 규칙 짝: 단순 보안 속성 = No Read Up, *-속성 = No Write Down. "Star"는 쓰기 규칙이라고 외운다.
- 강한 *-속성은 같은 등급에서만 읽기·쓰기를 허용한다. 일반 *-속성과 구분한다.
- *-속성의 목적은 트로이 목마 등으로 높은 등급 정보가 낮은 등급으로 복사되는 것을 막는 것이다.
- BLP의 약점은 무결성(블라인드 쓰기)과 은닉 채널이다. 흔한 오답: "BLP는 무결성도 보장한다".
- 평온 원칙은 등급 변경에 관한 규칙이다. 강한 평온은 변경 금지, 약한 평온은 정책을 어기지 않는 변경만 허용한다.