Учебно-методический комплекс теоретические основы компьютерной безопасности

2.2.3. Основные расширения модели Белла-ЛаПадулы

При практической реализации положений модели Белла-ЛаПадулы в реальных КС возник ряд трудностей, послуживших основанием для многочисленных работ по ее критическому анализу. Основные из этих трудностей связаны с проблемами переходных процессов, изменяющих доверительные характеристики (уровни безопасности) субъектов и объектов доступа, а также с невозможностью ограничиться в реальных КС процессами, сопровождающимися только лишь однонаправленными информационными потоками. В частности, один из наиболее известных исследователей модели Белла-ЛаПадулы, МакЛин привел концептуальное описание Zсистемы, удовлетворяющей условиям ОТБ, но, вместе с тем, обеспечивающей возможность получения доступа любым субъектом к любому объекту по любому методу (read и write). В Z-системе субъекты и объекты в промежутках переходов системы из одного состояния в другое имеют возможности изменять свой уровень безопасности, при этом ни одно из ограничений ОТБ не нарушается. Тем не менее, последовательно снижая классификацию (уровень) объекта до своего уровня, или вовсе его деклассифицируя, субъект может получить доступ по чтению к нужному объекту. Также, последовательно понижая свой уровень безопасности, субъект может получить доступ к нужному объекту по записи.
Причина проблемы Z-системы, как указал МакЛин, в том, что модель Белла-ЛаПадулы никаким образом не специфицирует и не регламентирует процессы назначения и изменения уровня безопасности сущностей системы, т. е. является чрезмерно абстрактной по отношению к реальным процессам в КС.
Проведя обстоятельные и глубокие исследования классической модели Белла-ЛаПадулы, МакЛин построил несколько расширений модели Белла-ЛаПадуллы, преодолевающих некоторые недостатки или приближающих к "реальности" исходную каноническую модель. Первое из этих расширений связано с исследованием условий и ограничений, накладываемых на функцию перехода (модель с безопасной функцией перехода).
Для рассмотрения условий безопасности функции перехода МакЛин разделил общую функцию уровней безопасности F_L: S ∪ O→ L на функцию уровней безопасности субъектов F_Ls: S → L и функцию уровней безопасности объектов F_Lo: O → L.
В модели с безопасной функцией переходов на этой основе вводятся следующие определения.
Определение 2.2.7. Функция перехода FT : (V x Q) → V является безопасной по чтению, если для любого перехода FT(v,q)=v* выполняются следующие три условия:

• 
  если read ∈A*[s,o] и read ∉A[s,o], то F_Ls(s)≥ F_Lo(o) и F_L = F_L* ;
  
• 
  если F_Ls≠ F_Ls*, то A=A*, F_Lo= F_Lo*, для ∀s и o, у которых
  

F_Ls*(s) < F_Lo*(o), read ∉ A[s,o];

• 
  если F_Lo≠ F_Lo*, то A=A*, F_Ls= F_Ls*, для ∀s и o, у которых