Bell–LaPadula模型もけい

Bell-LaPadula模型もけい（BLP）是ぜ一いち种有關せき計算けいさん機き安全あんぜん策略さくりゃく的てき状じょう态机模型もけい，用よう于在政府せいふ和わ军事应用中ちゅう实施访问控ひかえ制せい。它是由よしDavid Elliott Bell 和かずLeonard J. LaPadula在ざいRoger R. Schell的てき指ゆび导下设计的てき，用よう于规范美国びくに国防こくぼう部ぶ（DoD）的てき多た级安全あんぜん（MLS）策略さくりゃく。该模型がた是ぜ计算机つくえ安全あんぜん策略さくりゃく的てき形式けいしき状じょう态转换模型がた，它利用りよう访问主体しゅたい和わ访问对象的てき安全あんぜん等とう级来描述一系列访问控制规则。安全あんぜん等とう级的范围从最敏感びんかん（如“最高さいこう机つくえ密みつ”）到いた最さい不敏ふびん感かん（如“未み分ぶん类”或ある“公おおやけ开”）。

Bell-LaPadula模型もけい是ぜ保ほ护与安全あんぜん之の间没有明ありあけ显区别的てき模型もけい之の一いち 。

特とく征せい

与あずか描述了りょう数かず据すえ完かん整せい性せい保ほ护规则的Biba完かん整せい性せい模型もけい不同ふどう，Bell-LaPadula模型もけい侧重于数据すえ的てき保ほ密みつ性せい和わ对机密みつ信しんじ息いき的てき受控访问。在ざい该模型がた中ちゅう，信しん息いき系けい统中なか的てき实体分ぶん为主体しゅたい和わ对象。模型もけい定てい义了“安全あんぜん状じょう态”的てき概念がいねん，并且证明了りょう每まい个状态转换都是ぜ从一个安全状态转移到另一个安全状态，从而归纳证明了りょう该系统满足あし了りょう模型もけい的てき安全あんぜん性せい要求ようきゅう。Bell-LaPadula模型もけい基もと于状じょう态机的てき概念がいねん，该状じょう态机在ざい一个计算机系统中具有一组允许的状态，并且从一个状态到另一种状态的转换由状态转移函数定义。

如果主体しゅたい对对象ぞう的てき所有しょゆう访问模も式しき符合ふごう安全あんぜん策略さくりゃく，则该系けい统的状じょう态被定てい义为“安全あんぜん”。为了确定是ぜ否いや允まこと许特定とくてい的てき访问模も式しき，系けい统需要じゅよう将はた主体しゅたい的てき许可权与对象的てき等とう级（更さら确切地ち说，数すう据すえ等とう级和数すう据すえ分ぶん隔へだた的てき组合所しょ构成的てき安全あんぜん级别 ）进行比ひ较。这种许可/等とう级模式しき以术语“网格”表示ひょうじ。 该模型がた定てい义了一いち个自主じしゅ访问控ひかえ制せい (DAC) 规则和わ两个强制きょうせい访问控ひかえ制せい (MAC) 规则，具有ぐゆう三さん个安全ぜん属性ぞくせい：

1. 简单安全あんぜん属性ぞくせい (Simple Security Property) 规定给定安全あんぜん级别的てき主体しゅたい无法读取更さら高だか安全あんぜん级别的てき对象。
2. *属性ぞくせい (star Property) 规定给定安全あんぜん级别的てき主体しゅたい无法写うつし入にゅう任にん何なん更さら低ひく安全あんぜん级别的てき对象。
3. 自主じしゅ安全あんぜん属性ぞくせい (Discretionary Security Property) 使用しよう访问矩のり阵来らい规定自主じしゅ访问控ひかえ制せい。

在ざい存在そんざい受信じゅしん任にん主体しゅたい的てき情じょう况下，Bell-LaPadula模型もけい可能かのう会かい产生从高机つくえ密みつ文ぶん档到低てい机つくえ密みつ文ぶん档的信しん息いき流りゅう动。受信じゅしん任にん主体しゅたい不ふ受*属性ぞくせい的てき限きり制せい，但ただし必须证明其在安全あんぜん策略さくりゃく方面ほうめん是ぜ值得信任しんにん的てき。该安全ぜん模型もけい针对访问控ひかえ制せい，并被描述为：“下しも读，上うえ写うつし”。

在ざいBell-LaPadula模型もけい中ちゅう，用よう户只能のう在ざい其自己じこ的てき安全あんぜん级别或ある更さら高だか的てき安全あんぜん级别上じょう创建内容ないよう（如，秘密ひみつ研究けんきゅう人じん员可以创建けん秘密ひみつ或ある绝密文ぶん件けん，但ただし不能ふのう创建公共こうきょう文ぶん件けん；不能ふのう下か写うつし）。相反あいはん，用よう户只能のう查看在ざい其自己じこ的てき安全あんぜん级别或ある更さら低ひく的てき安全あんぜん级别的てき内容ないよう（如，秘密ひみつ研究けんきゅう人じん员可以查看み公共こうきょう或ある秘密ひみつ文ぶん件けん，但ただし不能ふのう查看绝密文ぶん件けん；不能ふのう上じょう读）。