Bell-LaPadula 모델(기밀성 모델)

핵심 정리

벨-라파듈라 모델(Bell-LaPadula model, BLP)은 정부·군사 응용 분야에서 접근통제를 시행하는 상태 기계 모델이다. 미국 국방부의 다단계 보안 정책을 형식화하려고 개발되었다. 높은 보안 수준의 정보가 낮은 보안 수준으로 흐르는 것을 막는 기밀성 모델이다. 기밀성 유지에 초점을 둔 최초의 수학적 접근통제 모델이라는 점에서 역사적 의의가 크다.

벨-라파듈라 모델은 강제적 접근통제 모델이다. 객체에는 보안 등급 표지가 붙고, 주체에는 허가가 주어진다. 등급은 가장 민감한 정보(예: 일급 비밀)부터 가장 덜 민감한 정보(예: 공개)까지 이어진다. 사용자가 임의로 권한을 바꾸지 못하고 시스템이 등급 규칙을 강제하는 것이 강제적 접근통제의 핵심이다.

규칙의 뼈대는 읽기와 쓰기의 방향이다. 자신의 보안 수준보다 낮거나 같은 객체만 읽는 규칙이 No Read Up 규칙이다. 같거나 높은 등급의 객체에만 쓰게 하여 기밀성을 보호한다. 두 규칙의 방향을 함께 정리하면 높은 등급 객체의 읽기를 금지(No Read-Up)하고 낮은 등급 객체에 대한 쓰기를 금지(No Write-Down)한다.

이 규칙은 높은 등급의 정보가 낮은 등급의 주체에게 흘러가는 경로를 막는다. 다만 이 모델은 정보 흐름을 제어할 뿐, 이해충돌과 직무분리는 다루지 않는다. 정보 흐름을 제어하는 최초의 수학적 보안 모델은 벨-라파듈라 모델이고, 직무분리와 이해충돌을 다루는 모델은 Brewer-Nash 모델이다.

자세히

기밀성 목적과 역사적 지위

벨-라파듈라 모델은 정보 유출을 막는 모델이며, 무결성이나 가용성 보호를 목적으로 하지 않는다. 객체의 등급이 높을수록 정보가 민감하므로, 그 정보가 낮은 등급의 주체에게 새지 않도록 하는 것이 모델의 목적이다. 이 모델은 정부 보안 정책을 형식으로 옮겼다는 점에서 최초의 수학적 모델이라는 지위를 얻었다. 선지가 '최초'나 '수학적 모델'을 묻는다면 기밀성 여부를 먼저 확인하면 된다.