열세 번째 발걸음비밀의 흐름과 데이터의 올바름에는 다른 규칙이 필요하다

앞 절에서 주체와 객체를 정했다면, 이제 어떤 방향의 정보 이동을 막을지 생각할 수 있습니다. 높은 등급의 비밀이 공개 문서로 내려가는 것을 막는 목적과, 신뢰하지 않는 입력이 중요한 장부를 오염시키지 못하게 하는 목적은 다릅니다. 보안 모델은 이런 정책을 일관된 규칙으로 표현하고 그 규칙이 유지되는지를 분석하는 틀입니다. 현실의 모든 위험을 해결하는 제품 이름이 아닙니다.

벨–라파둘라, Bell–LaPadula 모델은 기밀성의 정보 흐름을 중심으로 봅니다. 단순화한 계층에서 낮은 보안 수준의 주체는 높은 수준의 객체를 읽지 못합니다. 이를 No Read Up이라고 합니다. 높은 수준에서 처리한 정보를 낮은 수준 객체에 쓰지 못하게 하는 별표 속성은 No Write Down으로 기억할 수 있습니다. 낮은 사람이 높은 파일을 못 읽는 것만 막고 높은 사람이 공개 파일에 비밀을 복사하도록 두면 기밀성이 유지되지 않기 때문입니다. 실제 레이블은 단순한 위아래 등급 외에 구획 조건을 포함할 수 있습니다.

비바, Biba 모델의 엄격한 무결성 정책은 다른 방향을 제한합니다. 신뢰 수준이 높은 주체가 낮은 무결성의 객체를 읽으면 그 결과가 오염될 수 있어 No Read Down을 적용합니다. 낮은 무결성 주체가 높은 무결성 객체를 쓰지 못하게 하는 규칙은 No Write Up입니다. 여기서 높고 낮음은 비밀 등급이 아니라 데이터와 처리의 신뢰 수준입니다. Biba에는 여러 정책 변형이 있으므로 이 두 문장을 모든 변형의 유일한 정의처럼 쓰지 않습니다.

장부는 허용된 거래를 거쳐야 바뀐다

클라크–윌슨, Clark–Wilson 모델은 상업적 업무에서 올바른 거래 절차와 직무 분리로 무결성을 유지하는 관점을 강조합니다. 보호할 핵심 데이터를 제약된 데이터 항목 CDI로, 외부에서 들어와 아직 그 규칙을 만족한다고 인정하지 않은 자료를 UDI로 생각합니다. 사용자가 CDI를 마음대로 고치는 대신 인증된 변환 절차 TP를 통해 변경하고, 무결성 검증 절차 IVP로 정해진 조건을 점검합니다. 중요한 것은 영문 약어 네 개를 외우는 일이 아니라 “누가 어떤 검증된 절차로 어떤 데이터를 바꿀 수 있는가”라는 연결입니다.

이 모델들은 평가 질문을 제공합니다. BLP에서는 비밀이 낮은 영역으로 흐르는가, 엄격한 Biba에서는 신뢰하지 않는 정보가 높은 무결성 처리를 오염시키는가, Clark–Wilson에서는 검증된 거래와 직무 분리를 우회해 장부를 바꿀 수 있는가를 묻습니다. 모델을 적용한 시스템도 로그, 관리 계정, 우회 통신 같은 실제 경로를 점검해야 합니다. 원칙이 맞아도 구현이 모든 요청을 그 원칙 아래에 놓지 않으면 보호는 성립하지 않습니다.

참고　[155] · [159]