벨-라파둘라 모델 (Bell-LaPadula Model)
한 줄 정의: 군사 기밀처럼 정보의 '기밀성' 보호에 초점을 맞춘 접근제어 모델로, 낮은 등급이 높은 등급 정보를 읽지 못하게 규칙으로 강제합니다.
쉽게 풀면
기밀 등급이 있는 문서를 다룰 때, '자기 등급보다 높은 비밀은 읽을 수 없고, 자기 등급보다 낮은 곳에 비밀을 적어 내려보낼 수도 없다'는 두 규칙으로 정보 유출을 막는 모델입니다. 정보가 위에서 아래로 새어나가는 것을 원천 차단하는 것이 목적입니다.
왜 중요한가
벨-라파둘라 모델은 기밀성을 수학적으로 정형화한 최초의 대표적 보안 모델로, 강제적 접근제어(MAC)와 다단계 보안 시스템 설계의 이론적 토대가 되었습니다. 보안 모델을 배울 때 가장 먼저 등장하는 고전입니다.
논문에서는 이렇게 쓰입니다
"벨-라파둘라 모델의 '올려 읽기 금지, 내려 쓰기 금지' 규칙을 적용해, 일반 등급 프로세스가 비밀 등급 파일을 열람하는 경로를 차단하였다."
조금 더 깊게 보면
핵심 규칙은 두 가지입니다. 단순 보안 속성(no read up)은 낮은 등급 주체가 높은 등급 객체를 읽지 못하게 하고, 스타 속성(no write down)은 높은 등급 주체가 낮은 등급 객체에 쓰지 못하게 합니다. 후자는 기밀 정보가 낮은 등급으로 흘러내리는 것을 막기 위한 것으로, 언뜻 직관에 반해 보이지만 기밀성 보호의 핵심입니다. 이 모델은 오직 기밀성만 다루고 무결성은 고려하지 않는데, 그 반대를 다루는 것이 비바 모델입니다.
주의할 점
벨-라파둘라는 기밀성만 지킬 뿐, 낮은 등급이 높은 등급 데이터를 오염시키는 무결성 문제는 막지 못합니다. 이 점에서 무결성 중심의 비바 모델과 정확히 대칭 관계라는 것을 구분해야 합니다.