李 双，袁 丁

（1.北京工商大学 理学院，北京100048；2.中国航天科工集团第二研究院，北京100854）

0 引 言

强制访问控制通常采用Bell－LaPadula模型，尽管自20世纪70年代提出以来，发挥了很大的作用是一个极好的模型，但它也有局限性，其一，它以牺牲其它方面为代价，而专注于保密性，而且保密建立在军队的安全分类模型的基础上；其二，它忽略了管理分类的方式。该模型假设某人，近乎神奇的对每项数据进行分类，而且这种分类永远不变；其三，有时用户需要使用他们未被授权看到的数据，由于基于Bell－LaPadula模型的强制访问控制，用户不可能看到。如，低密级主体向高密级主体书写报告，根据读低，写高的原则，此低密级的主体创建的报告的等级安全标记值大于等于报告的创建者的等级安全标记，那么在Bell＆LaPadula模型下，此报告对安全标记大的主体（领导）是可见的，领导可以进行批示，由于读低写高，在领导作批示（写）后，此报告的安全标记又升高了，那么报告的提出者（一般职员）对此报告不再拥有可见权（读），使得领导的批示变得毫无意义。

文献 ［1－2］提出了一种动态的多级安全政策，采取主体的安全标记是动态变化的，而客体的安全标记是固定的，且随着信息的流入（读）流出（写）记录主体的标记的历史值。这种动态多级安全政策虽然解决了Bell－LaPadula模型中存在的一些问题，但由于仍采用非等级分类级别K，很大程度上限制了等级分类级别不同的信息间的单向或双向流动，此性质限制了文献 ［1－2］中提出的动态安全政策在非军事系统中的应用。……