Modèles de sécurité des systèmes : Bell-LaPadula et Biba
Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 6 minutes
Avant qu’un système puisse appliquer des règles de contrôle d’accès obligatoire (MAC), il doit s’appuyer sur un modèle mathématique précis définissant ce que « sécurisé » signifie concrètement. Deux modèles historiques dominent — et protègent chacun une propriété différente, parfois au prix de l’autre.
Bell-LaPadula : protéger la confidentialité
Section titled “Bell-LaPadula : protéger la confidentialité”Le modèle Bell-LaPadula se concentre entièrement sur la confidentialité, via sa règle de sécurité simple, plus connue sous le nom de « no write down » : un processus ne peut pas écrire dans un espace de données de niveau de classification inférieur au sien.
Cette règle explique, par exemple, pourquoi le système bancaire en ligne de votre banque ne peut jamais partager avec vous les informations du compte d’une autre personne : chaque espace de données privé est conceptuellement « au-dessus » des autres, isolé d’eux.
Biba : protéger l’intégrité
Section titled “Biba : protéger l’intégrité”Le modèle Biba est entièrement tourné vers l’intégrité, avec sa propriété « no write up » (formellement la « propriété stricte * », ou « propriété d’intégrité simple ») : un sujet ne peut pas créer ou écrire dans un espace de données classé à un niveau de sécurité supérieur à celui où il opère.
Exemple concret : un processus opérant au niveau « diffusion publique illimitée » serait bloqué s’il tentait d’écrire dans des données classées « privées » ou « critiques pour la sécurité ».
Deux modèles, deux directions opposées
Section titled “Deux modèles, deux directions opposées”| Modèle | Propriété protégée | Règle | Formulation |
|---|---|---|---|
| Bell-LaPadula | Confidentialité | No write down | Règle de sécurité simple |
| Biba | Intégrité | No write up | Propriété stricte * (intégrité simple) |
Un mécanisme d’étiquetage et un jeu d’interfaces déterminent l’accès selon la politique MAC. Exemples concrets combinant les deux logiques :
- un utilisateur exécutant un processus classé « Secret » ne doit pas pouvoir lire un fichier étiqueté « Top Secret » — règle de sécurité simple, « pas de lecture vers le haut » (Bell-LaPadula) ;
- ce même utilisateur ne doit pas pouvoir écrire dans un fichier de niveau « Confidentiel » — propriété *, « pas d’écriture vers le bas » (Biba).
Cette propriété * est nécessaire pour maintenir la sécurité d’un système automatisé : sans elle, un processus de haut niveau pourrait, volontairement ou par erreur, contaminer des données de niveau inférieur avec des informations plus sensibles qu’elles ne devraient l’être.
Il n’existe pas de modèle universel adapté à toutes les organisations et tous les cas d’usage — d’autres modèles formels mettent l’accent sur la disponibilité ou l’authenticité plutôt que sur la confidentialité ou l’intégrité. Le choix du modèle dépend entièrement de la propriété que l’organisation juge la plus critique à protéger dans son contexte.
Synthèse
Section titled “Synthèse”- Bell-LaPadula protège la confidentialité via le « no write down » — empêcher l’écriture vers un niveau inférieur.
- Biba protège l’intégrité via le « no write up » — empêcher l’écriture vers un niveau supérieur.
- Ces deux modèles tirent dans des directions opposées : aucun système ne peut maximiser confidentialité et intégrité avec un seul modèle — le choix reflète toujours une priorité organisationnelle assumée.
Prochain chapitre
Section titled “Prochain chapitre”PAM, contrôle sujet/objet et contrôle basé sur le risque
Junior TSAFACK – 09/10/2026