Biba 무결성 모델, 낮은 신뢰에서 높은 신뢰로 흐를 때

엄격한 Biba 무결성 정책의 단순 무결성 속성은 낮은 무결성 데이터를 읽지 못하게 하는 ‘no read down’을, *-무결성 속성은 더 높은 무결성 객체에 쓰지 못하게 하는 ‘no write up’을 표현합니다. 이는 낮은 신뢰 정보가 높은 신뢰 상태를 오염시키는 흐름을 제한하는 추상 규칙입니다.

Biba에는 여러 정책 변형이 있으므로 ‘Biba 규칙’만 주어진 경우 적용 변형을 확인해야 합니다. 아래 계산은 엄격한 계층형 정책을 명시적으로 가정하며 모든 데이터 무결성 요구사항이나 현실의 승인 절차를 대신하지 않습니다.

기밀성 규칙을 뒤집은 암기가 아니라 무결성 목적을 봅니다

기밀성 모델이 높은 등급 정보의 유출을 막는 데 초점을 둔다면, Biba의 무결성 모델은 낮은 신뢰의 정보가 더 높은 신뢰의 데이터나 주체에 영향을 주는 흐름을 제한하려고 합니다. NIST가 보관한 무결성 정책 자료는 Biba 접근을 여러 정책으로 나눠 설명하며, 엄격한 무결성 정책에서 높은 무결성 주체가 낮은 무결성 객체를 읽지 못하게 하는 단순 무결성 속성과 낮은 무결성 주체가 높은 무결성 객체에 쓰지 못하게 하는 *-속성을 설명합니다.

여기서는 낮은 수준을 L, 중간을 M, 높은 수준을 H로 둡니다. H는 검토를 마친 기준 데이터, L은 검증 전 외부 입력이라고 가정합니다. 높은 수준의 결과가 낮은 출처를 직접 읽지 않도록 하고, 낮은 수준의 실행 주체가 높은 수준 객체를 바꾸지 못하도록 규칙을 적용합니다. 실제 업무에서는 검증된 변환기나 승인된 전달 경로 같은 추가 설계가 필요할 수 있으며, Biba 표 하나가 그런 구현을 제공하지는 않습니다.

교육용 요청을 엄격한 정책으로 판정합니다

읽기와 쓰기의 주체·객체 방향을 직접 비교하는 것이 중요합니다. ‘높은 수준은 낮은 것을 못 읽는다’는 규칙을 기억하면서도 *-무결성 속성에서는 낮은 주체가 높은 객체에 쓰는 행위를 따로 검사해야 합니다. 두 규칙은 같은 문장을 반복하는 것이 아니라, 정보가 어디서 어디로 전달될 수 있는지 다른 연산에서 제한합니다.

풀이 순서와 적용 한계를 함께 기억합니다

1. 문제에 적힌 정책 변형이 strict integrity인지 low-water-mark 등 다른 변형인지 확인합니다.
2. 주체와 객체의 무결성 수준을 각각 적고 낮음·높음 순서를 고정합니다.
3. 읽기는 단순 무결성 속성을, 쓰기는 *-무결성 속성을 따로 적용합니다.
4. 허용 판정은 주어진 모델 안에서의 결과라고 한정하고, 실제 입력 검증·승인·감사 통제 여부를 별도 질문으로 남깁니다.

대표적인 오답은 ‘Biba는 BLP와 정반대’라고만 외워 각 규칙의 연산을 뒤집는 것입니다. 이 기억법은 방향을 떠올리는 데는 편하지만, 어떤 변형의 Biba인지와 주체·객체 중 누가 데이터를 읽거나 쓰는지 가리지 않으면 오히려 틀릴 수 있습니다. 또 무결성 수준이 높다는 이유만으로 데이터가 사실이라는 뜻은 아닙니다. 수준은 정책상 신뢰·출처 구분을 표현하는 모델의 값일 뿐, 참값을 자동으로 보증하지 않습니다.

Biba 규칙을 실제 데이터 흐름에 대입할 때는 수준이 무엇을 뜻하는지 정책 문서에서 먼저 찾아야 합니다. 이 글의 H와 L은 참·거짓의 척도가 아니라 조직이 부여한 무결성 등급이라는 가정입니다. 외부에서 온 값은 L로 분류하고 검증된 데이터는 H로 분류할 수 있지만, 그 분류 기준과 검증 절차는 별도 설계입니다. 낮은 등급 데이터를 읽어야 하는 업무를 무조건 없애는 대신 중간 단계의 검증 주체를 두는 등의 접근이 있을 수 있으나, 그것이 Biba가 자동으로 제공하는 해결책은 아닙니다. 정책 변형과 신뢰 수준의 전이를 함께 설명해야 모델 규칙을 현실의 입력 검증이나 감사 통제와 혼동하지 않습니다.

Biba의 여러 변형에서는 수준 하락을 추적하는 정책이나 특정 신뢰 범위를 가진 주체를 허용하는 정책처럼 규칙 구성이 달라질 수 있습니다. 따라서 어떤 교재가 ‘Biba 모델’이라고 썼을 때 엄격한 모델의 규칙을 설명하는지, 다른 저수위 표시 변형을 설명하는지 확인하는 것이 중요합니다. 이 글은 범위를 명확히 하려고 strict policy를 선택했습니다. 문제에서 다른 변형을 제시하면 용어만 보고 이 글의 표를 대입하지 말고, 그 변형에서 읽기·쓰기 허용 조건을 다시 씁니다. 이 구별은 작은 예제의 답을 바꾸며, 모델 간 이름을 단순 암기하는 실수를 막아 줍니다.

회상 문제

교육용 문제입니다. 엄격한 Biba 정책만 적용합니다. 검증 전 L 주체가 승인된 H 기준 파일의 숫자를 수정하려고 합니다. 허용 여부와 적용 규칙을 말해 보세요.

거부합니다. 낮은 무결성 주체가 높은 무결성 객체에 쓰려고 하므로 *-무결성 속성의 no write up에 해당합니다. 이 결론은 엄격한 Biba 변형과 단일 계층 정책을 가정한 것입니다. 다른 Biba 정책이나 별도 신뢰 절차가 명시되면 그 조건을 다시 적용해야 합니다.

접근통제 모델을 서로 비교하며 복습하려면 정보보호론 덱 안내를 확인할 수 있습니다. 등급·요청 표는 설명을 위해 만든 교육용 예시이며 공식 기출문제나 유료 카드 인용이 아닙니다.