أمان متعدد المستويات
مجالات المشاكل

يعتبر التعقيم Sanitization مجال مشكلة لأنظمة MLS. الأنظمة التي تطبق قيود MLS، مثل تلك التي حددها نموذج Bell-LaPadula، تسمح فقط بالمشاركة عندما لا تنتهك بشكل واضح قيود الأمان. يمكن للمستخدمين الذين لديهم تصاريح أقل مشاركة عملهم بسهولة مع المستخدمين الذين لديهم تصاريح أعلى، ولكن ليس العكس. لا توجد آلية فعالة وموثوقة يمكن للمستخدم من خلالها تحرير ملف سري للغاية، وإزالة جميع المعلومات السرية، ثم تسليمها إلى المستخدمين الذين لديهم تصاريح سرية أو أقل. من الناحية العملية، تتغلب أنظمة MLS على هذه المشكلة من خلال الوظائف المميزة التي تسمح للمستخدم الجدير بالثقة بتجاوز آلية MLS وتغيير تصنيف أمان الملف. ومع ذلك، فإن هذه التقنية غير موثوقة.
تُشكل القنوات السرية مشكلة أخرى لأنظمة الأمان متعدد المستويات. لكي يحتفظ نظام MLS بالأسرار تمامًا، يجب ألا تكون هناك طريقة ممكنة لعملية سرية فائقة لنقل الإشارات من أي نوع إلى عملية سرية أو أقل. يتضمن ذلك الآثار الجانبية مثل التغييرات في الذاكرة المتوفرة أو مساحة القرص، أو التغييرات في توقيت العملية. عندما تستغل عملية ما مثل هذا التأثير الجانبي لنقل البيانات، فإنها تستغل قناة سرية. من الصعب للغاية إغلاق جميع القنوات السرية في نظام حوسبة عملي، وقد يكون ذلك مستحيلًا في الممارسة العملية. عملية تحديد جميع القنوات السرية هي عملية صعبة في حد ذاتها. لا تحاول معظم أنظمة MLS المتاحة تجاريًا إغلاق جميع القنوات السرية، على الرغم من أن هذا يجعل من غير العملي استخدامها في تطبيقات الأمان العالي.
يمثل التجاوز Bypass مشكلة عند تقديمه كوسيلة للتعامل مع كائن مرتفع في النظام كما لو كان موثوقًا به في MLS. والمثال الشائع هو استخراج البيانات من عنصر مرتفع في نظام سري ليتم إرسالها إلى وجهة غير مصنفة، مع الإشارة إلى بعض خصائص البيانات كدليل موثوق به على أنها «غير مصنفة حقًا» (مثل التنسيق «الصارم» strict). لا يمكن الوثوق بالنظام العالي للحفاظ على أي دليل موثوق به، والنتيجة هي فتح مسار بيانات علني بدون طريقة منطقية للتوسط فيه بشكل آمن. يمكن أن يكون التجاوز محفوفًا بالمخاطر لأنه، على عكس القنوات السرية ذات النطاق الترددي الضيق التي يصعب استغلالها، يمكن أن يؤدي التجاوز إلى حدوث تسرب علني كبير يسهل استغلاله في النظام. غالبًا ما ينشأ التجاوز عن الفشل في استخدام بيئات التشغيل الموثوقة للحفاظ على الفصل المستمر لمجالات الأمان وصولاً إلى أصلها. عندما يقع هذا الأصل خارج حدود النظام، فقد لا يكون من الممكن التحقق من صحة الفصل الموثوق به إلى الأصل. في هذه الحالة، يمكن أن يكون خطر التجاوز أمرًا لا مفر منه إذا كان التدفق ضروريًا حقًا.
أحد الأمثلة الشائعة على التجاوز الذي لا يمكن تجنبه هو «نظام موضوع» مطلوب لقبول حزم IP السرية من مصدر غير موثوق به، وتشفير بيانات المستخدم السرية وليس العنوان وإيداع النتيجة في شبكة غير موثوق بها. يقع المصدر خارج مجال تأثير نظام الموضوع. على الرغم من أن المصدر غير موثوق به (على سبيل المثال مرتفع في النظام)، إلا أنه يتم الوثوق به كما لو كان MLS لأنه يوفر حزمًا تحتوي على رؤوس غير مصنفة وبيانات مستخدم نص عادي سرية، وهي بنية بيانات MLS. نظرًا لأن المصدر غير موثوق به، فقد يكون تالفًا ويضع أسرارًا في رأس الحزمة غير المصنفة. قد تكون رؤوس الحزمة التالفة هراء ولكن من المستحيل على النظام الموضوع تحديد ذلك بأي موثوقية معقولة. بيانات مستخدم الحزمة محمية بشكل جيد من ناحية التشفير ولكن رأس الحزمة يمكن أن يحتوي على أسرار يمكن قراءتها. إذا تم تمرير الحزم التالفة إلى شبكة غير موثوق بها بواسطة النظام الموضوع، فقد لا تكون قابلة للتوجيه ولكن بعض العمليات الفاسدة المتعاونة في الشبكة يمكن أن تلتقط الحزم وتتعرف عليها وقد لا يكتشف النظام الموضوع التسرب. يمكن أن يكون هذا تسربًا علنيًا كبيرًا يصعب اكتشافه. عرض الحزم المصنفة ذات الرؤوس غير المصنفة باعتبارها هياكل عالية للنظام بدلاً من هياكل MLS، فهي تمثل تهديدًا شائعًا جدًا ولكنها خطيرة.
يمكن تجنب معظم التجاوز. غالبًا ما ينتج التجاوز الذي يمكن تجنبه عندما يصمم مهندسو النظام نظامًا قبل التفكير في الأمان بشكل صحيح، ثم يحاولون تطبيق الأمان بعد حدوثه كوظائف إضافية. في هذه الحالة، يبدو أن التجاوز هو الطريقة الوحيدة (السهلة) لجعل النظام يعمل. تم اقتراح بعض المخططات الآمنة الزائفة (والموافقة عليها!) التي تفحص محتويات البيانات التي تم تجاوزها في محاولة عبثية لإثبات أن البيانات التي تم تجاوزها لا تحتوي على أسرار. هذا غير ممكن دون الوثوق بشيء ما حول البيانات مثل تنسيقها، وهو ما يتعارض مع الافتراض بأن المصدر غير موثوق به للحفاظ على أي خصائص لبيانات المصدر. «التجاوز الآمن» هو أسطورة، تمامًا مثل ما يسمى بالحماية عالية التأكيد (HAG) التي تنفذ التجاوز بشفافية. وقد تم الاعتراف منذ فترة طويلة بالمخاطر التي تسببها هذه؛ الحلول الموجودة هي في نهاية المطاف إجرائية، وليست تقنية. لا توجد طريقة لمعرفة على وجه اليقين مقدار المعلومات السرية المأخوذة من أنظمتنا عن طريق استغلال التجاوز.