أمان متعدد المستويات
أنظمة تشغيل موثوقة

تتطلب بيئة تشغيل MLS غالبًا نظام معالجة معلومات جدير بالثقة للغاية مبني غالبًا على نظام تشغيل MLS (OS)، ولكن ليس بالضرورة. يمكن دعم معظم وظائف MLS بواسطة نظام مؤلف بالكامل من أجهزة كمبيوتر غير موثوق بها، على الرغم من أنها تتطلب عدة أجهزة كمبيوتر مستقلة مرتبطة بقنوات متوافقة مع أمان الأجهزة (انظر القسم B.6.2 من تفسير الشبكة الموثوقة، NCSC-TG-005). مثال على MLS الذي يتم فرضه بواسطة الأجهزة هو العزلة غير المتماثلة. إذا تم استخدام أحد أجهزة الكمبيوتر في وضع MLS، فيجب أن يستخدم هذا الكمبيوتر نظام تشغيل موثوقًا (OS). نظرًا لأن جميع المعلومات الموجودة في بيئة MLS يمكن الوصول إليها فعليًا بواسطة نظام التشغيل، يجب وجود ضوابط منطقية قوية لضمان التحكم الصارم في الوصول إلى المعلومات. عادةً ما يتضمن هذا التحكم الإلزامي في الوصول الذي يستخدم ملصقات الأمان، مثل نموذج Bell – LaPadula.
يطلب العملاء الذين ينشرون أنظمة تشغيل موثوقة عادةً أن يكمل المنتج تقييمًا رسميًا لأمن الكمبيوتر. يكون التقييم أكثر صرامة بالنسبة لنطاق أمان أوسع، وهي مستويات التصنيف الأدنى والأعلى التي يمكن للنظام معالجتها. كانت معايير تقييم نظام الكمبيوتر الموثوق (TCSEC) هي معايير التقييم الأولى التي تم تطويرها لتقييم MLS في أنظمة الكمبيوتر. بموجب هذه المعايير، كان هناك تخطيط موحد واضح بين متطلبات الأمن واتساع نطاق أمان MLS. تاريخياً، تم اعتماد عدد قليل من التطبيقات القادرة على معالجة MLS مع نطاق أمان من Unclassified من خلال Top Secret. وكان من بينهم برنامج SCOMP لشركة Honeywell، وUSAF SACDIN، وNSA 's Blacker، وMLS LAN من Boeing، وكلها تابعة لـ TCSEC، ومقرها Intel 80386. حاليًا، يتم تقييم منتجات MLS وفقًا للمعايير المشتركة. في أواخر عام 2008، تم اعتماد نظام التشغيل الأول بمستوى ضمان عالي التقييم: مستوى ضمان التقييم (EAL) - EAL 6+ / قوة عالية، تحت رعاية برنامج حكومي أمريكي يتطلب أمانًا متعدد المستويات في حالة بيئة بها تهديد شديد. في حين أن هذا المستوى من التأكيد له العديد من أوجه التشابه مع مستوى الكتاب البرتقالي القديم A1 (مثل الأساليب الرسمية)، فإن المتطلبات الوظيفية تركز على سياسات العزل الأساسية وتدفق المعلومات بدلاً من سياسات المستوى الأعلى مثل Bell-La Padula. نظرًا لأن المعايير المشتركة فصلت اقتران ضمان TCSEC (EAL) والوظائف (ملف تعريف الحماية)، فقد تم فقدان التخطيط الموحد الواضح بين متطلبات الأمان وقدرة نطاق أمان MLS الموثقة في CSC-STD-004-85 إلى حد كبير.
تشمل أنظمة التشغيل المتاحة مجانًا مع بعض الميزات التي تدعم الأمان متعدد المستويات نظام Linux مع تمكين ميزة Security-Enhanced Linux و FreeBSD. كان يُعتقد في السابق أن التقييم الأمني يمثل مشكلة بالنسبة إلى تطبيقات MLS المجانية هذه لثلاثة أسباب:
من الصعب دائمًا تنفيذ إستراتيجية الحماية الذاتية لـ kernel بالدقة اللازمة لثقة MLS، ولم يتم تصميم هذه الأمثلة أو اعتمادها لملف تعريف حماية MLS، لذا فقد لا تقدم الحماية الذاتية اللازمة لدعم MLS.
بصرف النظر عن مستويات EAL، تفتقر المعايير المشتركة إلى جرد لملفات الحماية عالية التأكيد المناسبة التي تحدد المتانة اللازمة للعمل في وضع MLS.
حتى إذا تم استيفاء (1) و (2)، فإن عملية التقييم تكون مكلفة للغاية وتفرض قيودًا خاصة على التحكم في تكوين البرنامج الذي تم تقييمه.
على الرغم من هذه الافتراضات، فقد جرى اعتماد Red Hat Enterprise Linux 5 ضد LSPP و RBACPP و CAPP في EAL4 + في يونيو 2007. يستخدم نظام Linux المحسّن للأمان لتطبيق MLS وكان أول شهادة معايير مشتركة لفرض خصائص أمان TOE مع Linux المحسّن للأمان.
يمكن أن تكون استراتيجيات اعتماد البائعين مضللة للأشخاص العاديين. تستغل الإستراتيجية الشائعة التركيز المفرط للشخص العادي على مستوى EAL مع الإفراط في الاعتماد، مثل التصديق على ملف تعريف حماية EAL 3 (مثل CAPP) إلى مستويات مرتفعة، مثل EAL 4 أو EAL 5. إضافة ميزات دعم MLS واعتمادها (مثل ملف تعريف حماية التحكم في الوصول المستند إلى الدور (RBACPP) وملف تعريف حماية الأمان المسمى (LSPP)) إلى نواة لم يتم تقييمها إلى ملف تعريف حماية قادر على MLS. هذه الأنواع من الميزات هي خدمات يتم تشغيلها على النواة وتعتمد على النواة لحمايتها من الفساد والتخريب. إذا لم يتم تقييم النواة إلى ملف تعريف حماية قادر على MLS، فلا يمكن الوثوق بميزات MLS بغض النظر عن العرض التوضيحي. وتجدر الإشارة بشكل خاص إلى أن CAPP على وجه التحديد ليس ملفًا شخصيًا قادرًا على MLS لأنه يستبعد على وجه التحديد قدرات الحماية الذاتية الحاسمة لـ MLS.
تقدم شركة جنرال ديناميكس نظام التشغيل PitBull، وهو نظام تشغيل به أمان متعدد المستويات موثوق به. يتم تقديم PitBull حاليًا فقط كإصدار محسن من Red Hat Enterprise Linux، ولكن توجد إصدارات سابقة لـ Sun Microsystems Solaris و IBM AIX و SVR4 Unix. يوفر PitBull آلية أمان Bell LaPadula، وآلية سلامة Biba، واستبدال امتياز للمستخدم المتميز، والعديد من الميزات الأخرى. تمتلك PitBull قاعدة الأمان لمنتج بيئة الشبكة الموثوقة (TNE) لشركة General Dynamics منذ عام 2009. تمكّن TNE مشاركة المعلومات متعددة المستويات والوصول إليها للمستخدمين في مجتمعات وزارة الدفاع والاستخبارات التي تعمل بمستويات تصنيف مختلفة. إنها أيضًا الأساس لبيئة مشاركة التحالف متعدد المستويات، وتم توسيع أنظمة جمع معلومات Battlefield واستغلالها (BICES-X).
تقدم شركة صن ميكروسيستمز الآن Oracle Corporation، ملحقات Solaris الموثوقة كميزة متكاملة لأنظمة التشغيل التجارية Solaris وOpenSolaris. بالإضافة إلى ملف تعريف حماية الوصول الخاضع للرقابة (CAPP)، وملفات تعريف الحماية للتحكم في الوصول المستند إلى الأدوار (RBAC)، تم اعتماد الإضافات الموثوقة أيضًا في EAL4 إلى ملف تعريف حماية الأمان المسمى (LSPP). يتضمن هدف الأمان كلاً من وظائف سطح المكتب والشبكة. يفرض LSPP أن المستخدمين غير مصرح لهم بتجاوز سياسات وضع العلامات التي يتم فرضها بواسطة kernel وX Window System (خادم X11). لا يتضمن التقييم تحليل قناة سرية. نظرًا لأن هذه الشهادات تعتمد على CAPP، فلا توجد شهادات Common Criteria تشير إلى أن هذا المنتج جدير بالثقة لـ MLS.
تقدم شركة BAE Systems نظام XTS-400، وهو نظام تجاري يدعم MLS فيما يدعي البائع أنه «ضمان عالي». تم تقييم المنتجات السابقة (بما في ذلك XTS-300) على مستوى TCSEC B3، وهو قادر على MLS. تم تقييم XTS-400 وفقًا للمعايير المشتركة في EAL5 + مقابل ملفات تعريف حماية CAPP و LSPP. يعد كل من CAPP و LSPP ملفات تعريف حماية EAL3 ليست قادرة بطبيعتها على MLS، ولكن الهدف الأمني لتقييم المعايير العامة لهذا المنتج يحتوي على مجموعة غنية من وظائف الأمان التي توفر إمكانية MLS.