Nella mia conferenza sui metodi formali in materia di sicurezza IT così come su Wikipedia si afferma che il modello BLP è un modello obbligatorio di controllo degli accessi. Non è chiaro per me perché questo è il caso.
Abbiamo definito modelli di controllo di accesso obbligatori come quelli in cui le modifiche sono limitate. Non vedo perché questo è il caso qui. Disponiamo di proprietà di sicurezza (proprietà ss, * -property e proprietà ds) che restringono l'insieme degli stati di protezione a un insieme di stati di protezione BLP, tuttavia è possibile definire un sistema BLP la cui relazione di transizione consente le transizioni in tali afferma, quindi il sistema non è più protetto da BLP.