John McLean

Il modello Bell–LaPadula alla base dell'Orange Book poggiava su un «teorema di sicurezza di base»: si parte da uno stato sicuro, ogni transizione rispetta le regole e il sistema resta sicuro. A metà anni Ottanta McLean descrisse System Z, che a ogni richiesta declassa tutto al livello più basso e poi lascia leggere tutto a chiunque. Il teorema vale ancora. Il sistema espone ogni cosa.

Il punto era che il teorema dice più su come si definiscono gli stati che sulla sicurezza. David Elliott Bell rispose che il modello non aveva mai sostenuto il contrario, e la discussione andò avanti per anni. Contribuì a spingere il settore verso modelli di flusso informativo come la noninterferenza, dove la domanda è cosa un utente possa dedurre, non quali etichette siano attaccate dove.