信息安全概論-訪問控制-文庫吧
2025-02-08 02:08 本頁面
【正文】 訪問一個客體 (如文件 )時，調(diào)用強制訪問控制機制，根據(jù)進(jìn)程的安全屬性和訪問方式，比較進(jìn)程的安全屬性和客體的安全屬性，從而確定是否允許進(jìn)程對客體的訪問。代表用戶的進(jìn)程不能改變自身的或任何客體的安全屬性，包括不能改變屬于用戶的客體的安全屬性，而且進(jìn)程也不能通過授予其他用戶客體存取權(quán)限簡單地實現(xiàn)客體共享。如果系統(tǒng)判定擁有某一安全屬性的主體不能訪問某個客體，那么任何人（包括客體的擁有者）也不能使它訪問該客體。從這種意義上講，是“強制”的。 強制訪問控制和自主訪問控制 ? 強制訪問控制和自主訪問控制是兩種不同類型的訪問控制機制，它們常結(jié)合起來使用。僅當(dāng)主體能夠同時通過自主訪問控制和強制訪問控制檢查時，它才能訪問一個客體。 ? 用戶使用自主訪問控制防止其他用戶非法入侵自己的文件，強制訪問控制則作為更強有力的安全保護(hù)方式，使用戶不能通過意外事件和有意識的誤操作逃避安全控制。因此強制訪問控制用于將系統(tǒng)中的信息分密級和類進(jìn)行管理，適用于政府部門、軍事和金融等領(lǐng)域。 訪問控制模型 ? 從訪問控制的角度出發(fā)，描述安全系統(tǒng)，建立安全模型的方法。 ? 一般包括主體、客體、以及為識別和驗證這些實體的子系統(tǒng)和控制實體間的訪問的監(jiān)視器。 ? 來自于策略。 訪問控制模型 ? 自主訪問控制模型。（ DAC） ? 強制訪問控制模型。（ MAC） ? 基于角色的訪問控制模型。（ RBAC） ? 基于任務(wù)的訪問控制模型。（ TBAC） ? 基于對象的訪問控制模型。（ OBAC） ? 信息流模型。 自主訪問控制（ DAC） ? 根據(jù)自主訪問控制策略建立的一種模型。 ? 允許合法用戶以用戶或用戶組的身份訪問策略規(guī)定的客體。 ? 阻止非授權(quán)用戶訪問客體。 ? 某些客體還可以自主的把自己所擁有的客體訪問權(quán)授予其它用戶。 ? 任意訪問控制。 第六章 訪問控制 自主訪問控制（ DAC） ? 訪問控制表（ ACL）是 DAC中通常采用的一種安全機制。 ACL是帶有訪問權(quán)限的矩陣 , 這些訪問權(quán)是授予主體訪問某一客體的。安全管理員通過維護(hù) ACL控制用戶訪問企業(yè)數(shù)據(jù)。對每一個受保護(hù)的資源， ACL對應(yīng)一個個人用戶列表或由個人用戶構(gòu)成的組列表，表中規(guī)定了相應(yīng)的訪問模式。 ? DAC的主要特征體現(xiàn)在主體可以自主地把自己所擁有客體的訪問權(quán)限授予其它主體或者從其它主體收回所授予的權(quán)限，訪問通?；谠L問控制表（ ACL）。訪問控制的粒度是單個用戶。 第六章 訪問控制 ACL是存在于計算機中的一張表，用戶對特定系統(tǒng)對象例如文件目錄或單個文件的存取權(quán)限。每個對象擁有一個在訪問控制表中定義的安全屬性。這張表對于每個系統(tǒng)用戶有擁有一個訪問權(quán)限。最一般的訪問權(quán)限包括讀文件（包括所有目錄中的文件），寫一個或多個文件和執(zhí)行一個文件（如果它是一個可執(zhí)行文件或者是程序的時候）。 訪 \對象 訪域 \ 文件 1 文件 2 文件 3 文件 4 文件 5 文件 6 打印機 1 繪圖儀 2 D1 R R,W D2 R R,W,E R,W W D3 R,W,E W W 訪問控制表 ACL 訪問控制表 (ACL) userA Own R W O userB R O userC R W O Obj1 每個客體附加一個它可以訪問的主體的明細(xì)表。 訪問能力表 Obj1 Own R W O Obj2 R O Obj3 R W O UserA 每個主體都附加一個該主體可訪問的客體的明細(xì)表。 DAC的缺點 ? 在移動過程中其訪問權(quán)限關(guān)系會被改變。如用戶A可將其對目標(biāo) O的訪問權(quán)限傳遞給用戶 B,從而使不具備對 O訪問權(quán)限的 B可訪問 O。 ? 當(dāng)用戶數(shù)量多、管理數(shù)據(jù)量大時，由于訪問控制的粒度是單個用戶， ACL會很龐大。當(dāng)組織內(nèi)的人員發(fā)生能變化（升遷、換崗、招聘、離職）、工作職能發(fā)生變化（新增業(yè)務(wù)）時， ACL的修改變得異常困難。 ? 采用 ACL機制管理授權(quán)處于一個較低級的層次，管理復(fù)雜、代價高以至易于出錯。 基于行的自主訪問控制 ? 是在每個主體上都附加一個該主體可訪問的客體的明細(xì)表。 ? 權(quán)限字（能力）：主體對客體具有特定的不可偽造的標(biāo)志。為防止權(quán)限字的不斷擴散，可在傳遞權(quán)限字副本時移去其中的轉(zhuǎn)移權(quán)限。 基于列的訪問控制 ? 指按客體附加一份可訪問它的主體的明細(xì)表。 ? 保護(hù)位方式： UNIX采用；只有客體擁有者能改變客體保護(hù)位（ root除外）。一個用戶在某個時刻只能屬于一個活動的用戶組。 ? 存取控制表（ ACL) 自主訪問控制的訪問許可 ? 等級型 ? 擁有型 ? 自由型 等級型 ? 將對客體存取控制表的修改能力劃分成等級，控制關(guān)系構(gòu)成一個樹型結(jié)構(gòu)。 ? 系統(tǒng)管理員的等級為等級樹的根，根一級具有修改所有客體存取控制表的能力，并且具有向任意一個主體分配這種修改權(quán)的能力。 ? 在樹中的最低級的主體不再具有訪問許可，也就是說他們對相應(yīng)的客體的存取控制表不再具有修改權(quán)。 ? 有訪問許可的主體（即有能力修改客體的存取控制表），可以對自己授與任何訪問模式的訪問權(quán)。 擁有型 ? 對每個客體設(shè)立一個擁有者（通常是該客體的生成者）。 ? 只有擁有者才是對客體有修改權(quán)的唯一主體。擁有者對其擁有的客體具有全部控制權(quán)。 ? 擁有者無權(quán)將其
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1