網(wǎng)絡(luò)安全9-訪問控制技術(shù)-wenkub
2023-02-06 15:31:44 本頁面
【正文】 三方 ? Kerberos , IKE 第 9章 第 2節(jié) 身份認(rèn)證技術(shù)方法 ? 目前，計算機及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下幾種： 1. 用戶名及密碼方式 ? 用戶名及密碼方式是最簡單也是最常用的身份認(rèn)證方法，由用戶自己設(shè)定，只有用戶本人知道。它為網(wǎng)絡(luò)訪問提供了第一層訪問控制 ? 入網(wǎng)認(rèn)證控制哪些用戶能夠登錄到服務(wù)器并獲得網(wǎng)絡(luò)資源，也控制準(zhǔn)許用戶入網(wǎng)的時間和準(zhǔn)許他們在哪臺工作站入網(wǎng) ? 入網(wǎng)認(rèn)證實質(zhì)上就是對用戶的身份進(jìn)行認(rèn)證 第 9章 第 2節(jié) 入網(wǎng)認(rèn)證 ? 身份認(rèn)證 ? 身份認(rèn)證過程指的是當(dāng)用戶試圖訪問資源的時候，系統(tǒng)確定用戶的身份是否真實的過程 ? 認(rèn)證對所有需要安全的服務(wù)來說是至關(guān)重要的，因為認(rèn)證是訪問控制執(zhí)行的前提，是判斷用戶是否有權(quán)訪問信息的先決條件，同時也為日后追究責(zé)任提供不可抵賴的證據(jù) 第 9章 第 2節(jié) 身份認(rèn)證的概念 身份認(rèn)證的作用 ? 身份認(rèn)證與鑒別是信息安全中的 第一道 防線 ，是保證計算機網(wǎng)絡(luò)系統(tǒng)安全的重要措施之一 ,對信息系統(tǒng)的安全有著重要的意義。 ? 在認(rèn)證和授權(quán)后，訪問控制機制將根據(jù)預(yù)先設(shè)定的規(guī)則對用戶訪問的資源進(jìn)行 控制 ，只有規(guī)則允許的資源才能訪問。 ? 訪問控制 ? 指主體依據(jù)某些控制策略或者權(quán)限對客體或其資源進(jìn)行的不同的授權(quán)訪問。 訪問控制的最基本概念 ? 訪問（ access） ? 使信息在主體和客體之間流動的一種交互方式。 第 9章 訪問控制技術(shù) ? 訪問控制技術(shù)概述 ? 入網(wǎng)認(rèn)證 ? 物理隔離措施 ? 自主訪問控制 ? 強制訪問控制 ? 新型訪問控制技術(shù) 第 9章 訪問控制技術(shù) ? 要保證計算機系統(tǒng)實體的安全，必須對計算機系統(tǒng)的訪問進(jìn)行控制 ? 訪問控制的基本任務(wù) ? 防止非法用戶即未授權(quán)用戶進(jìn)入系統(tǒng) ? 合法用戶即授權(quán)用戶對系統(tǒng)資源的非法使用 第 9章 第 1節(jié) 問題提出 ? 例 1： 學(xué)校的教務(wù)管理系統(tǒng)全校師生都可以使用，但是只有老師可以輸入考試成績，只有學(xué)生可以對教學(xué)質(zhì)量進(jìn)行評價。 例 2： 作為 用戶，執(zhí)行同樣的登錄操作，為什么 服務(wù)器可以識別出有的用戶花了錢晉升為 會員，有的用戶開通了各種鉆，更多的只是普通的 用戶呢？ 例 3： 論壇規(guī)定，發(fā)貼或跟貼必須要先注冊并登錄，而且只有管理員可以刪貼，甚至封貼。 ? 對文件客體來說，典型的訪問就是讀、寫、執(zhí)行和所有；其中所有權(quán)指誰能改變文件的訪問權(quán)。 ? 可以限制訪問主體（或稱為發(fā)起者，是一個主動的實體，如用戶、進(jìn)程、服務(wù)等）對訪問客體（需要保護的資源）的訪問權(quán)限，從而使計算機系統(tǒng)在合法范圍內(nèi)使用。 訪問控制過程 ? 這種控制通過 監(jiān)控器 進(jìn)行，每一次用戶對系統(tǒng)內(nèi)目標(biāo)進(jìn)行訪問時，都由這個監(jiān)控器來進(jìn)行調(diào)節(jié) ? 控制過程： 用戶對系統(tǒng)進(jìn)行訪問時，監(jiān)控器便依據(jù)訪問控制策略，以確定準(zhǔn)備進(jìn)行訪問的用戶是否確實得到了進(jìn)行此項訪問的許可。 ? 身份認(rèn)證可以確保用戶身份的真實、合法和唯一性。只要能夠正確輸入密碼，計算機就認(rèn)為操作者就是合法用戶。它采用一種動態(tài)令牌的專用硬件，內(nèi)置電源、密碼生成芯片和顯示屏，密碼生成芯片運行專門的密碼算法，根據(jù)當(dāng)前時間或使用次數(shù)生成當(dāng)前密碼并顯示。它采用 軟硬件相結(jié)合、一次一密的強雙因子認(rèn)證模式 ，很好地解決了安全性與易用性之間的矛盾。 生物特征是指唯一的可以測量或可自動識別和驗證的生理特征或行為方式 。 ? CA 的作用：是檢查證書持有者身份的合法性，并簽發(fā)證書 (用數(shù)學(xué)方法在證書上簽字 )，以防證書被偽造或篡改。 入網(wǎng)認(rèn)證 安全性要求 口令認(rèn)證方案 無 無口令 低 合法用戶公用口令 中 每個用戶一個單獨的口令 高 要求一次一密，或口令分散 * 系統(tǒng)中不存儲口令的原文 第 9章 第 2節(jié) 入網(wǎng)認(rèn)證 ? 認(rèn)證方式 ? 單向認(rèn)證 ? 雙向認(rèn)證 – 詢問認(rèn)證 –受理的用戶可利用他所知道、而別人不太知道的一些信息向申請用戶提問一系列不大相關(guān)的問題 第 9章 第 2節(jié) 物理隔離措施 ? 物理隔離 ? 物理隔離技術(shù)是一種將內(nèi)外網(wǎng)絡(luò)從物理上斷開，但保持邏輯連接的網(wǎng)絡(luò)安全技術(shù) ? 任何時候內(nèi)外網(wǎng)絡(luò)都不存在連通的物理連接，同時原有的傳輸協(xié)議必須被中斷 ? 邏輯連接指能進(jìn)行適度的數(shù)據(jù)交換 第 9章 第 3節(jié) 物理隔離措施 ? 1999年 12月 29日國家保密局發(fā)布的 《 計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定 》 中第二章第六條規(guī)定 ： ? “涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)相聯(lián)接，必須進(jìn)行物理隔離” 第 9章 第 3節(jié) 網(wǎng)絡(luò)隔離概述 網(wǎng)絡(luò)隔離（ Network Isolation）技術(shù)是網(wǎng)絡(luò)安全技術(shù)的一個大門類。 目前可以采用的隔離方法主要有以下三類： ? 物理隔離：通過一定軟、硬件方法使得訪問內(nèi)、外網(wǎng)的設(shè)備、線路、存儲均相對獨立。雖然物理隔離技術(shù)存在多種隔離方式，但是它們的隔離原理卻基本上一樣。 ? 訪問控制矩陣的 行 對應(yīng)于主體， 列 對應(yīng)于客體；第 i行第 j列的 元素 是訪問權(quán)限的集合，列出了允許主體 si對客體 oj進(jìn)行訪問的權(quán)限。 ? 簡單的解決方法： 將訪問控制矩陣按行或按列進(jìn)行劃分。 ? 訪問控制列表是基于訪問控制矩陣中列的自主訪問控制區(qū)，它在一個客體上附加一個 主體明細(xì)表 來表示各個主體對這個客體的訪問權(quán)限；明細(xì)表中的每一項都包括主體的身份和主體對這個客體的訪問權(quán)限。 訪問控制能力列表 ACCL ? 能力 指訪問請求者所擁有的一個有效標(biāo)簽，它授權(quán)標(biāo)簽的持有者可以按照何種訪問方式訪問特定的客體。 自主訪問控制 ? DAC的訪問類型 (控制模式 ) ? 等級型 ? 有主型（ Owner） ? 自由型（ Laissezfaire） 第 9章 第 4節(jié) 自主訪問控制 ? DAC的優(yōu)點 ? 方便、實用 ? 可由用戶自由定制 ? 可
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1