4身份認證和訪問控制(武漢大學國際軟件學院信息安全課程)-wenkub
2023-03-28 10:54:32 本頁面
【正文】 單機或網(wǎng)絡應用的安全防護產(chǎn)品。如網(wǎng)泰金安信息技術(shù)公司、北京億青創(chuàng)新信息技術(shù)有限公司、 四川安盟電子信息安全有限公司 等。 ? 對于每個用戶，系統(tǒng)將帳戶和散列值對存儲在一個口令文件中，當用戶輸入口令 x，系統(tǒng)計算其散列值 H(x)，然后將該值與口令文件中相應的散列值比較，若相同則允許登錄。 ? 口令或通行字機制是最廣泛研究和使用的身份鑒別法。 ? （ 1）安全 ? （ 2）易用 武漢大學國際軟件學院 6 身份認證分類 ? 身份認證可以是單向的也可以是雙向的。 武漢大學國際軟件學院 5 身份認證分類 ? 身份認證可以分為本地和遠程兩類。 ? 身份認證是最重要的安全服務之一。實體的身份認證服務提供了關(guān)于某個實體身份的保證。 ? 本地身份認證 （單機環(huán)境）：實體在本地環(huán)境的初始化鑒別（就是說，作為實體個人，和設備物理接觸，不和網(wǎng)絡中的其他設備通信）。 ? 單向認證 是指通信雙方中只有一方向另一方進行鑒別。 ? 口令系統(tǒng)有許多脆弱點 ? 外部泄露 ? 口令猜測 ? 線路竊聽 ? 重放 武漢大學國際軟件學院 11 對付外部泄露的措施 ? ? 教育、培訓； ? ? 嚴格組織管理辦法和執(zhí)行手續(xù)； ? ? 口令定期改變； ? ? 每個口令只與一個人有關(guān)； ? ? 輸入的口令不再現(xiàn)在終端上； ? ? 使用易記的口令，不要寫在紙上。 ? 安全性僅依賴于口令 武漢大學國際軟件學院 15 ? 近似的強鑒別 （ towards strong authentication) ? 一次性口令機制確保在每次認證中所使用的口令不同，以對付重放攻擊。 武漢大學國際軟件學院 18 雙因素動態(tài)口令卡 舉例 ? 北京億青創(chuàng)新信息技術(shù)有限公司 易碼通（ EasyPass）動態(tài)口令系統(tǒng)。其安全保護措施與智能卡相似。 ? 只有當一個主體對某個客體擁有訪問的能力時，它才能訪問這個客體。于是出現(xiàn)了以客體為出發(fā)點的實現(xiàn)方式 —— 訪問控制表。 ? 單純使用 ACL，不易實現(xiàn)最小權(quán)限原則及復雜的安全政策 武漢大學國際軟件學院 43 ? 使用一張表描述主體和客體之間的關(guān)系，可以對表進行排序 主體 訪問權(quán)限 客體 John Own File1 John R File1 John W File1 John Own File3 John R File3 John W File3 Alice R File1 …… …… …… 武漢大學國際軟件學院 44 ? 身份認證的基本概念 ? 身份認證機制 ? 訪問控制的基本概念 ? 訪問控制實現(xiàn)方法 ? 訪問控制策略 主要內(nèi)容 武漢大學國際軟件學院 45 訪問控制策略 ? A. 自主訪問控制（ DAC） ? B. 強制訪問控制（ MAC） ? C. 基于角色的訪問控制（ RBAC） DAC MAC RBAC 訪問控制 武漢大學國際軟件學院 46 ? 自主訪問控制（ DAC） ? 最早出現(xiàn)在七十年代初期的分時系統(tǒng)中，它是多用戶環(huán)境下最常用的一種訪問控制手段。 ? 缺點 ? 過于靈活、限制較弱、可能存在安全隱患 ? 如用戶 A把目標 X的訪問權(quán)賦予了用戶 B，用戶 B可能會把 X訪問權(quán)轉(zhuǎn)賦予用戶 C，而 A可能并不愿意讓 C訪問 X ? 用戶 A把目標 X的訪問權(quán)賦予了用戶 B，而根據(jù)系統(tǒng)基本安全規(guī)則， B并不能訪問 X。 ? 實際使用時 ? 先定義組的成員 ? 對用戶組授權(quán) ? 同一個組可以被重復使用 ? 組的成員可以改變 武漢大學國際軟件學院 50 ? 強制訪問控制（ MAC） ? 基于規(guī)則的訪問控制，主體和客體分別定義安全等級標記，在自主訪問控制的基礎上還必須受到安全標記的約束。主要用于多層次安全級別的軍事應用中。在訪問控制中，一個安全標簽隸屬于一個用戶、一個目標、一個訪問請求或傳輸中的一個訪問控制信息。構(gòu)成一偏序關(guān)系 ≤ ? BellLaPadula：保證保密性 ? Biba：保證完整性 武漢大學國際軟件學院 54 強制訪問控制 ? BellLaPadula模型（ BLP模型） ? 安全屬性用二元組表示（密級，類別集合） ? 密級集合為 {絕密，機密，秘密，無密 }，且絕密 機密 秘密 無密 ? 類別集合是系統(tǒng)中非分層元素集合中的一個子集，具體的元素依賴于所考慮的環(huán)境和應用領(lǐng)域 ? 安全屬性的集合滿足偏序關(guān)系 ? 為每個用戶分配一個安全屬性，為每個客體也分配一個安全屬性 武漢大學國際軟件學院 55 強制訪問控制 ? BellLaPadula模型中主體對客體訪問的兩個規(guī)則 ? 簡單安全原則 ：僅當主體的敏感級不低于客體敏感級且主體的類別集合包含客體時，才允許該主體讀該客體。 武漢大學國際軟件學院 59 強制訪問控制 ? BLP模型的不足 ? 應用領(lǐng)域較窄，使用不靈活，一般只用于軍方等具有明顯等級觀念的領(lǐng)域 ? 完整性方面控制的不夠好，強調(diào)信息向高安全級的方向流動，對高安全級信息的完整性保護不夠 武漢大學國際軟件學院 60 強制訪問控制 ? Biba模型 ? Biba等人于 70年代提出的，它主要是針對信息完整性保護方面的。 ? 完整性制約規(guī)則（星規(guī)則） 。 ? 起源于 UNIX系統(tǒng)等操作系統(tǒng)中組的概念 ? 基于角色的訪問控制是一個復合的規(guī)則，可以被認為是 DAC和 MAC的變體。 10:23:5510:23:5510:233/28/2023 10:23:55 AM ? 1以我獨沈久，愧君相見頻。 2023年 3月 28日星期二 上午 10時 23分 55秒 10:23: ? 1比不了得就不比，得不到的就不要。 上午 10時 23分 55秒 上午 10時 23分 10:23: ? 沒有失敗，只有暫時停止成功！。 10:23:5510:23:5510:23Tuesday, Ma
教學課件相關(guān)推薦
鄂ICP備17016276號-1