4-3身份與訪問安全——訪問控制-wenkub
2024-10-24 19 本頁面
【正文】 作的主動發(fā)起者，但不一定是動作的執(zhí)行者。2024/10/20,信息安全案例教程：技術與應用,1,4.4 訪問控制,用戶認證解決的是：“你是誰？你是否真的是你所聲稱的身份？” 訪問控制技術解決的是“你能做什么？你有什么樣的權限？”。 客體(Object)：通常是指信息的載體或從其他主體或客體接收信息的實體。 引用監(jiān)視器借助訪問數據庫控制主體到客體的每一次訪問，并將重要的安全事件記入審計文件中。 安全內核是實現引用監(jiān)視器概念的一種技術。,2024/10/20,信息安全案例教程：技術與應用,6,4.4 訪問控制 4.4.1 訪問控制基本概念,3．基本的訪問控制模型 （1）訪問控制矩陣(Access Control Matrix，ACM) 訪問控制矩陣模型的基本思想就是將所有的訪問控制信息存儲在一個矩陣中集中管理。,2024/10/20,信息安全案例教程：技術與應用,8,4.4 訪問控制 4.4.1 訪問控制基本概念,3．基本的訪問控制模型 （3）能力表 能力表保護機制實際上是按訪問控制矩陣的行實施對系統(tǒng)中客體的訪問控制。 人們可能更關注第2個問題，因此，現今大多數主流的操作系統(tǒng)都把ACL作為主要的訪問控制機制。 訪問控制表ACL、能力表是實現DAC策略的基本數據結構 在DAC模式下，有3種控制許可權手段：層次型、屬主型和自由型。,2024/10/20,信息安全案例教程：技術與應用,12,4.4 訪問控制 4.4.3 強制訪問控制,強制訪問控制最早出現在20世紀70年代。 2）范疇集(Categories)。 安全級的集合形成一個滿足偏序關系的格(Lattice)，此偏序關系稱為支配(Dominate)，通常用符號“”表示，它類似于“大于或等于”的含義。該安全級別能夠反映該主體或客體的敏感等級和訪問權限，并把它以標簽的形式和這個主體或客體緊密相連而無法分開。即使是系統(tǒng)安全管理員修改、授予或撤銷主體對某客體的訪問權的管理工作也要受到嚴格的審核與監(jiān)控。 規(guī)則2：不能向下寫(NoWriteDown)，也稱為*特性。 Biba模型只能夠實現信息完整性中防止數據被未授權用戶修改這一要求。將關鍵功能分為由兩個或多個主體完成，防止已授權用戶進行未授權的修改。比如在某個領域有兩個競爭對手同時選擇了一個投資銀行作為他們的服務機構，而這個銀行出于對這兩個客戶的商業(yè)機密的保護就只能為其中一個客戶提供服務。 當用戶機構或權限發(fā)生變動時，可以很靈活地將該用戶從一個角色移到另一個角色來實現權限的協調轉換，降低了管理的復雜度，另外在組織機構發(fā)生職能性改變時，應用系統(tǒng)只需要對角色進行重新授權或取消某些權限，就可以使系統(tǒng)重新適應需要。 RBAC與DAC的根本區(qū)別在于：用戶不能自主地將訪問權限授給別的用戶。即需要驗證對方的屬性(授權)信息，這個用戶有什么權限、什么屬性、能進行哪方面的操作、不能進行哪方面的操作。 但是，將用戶的身份信息和授權信息捆綁在一起管理存在以下幾個方面的問題。 只有那些身份和屬性生命周期相同，而且CA同時兼任屬性管理功能的情況下，可以使用公鑰證書來承載屬性。 與PKI信任技術相比，兩者的區(qū)別主要在于PKI證明用戶是誰；而PMI證明這個用戶有什么權限、什么屬性，并將用戶的屬性信息保存在屬性證書。這包括兩個方面的含義：首先，PMI保證用戶獲取他們有權獲取的信息、做他們有權限進行的操作；其次，PMI應能提供跨應用、跨系統(tǒng)、跨企業(yè)、跨安全域的用戶屬性的管理和交互手段。,2024/10/20,信息安全案例教程：技術與應用,30,4.4 訪問控
畢業(yè)設計相關推薦
鄂ICP備17016276號-1