4身份認(rèn)證和訪問控制(武漢大學(xué)國際軟件學(xué)院信息安全課程)(文件)
【正文】 rch 28, 2023 ? 1不知香積寺，數(shù)里入云峰。 2023年 3月 上午 10時 23分 :23March 28, 2023 ? 1少年十五二十時，步行奪得胡馬騎。 10:23:5510:23:5510:233/28/2023 10:23:55 AM ? 1越是沒有本領(lǐng)的就越加自命不凡。 :23:5510:23:55March 28, 2023 ? 1意志堅強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 上午 10時 23分 55秒 上午 10時 23分 10:23: MOMODA POWERPOINT Lorem ipsum dolor sit amet, consectetur adipiscing elit. Fusce id urna blandit, eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis ut cursus. 感 謝 您 的 下 載 觀 看 專家告訴 武漢大學(xué)國際軟件學(xué)院 演講完畢，謝謝觀看！ 。 2023年 3月 上午 10時 23分 :23March 28, 2023 ? 1業(yè)余生活要有意義，不要越軌。 10:23:5510:23:5510:23Tuesday, March 28, 2023 ? 1知人者智，自知者明。 上午 10時 23分 55秒 上午 10時 23分 10:23: ? 楊柳散和風(fēng)，青山澹吾慮。 2023年 3月 28日星期二 上午 10時 23分 55秒 10:23: ? 1楚塞三湘接，荊門九派通。 10:23:5510:23:5510:233/28/2023 10:23:55 AM ? 1成功就是日復(fù)一日那一點(diǎn)點(diǎn)小小努力的積累。 2023年 3月 上午 10時 23分 :23March 28, 2023 ? 1行動出成果，工作出財富。 10:23:5510:23:5510:23Tuesday, March 28, 2023 ? 1乍見翻疑夢，相悲各問年。 ? 基本思路：管理員創(chuàng)建角色，給角色分配權(quán)限，給角色分配用戶，角色所屬的用戶可以執(zhí)行相應(yīng)的權(quán)限 武漢大學(xué)國際軟件學(xué)院 64 基于角色的訪問控制 ? 所謂角色，就是一個或一組用戶在組織內(nèi)可執(zhí)行的操作的集合 ? 角色由系統(tǒng)管理員定義，角色成員的增減只能由系統(tǒng)管理員執(zhí)行，而且授權(quán)規(guī)定是強(qiáng)加給用戶的，用戶只能被動接受，用戶也不能自主的將訪問權(quán)限傳給他人，這是一種非自主型訪問控制 武漢大學(xué)國際軟件學(xué)院 65 基于角色的訪問控制 ? 每個角色與一組用戶和有關(guān)的動作相互關(guān)聯(lián)，角色中所屬的用戶可以有權(quán)執(zhí)行這些操作 ? 角色與組的區(qū)別 ? 組：一組用戶的集合 ? 角色：一組用戶的集合 + 一組操作權(quán)限的集合 客體 1 客體 2 客體 3 用戶 1 用戶 2 用戶 3 角色 1 角色 2 權(quán)限 a 權(quán)限 b 權(quán)限 c 權(quán)限 d 武漢大學(xué)國際軟件學(xué)院 66 基于角色的訪問控制 ? 傳統(tǒng)的訪問控制機(jī)制直接將訪問主體（發(fā)出訪問操作、存取要求的主動方）和客體（被調(diào)用的程序或欲存取的數(shù)據(jù)訪問）相聯(lián)系 ? RBAC在主體和客體中間加入了角色，通過角色溝通主體和客體 ? RBAC中，用戶的標(biāo)識對于身份認(rèn)證以及審計記錄非常有用，但真正決定訪問權(quán)限的是用戶對應(yīng)的角色標(biāo)識 武漢大學(xué)國際軟件學(xué)院 67 基于角色的訪問控制 ? 與 DAC的區(qū)別 ? 用戶與客體沒有直接聯(lián)系，只要通過角色才享有該角色所對于的權(quán)限，從而訪問相應(yīng)的客體，因此用戶不能自主地將訪問權(quán)限授給別的用戶 ? 與 MAC的區(qū)別 ? MAC是基于多級安全需求的，但 RBAC不是 ? 在軍事系統(tǒng)中關(guān)心的是防止信息從高安全級流向低安全級，即限制“誰可以讀 /寫什么信息” ? 基于角色控制的系統(tǒng)關(guān)心保護(hù)系統(tǒng)的完整性，即“誰可以對什么信息執(zhí)行何種動作” ? 角色控制比較靈活，根據(jù)配置可以使某些角色接近DAC，而某些角色更接近于 MAC 武漢大學(xué)國際軟件學(xué)院 68 ? 三條安全原則 : ? 最小權(quán)限：用戶所擁有的權(quán)利不能超過他執(zhí)行工作時所需的權(quán)限 ? 責(zé)任分離：多個互斥的角色合作完成重要工作 ? 數(shù)據(jù)抽象：可以定義抽象的權(quán)限，而不僅僅是操作系統(tǒng)中的讀、寫、執(zhí)行等 基于角色的訪問控制 武漢大學(xué)國際軟件學(xué)院 69 ? 優(yōu)勢 ? 便于授權(quán)管理 ? 便于角色劃分 ? 便于賦予最小權(quán)限原則 ? 便于職責(zé)分離 ? 便于客體分類 基于角色的訪問控制 武漢大學(xué)國際軟件學(xué)院 ? 靜夜四無鄰，荒居舊業(yè)貧。即主體只能從 上讀 ，而不能從下讀。僅當(dāng)主體的完整級大于等于客體的完整級且主體的類別集合包含客體的類別集時，才允許該主體寫該客體。即主體只能寫等于或高于它的客體。 在處理一個訪問請求時，目標(biāo)環(huán)境比較請求上的標(biāo)簽和目標(biāo)上的標(biāo)簽，應(yīng)用策略規(guī)則（如Bell Lapadula規(guī)則）決定是允許還是拒絕訪問。 ? 根據(jù)主體和客體的級別關(guān)系決定訪問模式 ? 訪問控制關(guān)系分為 ? 上讀 /下寫（完整性） ? 下讀 /上寫（保密性） ? 通過梯度安全標(biāo)簽實(shí)現(xiàn)單向信息流通模式。 在訪問控制中 ， 一個安全標(biāo)記隸屬于一個用戶 、 一個目標(biāo) 、 一個訪問請求 。 ? 等價于用一個目標(biāo)的訪問矩陣列來描述 ? 基礎(chǔ) (前提 )：一個隱含的、或者顯式的缺省策略 ? 例如，全部權(quán)限否決 ? 最小特權(quán)原則：要求最大限度地限制每個用戶為實(shí)施授權(quán)任務(wù)所需要的許可集合 ? 在不同的環(huán)境下，缺省策略不盡相同，例如，在公開的布告板環(huán)境中，所有用戶都可以得到所有公開的信息 ? 對于特定的用戶，有時候需要提供顯式的否定許可 ? 例如，對于違紀(jì)的內(nèi)部員工，禁止訪問內(nèi)部一些信息 武漢大學(xué)國際軟件學(xué)院 49 自主訪問控制 —— 基于組的策略 ? 一組用戶對于一個目標(biāo)具有同樣的訪問許可。 ? DAC有時又被稱為為基于主人的訪問控制 武漢大學(xué)國際軟件學(xué)院 47 自主訪問控制 ? 優(yōu)點(diǎn) ? 根據(jù)主體的身份及允許訪問的權(quán)限進(jìn)行決策 ? 自主是指具有某種訪問能力的主體能夠自主地將訪問權(quán)的某個
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1