網(wǎng)絡(luò)安全9-訪問控制技術(shù)-免費(fèi)閱讀
【正文】 ? 用戶與角色的多對(duì)多關(guān)系： 同一個(gè)用戶可以是扮演多個(gè)角色， 比如 一個(gè)用戶可以是老師，同時(shí)也可以作為進(jìn)修的學(xué)生；同樣，一個(gè)角色可以擁有多個(gè)用戶成員， 比如 老師、學(xué)生以及教務(wù)處管理人員都可以有多個(gè)。 ? 與 MAC和 DAC將權(quán)限直接授予用戶的方式不同 ， RBAC從控制主體的角度出發(fā)，根據(jù)管理中相對(duì)穩(wěn)定的職權(quán)和責(zé)任來劃分角色，將訪問權(quán)限與角色相聯(lián)系；通過給用戶分配合適的角色，讓用戶與訪問權(quán)限相聯(lián)系。 ? 具體實(shí)現(xiàn)時(shí)，每個(gè)用戶及文件都被賦予一定的 安全級(jí)別 ，用戶不能改變自身或任何客體的安全級(jí)別， 只有系統(tǒng)管理員可以確定用戶和組的訪問權(quán)限 。 訪問控制列表 ACL ? 例如， 前面訪問控制矩陣實(shí)例對(duì)應(yīng)的訪問控制列表如下所示： acl (） = { (Bob, {擁有 })， (Alice, {寫 })， (John, {讀、寫 }))} acl (） = { (Bob, {讀、寫 })， (Alice, {擁有 }) } acl (） = { (Bob, {執(zhí)行 })，（ Alice, {執(zhí)行 })， (John, {擁有 }))} 訪問控制列表 ACL ? 優(yōu)點(diǎn)： 實(shí)現(xiàn)簡(jiǎn)單、實(shí)用，大多數(shù) PC、服務(wù)器和主機(jī)都使用 ACL作為訪問控制的實(shí)現(xiàn)機(jī)制。 自主訪問控制 ? 訪問控制矩陣 第 9章 第 4節(jié) 訪問控制矩陣 ? 訪問控制矩陣實(shí)例如下圖所示： 客體 主體 Bob 擁有 讀、寫 執(zhí)行 Alice 寫 擁有 執(zhí)行 John 讀、寫 擁有 訪問控制矩陣 ? 訪問控制的任務(wù) 就是確保系統(tǒng)的操作是按照訪問控制矩陣授權(quán)的訪問來執(zhí)行。 ? 網(wǎng)絡(luò)隔離：利用協(xié)議轉(zhuǎn)換進(jìn)行網(wǎng)間的數(shù)據(jù)交換。網(wǎng)絡(luò)身份證的發(fā)放、管理和認(rèn)證就是一個(gè)復(fù)雜的過程，也就是 CA認(rèn)證。 ? USB Key內(nèi)置單片機(jī)或智能卡芯片，可以存儲(chǔ)用戶的密鑰或數(shù)字證書，利用 USB Key內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。 2. 智能卡認(rèn)證 ? 智能卡是一種內(nèi)置集成的電路芯片，芯片中存有與用戶身份相關(guān)的數(shù)據(jù)，智能卡由專門的廠商通過專門的設(shè)備生產(chǎn)，是不可復(fù)制的硬件。 訪問控制過程 ? 嚴(yán)格區(qū)分身份認(rèn)證和訪問控制很重要！ ? 原因： 正確建立用戶的身份是認(rèn)證服務(wù)的責(zé)任，而訪問控制則假定在通過監(jiān)控器實(shí)施訪問控制前，用戶的身份就已經(jīng)得到了驗(yàn)證；因而，訪問控制的有效性取決于用戶的正確識(shí)別，同時(shí)也取決于監(jiān)控器正確的控制。 ? 訪問控制策略（ access control policy） ? 主體對(duì)客體的訪問規(guī)則集，這個(gè)規(guī)則集直接定義了主體對(duì)客體的作用行為和客體對(duì)主體的條件約束。網(wǎng)絡(luò)安全 劉敏賢 副教授 西南科技大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 第 9章 訪問控制技術(shù) ? 本章的主要內(nèi)容是對(duì)入網(wǎng)訪問控制、物理隔離、自主訪問控制和強(qiáng)制訪問控制等技術(shù)的實(shí)現(xiàn)原理進(jìn)行了詳細(xì)的論述，并介紹了一些新型訪問控制技術(shù)。 ? 體現(xiàn)了一種授權(quán)行為，也就是客體對(duì)主體的權(quán)限允許，這種允許不能超越規(guī)則集。 訪問控制技術(shù)概述 ? 訪問控制是從計(jì)算機(jī)系統(tǒng)的處理能力方面對(duì)信息提供保護(hù) ? 它按照事先確定的規(guī)則決定主體對(duì)客體的訪問是否合法 ? 當(dāng)一主體試圖非法使用一個(gè)未經(jīng)授權(quán)的資源時(shí)，訪問控制機(jī)制將拒絕這一企圖，并將這一事件報(bào)告給審計(jì)跟蹤系統(tǒng) ? 審計(jì)跟蹤系統(tǒng)將給出報(bào)警，并記入日志檔案 訪問控制技術(shù)概述 ? 網(wǎng)絡(luò)的訪問主要采用基于爭(zhēng)用和定時(shí)兩種方法 ? 基于爭(zhēng)用的方法意味著網(wǎng)上所有站點(diǎn)按先來先服務(wù)原則爭(zhēng)用帶寬 ? 對(duì)網(wǎng)絡(luò)的訪問控制是為了防止非法用戶進(jìn)入系統(tǒng)和合法用戶對(duì)系統(tǒng)的非法使用 ? 訪問控制要對(duì)訪問的申請(qǐng)、批準(zhǔn)和撤消的全過程進(jìn)行有效的控制 第 9章 第 1節(jié) 訪問控制技術(shù)概述 ? 訪問控制的內(nèi)容包括 ? 用戶身份的識(shí)別和認(rèn)證 ? 對(duì)訪問的控制 ? 授權(quán) 、確定訪問權(quán)限 、實(shí)施訪問權(quán)限 ? 附加控制 ? 除了對(duì)直接的訪問進(jìn)行控制外，還應(yīng)對(duì)信息的流動(dòng)和推理攻擊施加控制 ? 審計(jì)跟蹤 ? 對(duì)用戶使用何種系統(tǒng)資源、使用的時(shí)間、執(zhí)行的操作等問題進(jìn)行完整的記錄，以備非法事件發(fā)生后能進(jìn)行有效的追查 第 9章 第 1節(jié) 訪問控制技術(shù)概述 ? 訪問控制的類型 ? 自主訪問控制（ DAC） ? 用戶可以按自己的意愿對(duì)系統(tǒng)參數(shù)做適當(dāng)?shù)男薷模梢詻Q定哪個(gè)用戶可以訪問系統(tǒng)資源 ? 強(qiáng)制訪問控制（ MAC） ? 用戶和資源都是一個(gè)固定的安全屬性，系統(tǒng)利用安全屬性來決定一個(gè)用戶是否可以訪問某個(gè)資源 ? 由于強(qiáng)制訪問控制的安全屬性是固定的，因此用戶或用戶程序不能修改安全屬性 ? 基于角色的訪問控制 第 9章 第 1節(jié) 入網(wǎng)認(rèn)證 ? 入網(wǎng)認(rèn)證即入網(wǎng)訪問控制。 ? 智能卡由合法用戶隨身攜帶，登錄時(shí)必須將智能卡插入專用的讀卡器讀取其中的信息，以驗(yàn)證用戶的身份。 ? 基于 USB Key身份認(rèn)證系統(tǒng)主要有兩種應(yīng)用模式 ：一是基于沖擊 /響應(yīng)的認(rèn)證模式，二是基于 PKI體系的認(rèn)證模式。 ? CA職能 ? 管理和維護(hù)客戶的證書和證書作廢表 ? 維護(hù)自身的安全 ? 提供安全審計(jì)的依據(jù) 入網(wǎng)認(rèn)證 ? 身份認(rèn)證的評(píng)價(jià)標(biāo)準(zhǔn) ? 可行性 ? 認(rèn)證強(qiáng)度 ? 認(rèn)證粒度 ? 認(rèn)證數(shù)據(jù)正確 ? 不同協(xié)議間的適應(yīng)性 第 9章 第 2節(jié) 入網(wǎng)認(rèn)證 ? 身份認(rèn)證的評(píng)價(jià)標(biāo)準(zhǔn) ? 可行性 ? 從用戶的觀點(diǎn)看，認(rèn)證方法應(yīng)該提高用戶訪問應(yīng)用的效率，減少多余的交互認(rèn)證過程，提供一次性認(rèn)證 ? 另外所有用戶可訪問的資源應(yīng)該提供友好的界面給用戶訪問 第 9章 第 2節(jié) 入網(wǎng)認(rèn)證 ? 身份認(rèn)證的評(píng)價(jià)標(biāo)準(zhǔn) ? 認(rèn)證強(qiáng)度 ? 認(rèn)證強(qiáng)度取決于采用的算法的復(fù)雜度以及密鑰的長(zhǎng)度 ? 采用更復(fù)雜的算法，更長(zhǎng)的
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1