【正文】 關； ? ? 輸入的口令不再現(xiàn)在終端上； ? ? 使用易記的口令，不要寫在紙上。 武漢大學國際軟件學院 18 雙因素動態(tài)口令卡 舉例 ? 北京億青創(chuàng)新信息技術有限公司 易碼通（ EasyPass）動態(tài)口令系統(tǒng)。 ? 只有當一個主體對某個客體擁有訪問的能力時，它才能訪問這個客體。 ? 單純使用 ACL，不易實現(xiàn)最小權限原則及復雜的安全政策 武漢大學國際軟件學院 43 ? 使用一張表描述主體和客體之間的關系，可以對表進行排序 主體 訪問權限 客體 John Own File1 John R File1 John W File1 John Own File3 John R File3 John W File3 Alice R File1 …… …… …… 武漢大學國際軟件學院 44 ? 身份認證的基本概念 ? 身份認證機制 ? 訪問控制的基本概念 ? 訪問控制實現(xiàn)方法 ? 訪問控制策略 主要內容 武漢大學國際軟件學院 45 訪問控制策略 ? A. 自主訪問控制（ DAC） ? B. 強制訪問控制（ MAC） ? C. 基于角色的訪問控制（ RBAC） DAC MAC RBAC 訪問控制 武漢大學國際軟件學院 46 ? 自主訪問控制（ DAC） ? 最早出現(xiàn)在七十年代初期的分時系統(tǒng)中，它是多用戶環(huán)境下最常用的一種訪問控制手段。 ? 實際使用時 ? 先定義組的成員 ? 對用戶組授權 ? 同一個組可以被重復使用 ? 組的成員可以改變 武漢大學國際軟件學院 50 ? 強制訪問控制（ MAC） ? 基于規(guī)則的訪問控制，主體和客體分別定義安全等級標記，在自主訪問控制的基礎上還必須受到安全標記的約束。在訪問控制中，一個安全標簽隸屬于一個用戶、一個目標、一個訪問請求或傳輸中的一個訪問控制信息。 武漢大學國際軟件學院 59 強制訪問控制 ? BLP模型的不足 ? 應用領域較窄，使用不靈活，一般只用于軍方等具有明顯等級觀念的領域 ? 完整性方面控制的不夠好，強調信息向高安全級的方向流動，對高安全級信息的完整性保護不夠 武漢大學國際軟件學院 60 強制訪問控制 ? Biba模型 ? Biba等人于 70年代提出的，它主要是針對信息完整性保護方面的。 ? 起源于 UNIX系統(tǒng)等操作系統(tǒng)中組的概念 ? 基于角色的訪問控制是一個復合的規(guī)則，可以被認為是 DAC和 MAC的變體。 2023年 3月 28日星期二 上午 10時 23分 55秒 10:23: ? 1比不了得就不比，得不到的就不要。 10:23:5510:23:5510:23Tuesday, March 28, 2023 ? 1不知香積寺，數(shù)里入云峰。 10:23:5510:23:5510:233/28/2023 10:23:55 AM ? 1越是沒有本領的就越加自命不凡。 上午 10時 23分 55秒 上午 10時 23分 10:23: MOMODA POWERPOINT Lorem ipsum dolor sit amet, consectetur adipiscing elit. Fusce id urna blandit, eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis ut cursus. 感 謝 您 的 下 載 觀 看 專家告訴 武漢大學國際軟件學院 演講完畢，謝謝觀看！ 。 10:23:5510:23:5510:23Tuesday, March 28, 2023 ? 1知人者智，自知者明。 2023年 3月 28日星期二 上午 10時 23分 55秒 10:23: ? 1楚塞三湘接，荊門九派通。 2023年 3月 上午 10時 23分 :23March 28, 2023 ? 1行動出成果，工作出財富。 ? 基本思路：管理員創(chuàng)建角色，給角色分配權限，給角色分配用戶，角色所屬的用戶可以執(zhí)行相應的權限 武漢大學國際軟件學院 64 基于角色的訪問控制 ? 所謂角色，就是一個或一組用戶在組織內可執(zhí)行的操作的集合 ? 角色由系統(tǒng)管理員定義，角色成員的增減只能由系統(tǒng)管理員執(zhí)行，而且授權規(guī)定是強加給用戶的，用戶只能被動接受，用戶也不能自主的將訪問權限傳給他人，這是一種非自主型訪問控制 武漢大學國際軟件學院 65 基于角色的訪問控制 ? 每個角色與一組用戶和有關的動作相互關聯(lián)，角色中所屬的用戶可以有權執(zhí)行這些操作 ? 角色與組的區(qū)別 ? 組：一組用戶的集合 ? 角色：一組用戶的集合 + 一組操作權限的集合 客體 1 客體 2 客體 3 用戶 1 用戶 2 用戶 3 角色 1 角色 2 權限 a 權限 b 權限 c 權限 d 武漢大學國際軟件學院 66 基于角色的訪問控制 ? 傳統(tǒng)的訪問控制機制直接將訪問主體（發(fā)出訪問操作、存取要求的主動方）和客體（被調用的程序或欲存取的數(shù)據(jù)訪問）相聯(lián)系 ? RBAC在主體和客體中間加入了角色，通過角色溝通主體和客體 ? RBAC中，用戶的標識對于身份認證以及審計記錄非常有用，但真正決定訪問權限的是用戶對應的角色標識 武漢大學國際軟件學院 67 基于角色的訪問控制 ? 與 DAC的區(qū)別 ? 用戶與客體沒有直接聯(lián)系，只要通過角色才享有該角色所對于的權限，從而訪問相應的客體，因此用戶不能自主地將訪問權限授給別的用戶 ? 與 MAC的區(qū)別 ? MAC是基于多級安全需求的，但 RBAC不是 ? 在軍事系統(tǒng)中關心的是防止信息從高安全級流向低安全級，即限制“誰可以讀 /寫什么信息” ? 基于角色控制的系統(tǒng)關心保護系統(tǒng)的完整性，即“誰可以對什么信息執(zhí)行何種動作” ? 角色控制比較靈活，根據(jù)配置可以使某些角色接近DAC，而某些角色更接近于 MAC 武漢大學國際軟件學院 68 ? 三條安