4身份認(rèn)證和訪(fǎng)問(wèn)控制(武漢大學(xué)國(guó)際軟件學(xué)院信息安全課程)(完整版)
【正文】 關(guān)； ? ? 輸入的口令不再現(xiàn)在終端上； ? ? 使用易記的口令，不要寫(xiě)在紙上。 武漢大學(xué)國(guó)際軟件學(xué)院 18 雙因素動(dòng)態(tài)口令卡 舉例 ? 北京億青創(chuàng)新信息技術(shù)有限公司 易碼通（ EasyPass）動(dòng)態(tài)口令系統(tǒng)。 ? 只有當(dāng)一個(gè)主體對(duì)某個(gè)客體擁有訪(fǎng)問(wèn)的能力時(shí)，它才能訪(fǎng)問(wèn)這個(gè)客體。 ? 單純使用 ACL，不易實(shí)現(xiàn)最小權(quán)限原則及復(fù)雜的安全政策 武漢大學(xué)國(guó)際軟件學(xué)院 43 ? 使用一張表描述主體和客體之間的關(guān)系，可以對(duì)表進(jìn)行排序 主體 訪(fǎng)問(wèn)權(quán)限 客體 John Own File1 John R File1 John W File1 John Own File3 John R File3 John W File3 Alice R File1 …… …… …… 武漢大學(xué)國(guó)際軟件學(xué)院 44 ? 身份認(rèn)證的基本概念 ? 身份認(rèn)證機(jī)制 ? 訪(fǎng)問(wèn)控制的基本概念 ? 訪(fǎng)問(wèn)控制實(shí)現(xiàn)方法 ? 訪(fǎng)問(wèn)控制策略 主要內(nèi)容 武漢大學(xué)國(guó)際軟件學(xué)院 45 訪(fǎng)問(wèn)控制策略 ? A. 自主訪(fǎng)問(wèn)控制（ DAC） ? B. 強(qiáng)制訪(fǎng)問(wèn)控制（ MAC） ? C. 基于角色的訪(fǎng)問(wèn)控制（ RBAC） DAC MAC RBAC 訪(fǎng)問(wèn)控制 武漢大學(xué)國(guó)際軟件學(xué)院 46 ? 自主訪(fǎng)問(wèn)控制（ DAC） ? 最早出現(xiàn)在七十年代初期的分時(shí)系統(tǒng)中，它是多用戶(hù)環(huán)境下最常用的一種訪(fǎng)問(wèn)控制手段。 ? 實(shí)際使用時(shí) ? 先定義組的成員 ? 對(duì)用戶(hù)組授權(quán) ? 同一個(gè)組可以被重復(fù)使用 ? 組的成員可以改變 武漢大學(xué)國(guó)際軟件學(xué)院 50 ? 強(qiáng)制訪(fǎng)問(wèn)控制（ MAC） ? 基于規(guī)則的訪(fǎng)問(wèn)控制，主體和客體分別定義安全等級(jí)標(biāo)記，在自主訪(fǎng)問(wèn)控制的基礎(chǔ)上還必須受到安全標(biāo)記的約束。在訪(fǎng)問(wèn)控制中，一個(gè)安全標(biāo)簽隸屬于一個(gè)用戶(hù)、一個(gè)目標(biāo)、一個(gè)訪(fǎng)問(wèn)請(qǐng)求或傳輸中的一個(gè)訪(fǎng)問(wèn)控制信息。 武漢大學(xué)國(guó)際軟件學(xué)院 59 強(qiáng)制訪(fǎng)問(wèn)控制 ? BLP模型的不足 ? 應(yīng)用領(lǐng)域較窄，使用不靈活，一般只用于軍方等具有明顯等級(jí)觀念的領(lǐng)域 ? 完整性方面控制的不夠好，強(qiáng)調(diào)信息向高安全級(jí)的方向流動(dòng)，對(duì)高安全級(jí)信息的完整性保護(hù)不夠 武漢大學(xué)國(guó)際軟件學(xué)院 60 強(qiáng)制訪(fǎng)問(wèn)控制 ? Biba模型 ? Biba等人于 70年代提出的，它主要是針對(duì)信息完整性保護(hù)方面的。 ? 起源于 UNIX系統(tǒng)等操作系統(tǒng)中組的概念 ? 基于角色的訪(fǎng)問(wèn)控制是一個(gè)復(fù)合的規(guī)則，可以被認(rèn)為是 DAC和 MAC的變體。 2023年 3月 28日星期二 上午 10時(shí) 23分 55秒 10:23: ? 1比不了得就不比，得不到的就不要。 10:23:5510:23:5510:23Tuesday, March 28, 2023 ? 1不知香積寺，數(shù)里入云峰。 10:23:5510:23:5510:233/28/2023 10:23:55 AM ? 1越是沒(méi)有本領(lǐng)的就越加自命不凡。 上午 10時(shí) 23分 55秒 上午 10時(shí) 23分 10:23: MOMODA POWERPOINT Lorem ipsum dolor sit amet, consectetur adipiscing elit. Fusce id urna blandit, eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis ut cursus. 感 謝 您 的 下 載 觀 看 專(zhuān)家告訴 武漢大學(xué)國(guó)際軟件學(xué)院 演講完畢，謝謝觀看！ 。 10:23:5510:23:5510:23Tuesday, March 28, 2023 ? 1知人者智，自知者明。 2023年 3月 28日星期二 上午 10時(shí) 23分 55秒 10:23: ? 1楚塞三湘接，荊門(mén)九派通。 2023年 3月 上午 10時(shí) 23分 :23March 28, 2023 ? 1行動(dòng)出成果，工作出財(cái)富。 ? 基本思路：管理員創(chuàng)建角色，給角色分配權(quán)限，給角色分配用戶(hù)，角色所屬的用戶(hù)可以執(zhí)行相應(yīng)的權(quán)限 武漢大學(xué)國(guó)際軟件學(xué)院 64 基于角色的訪(fǎng)問(wèn)控制 ? 所謂角色，就是一個(gè)或一組用戶(hù)在組織內(nèi)可執(zhí)行的操作的集合 ? 角色由系統(tǒng)管理員定義，角色成員的增減只能由系統(tǒng)管理員執(zhí)行，而且授權(quán)規(guī)定是強(qiáng)加給用戶(hù)的，用戶(hù)只能被動(dòng)接受，用戶(hù)也不能自主的將訪(fǎng)問(wèn)權(quán)限傳給他人，這是一種非自主型訪(fǎng)問(wèn)控制 武漢大學(xué)國(guó)際軟件學(xué)院 65 基于角色的訪(fǎng)問(wèn)控制 ? 每個(gè)角色與一組用戶(hù)和有關(guān)的動(dòng)作相互關(guān)聯(lián)，角色中所屬的用戶(hù)可以有權(quán)執(zhí)行這些操作 ? 角色與組的區(qū)別 ? 組：一組用戶(hù)的集合 ? 角色：一組用戶(hù)的集合 + 一組操作權(quán)限的集合 客體 1 客體 2 客體 3 用戶(hù) 1 用戶(hù) 2 用戶(hù) 3 角色 1 角色 2 權(quán)限 a 權(quán)限 b 權(quán)限 c 權(quán)限 d 武漢大學(xué)國(guó)際軟件學(xué)院 66 基于角色的訪(fǎng)問(wèn)控制 ? 傳統(tǒng)的訪(fǎng)問(wèn)控制機(jī)制直接將訪(fǎng)問(wèn)主體（發(fā)出訪(fǎng)問(wèn)操作、存取要求的主動(dòng)方）和客體（被調(diào)用的程序或欲存取的數(shù)據(jù)訪(fǎng)問(wèn)）相聯(lián)系 ? RBAC在主體和客體中間加入了角色，通過(guò)角色溝通主體和客體 ? RBAC中，用戶(hù)的標(biāo)識(shí)對(duì)于身份認(rèn)證以及審計(jì)記錄非常有用，但真正決定訪(fǎng)問(wèn)權(quán)限的是用戶(hù)對(duì)應(yīng)的角色標(biāo)識(shí) 武漢大學(xué)國(guó)際軟件學(xué)院 67 基于角色的訪(fǎng)問(wèn)控制 ? 與 DAC的區(qū)別 ? 用戶(hù)與客體沒(méi)有直接聯(lián)系，只要通過(guò)角色才享有該角色所對(duì)于的權(quán)限，從而訪(fǎng)問(wèn)相應(yīng)的客體，因此用戶(hù)不能自主地將訪(fǎng)問(wèn)權(quán)限授給別的用戶(hù) ? 與 MAC的區(qū)別 ? MAC是基于多級(jí)安全需求的，但 RBAC不是 ? 在軍事系統(tǒng)中關(guān)心的是防止信息從高安全級(jí)流向低安全級(jí)，即限制“誰(shuí)可以讀 /寫(xiě)什么信息” ? 基于角色控制的系統(tǒng)關(guān)心保護(hù)系統(tǒng)的完整性，即“誰(shuí)可以對(duì)什么信息執(zhí)行何種動(dòng)作” ? 角色控制比較靈活，根據(jù)配置可以使某些角色接近DAC，而某些角色更接近于 MAC 武漢大學(xué)國(guó)際軟件學(xué)院 68 ? 三條安
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1