【正文】 對于一個給定的客體，要確定所有有權(quán)訪問它的主體、用戶生成一個新的客體并對其授權(quán)、或刪除一個客體時都比較復(fù)雜。 老師、學(xué)生及教務(wù)處管理人員 分別對應(yīng)一個角色。 基于角色的訪問控制 RBAC ? 角色可以看做是 一組操作的集合 ，不同的角色具有不同的操作集，這些操作集由 系統(tǒng)管理員 定義，角色成員的增減也只能由系統(tǒng)管理員來執(zhí)行，即只有系統(tǒng)管理員有權(quán)定義和分配角色。 ? 缺點： 如訪問控制列表太大或經(jīng)常改變，那么維護訪問控制列表就成為一個問題。 2. 網(wǎng)絡(luò)隔離技術(shù)的發(fā)展歷程 到目前為止，整個網(wǎng)絡(luò)隔離技術(shù)的發(fā)展經(jīng)歷了以下五代： ? 第一代隔離技術(shù) —— 完全的隔離 ? 第二代隔離技術(shù) —— 硬件卡隔離 ? 第三代隔離技術(shù) —— 網(wǎng)絡(luò)協(xié)議隔離 ? 第四代隔離技術(shù) —— 空氣開關(guān)網(wǎng)閘隔離 ? 第五代隔離技術(shù) —— 安全網(wǎng)閘隔離 物理隔離原理 物理隔離技術(shù)的指導(dǎo)思想與防火墻有很大的不同：防火墻的思路是在保障互連互通的前提下，盡可能安全，而物理隔離的思路是在保證必須安全的前提下，盡可能互連互通。 ? 例：工行、建行（見備注） 身份認證技術(shù)方法 ? 目前，計算機及網(wǎng)絡(luò)系統(tǒng)中常用的身份認證方式主要有以下幾種： 5. 生物識別技術(shù) ? 生物識別技術(shù)主要是指通過可測量的身體或行為等生物特征進行身份認證的一種技術(shù)。它為網(wǎng)絡(luò)訪問提供了第一層訪問控制 ? 入網(wǎng)認證控制哪些用戶能夠登錄到服務(wù)器并獲得網(wǎng)絡(luò)資源，也控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站入網(wǎng) ? 入網(wǎng)認證實質(zhì)上就是對用戶的身份進行認證 第 9章 第 2節(jié) 入網(wǎng)認證 ? 身份認證 ? 身份認證過程指的是當用戶試圖訪問資源的時候，系統(tǒng)確定用戶的身份是否真實的過程 ? 認證對所有需要安全的服務(wù)來說是至關(guān)重要的，因為認證是訪問控制執(zhí)行的前提，是判斷用戶是否有權(quán)訪問信息的先決條件，同時也為日后追究責(zé)任提供不可抵賴的證據(jù) 第 9章 第 2節(jié) 身份認證的概念 身份認證的作用 ? 身份認證與鑒別是信息安全中的 第一道 防線 ，是保證計算機網(wǎng)絡(luò)系統(tǒng)安全的重要措施之一 ,對信息系統(tǒng)的安全有著重要的意義。 第 9章 訪問控制技術(shù) ? 訪問控制技術(shù)概述 ? 入網(wǎng)認證 ? 物理隔離措施 ? 自主訪問控制 ? 強制訪問控制 ? 新型訪問控制技術(shù) 第 9章 訪問控制技術(shù) ? 要保證計算機系統(tǒng)實體的安全，必須對計算機系統(tǒng)的訪問進行控制 ? 訪問控制的基本任務(wù) ? 防止非法用戶即未授權(quán)用戶進入系統(tǒng) ? 合法用戶即授權(quán)用戶對系統(tǒng)資源的非法使用 第 9章 第 1節(jié) 問題提出 ? 例 1： 學(xué)校的教務(wù)管理系統(tǒng)全校師生都可以使用，但是只有老師可以輸入考試成績，只有學(xué)生可以對教學(xué)質(zhì)量進行評價。 訪問控制過程 ? 這種控制通過 監(jiān)控器 進行，每一次用戶對系統(tǒng)內(nèi)目標進行訪問時，都由這個監(jiān)控器來進行調(diào)節(jié) ? 控制過程： 用戶對系統(tǒng)進行訪問時，監(jiān)控器便依據(jù)訪問控制策略，以確定準備進行訪問的用戶是否確實得到了進行此項訪問的許可。它采用 軟硬件相結(jié)合、一次一密的強雙因子認證模式 ，很好地解決了安全性與易用性之間的矛盾。 目前可以采用的隔離方法主要有以下三類： ? 物理隔離：通過一定軟、硬件方法使得訪問內(nèi)、外網(wǎng)的設(shè)備、線路、存儲均相對獨立。 ? 訪問控制列表是基于訪問控制矩陣中列的自主訪問控制區(qū)，它在一個客體上附加一個 主體明細表 來表示各個主體對這個客體的訪問權(quán)限；明細表中的每一項都包括主體的身份和主體對這個客體的訪問權(quán)限。即主體只能從上讀，而不能從下讀 第 9章 第 5節(jié) Biba模型安全策略 新型訪問控制技術(shù) ? 基于角色的訪問控制技術(shù) ? RBAC（ RoleBased Access Control） ? NIST（ National Institute of Standard Technology） ? 基于任務(wù)的訪問控制技術(shù) ? TBAC （ TaskBased Access Control） ? 基于組機制的訪問控制技術(shù) ? … 第 9章 第 6節(jié) 新型訪問控制技術(shù) ? 四種 RBAC模型 ? 基本模型 RBAC0 ? 角色的層次結(jié)構(gòu) RBAC1 ? 約束模型 RBAC2 ? 混合模型 RBAC3 第 9章 第 6節(jié) 基于角色的訪問控制 RBAC ? Rolebased Access Control， RBAC ? 基本思想 : 將訪問許可權(quán)分配給一定的角色，用戶通過飾演不同的角色獲得角色所擁有的訪問許可權(quán)。 新型訪問控制技術(shù) ? 基本模型 RBAC0 ? 四個基本要素 ? 用戶（ User） ? 角色（ Role） ? 會話（ Session） ? 授權(quán)（ Permission） 第 9章 第 6節(jié) 新型訪問控制技術(shù) ? 四種 RBAC模型 ? 角色的層次結(jié)構(gòu) RBAC1 ? RBAC1的特征是為 RBAC0上引入了角色層次的概念 ? 約束模型 RBAC2 ? RBAC2除了繼承 RBAC0的原有特征外，還引入了約束（ Constraints）的概念 ? 互斥角色（ Mutually Exclusion Roles） ? 基數(shù)約束（ Cardinality Constraints） ? 先決條件角色 ? 運行時約束 第 9章 第 6節(jié) 新型訪問控制技術(shù) ? RBAC模型的優(yōu)點 ? 一種策略無關(guān)的訪問控制技術(shù) ? 具有自管理的能力 ? 使得安全管理更貼近應(yīng)用領(lǐng)域的機構(gòu)或組織的實際情況 ? RBAC模型的不足 ? 復(fù)雜、不成熟 ? RBAC的策略無關(guān)性需要用戶自己定義適合本領(lǐng)域的安全策略 第 9章 第 6節(jié) 第 9章 訪問控制技術(shù) ? 訪問控制技術(shù)概述 ? 入網(wǎng)認證 ? 物理隔離措施 ? 自主訪問控制 ? 強制訪問控制 ? 新型訪問控制技術(shù)