信息安全身份認證和訪問控制講義(編輯修改稿)
2025-03-08 14:24 本頁面
【文章內(nèi)容簡介】 37 ? 缺點 : 訪問控制矩陣中很多單元是空白項 ? 為了減輕系統(tǒng)開銷與浪費 ? 從主體（行）出發(fā)，表示矩陣的某一行的信息 —— 訪問能力表 （ Access Capabilities List） ? 從客體（列）出發(fā)，表示矩陣某一列的信息 —— 訪問控制表 （ Access Control List） 武漢大學國際軟件學院 38 ? 能力（ Capability）是受一定機制保護的客體標志，標記了客體以及主體（訪問者）對客體的訪問權限。 ? 只有當一個主體對某個客體擁有訪問的能力時，它才能訪問這個客體。 武漢大學國際軟件學院 39 File1 Own R W File3 Own R W File1 R W File2 R File4 Own R W John Bob 武漢大學國際軟件學院 40 ? 訪問能力表的優(yōu)點： ? 訪問能力表著眼于某一主體的訪問權限，以主體的出發(fā)點描述控制信息，因此很容易獲得一個主體所被授權可以訪問的客體及其權限。 ? 訪問能力表的缺點： ? 如果要求獲得對某一特定客體有特定權限的所有主體比較困難。 ? 訪問控制服務應該能夠控制可訪問某一個客體的主體集合，能夠授予或取消主體的訪問權限。于是出現(xiàn)了以客體為出發(fā)點的實現(xiàn)方式 —— 訪問控制表。 武漢大學國際軟件學院 41 ? 訪問控制表（ ACL）對某個指定的資源指定任意一個用戶的權限，還可以將具有相同權限的用戶分組，并授予組的訪問權限 John Own R W Bob R File1 Alice R W 武漢大學國際軟件學院 42 ? 訪問控制表的優(yōu)點： ? 訪問控制表（ ACL）表述直觀、易于理解，比較容易查出對某一特定資源擁有訪問權限的所有用戶，有效地實施授權管理。 ? 在一些實際應用中，還對 ACL進行了擴展，以進一步控制用戶的合法訪問時間，是否需要審計等 ? 訪問控制表的局限：應用到網(wǎng)絡規(guī)模較大、需求復雜的企業(yè)的內(nèi)部網(wǎng)絡時 ? 當網(wǎng)絡中資源很多時，需要在 ACL中設定大量的表項。而且為了實現(xiàn)整個組織范圍內(nèi)的一致的控制策略，需要各管理部門的密切合作。 ? 單純使用 ACL，不易實現(xiàn)最小權限原則及復雜的安全政策 武漢大學國際軟件學院 43 ? 使用一張表描述主體和客體之間的關系，可以對表進行排序 主體 訪問權限 客體 John Own File1 John R File1 John W File1 John Own File3 John R File3 John W File3 Alice R File1 …… …… …… 武漢大學國際軟件學院 44 ? 身份認證的基本概念 ? 身份認證機制 ? 訪問控制的基本概念 ? 訪問控制實現(xiàn)方法 ? 訪問控制策略 主要內(nèi)容 武漢大學國際軟件學院 45 訪問控制策略 ? A. 自主訪問控制（ DAC） ? B. 強制訪問控制（ MAC） ? C. 基于角色的訪問控制（ RBAC） DAC MAC RBAC 訪問控制 武漢大學國際軟件學院 46 ? 自主訪問控制（ DAC） ? 最早出現(xiàn)在七十年代初期的分時系統(tǒng)中，它是多用戶環(huán)境下最常用的一種訪問控制手段。 ? 用戶可以按自己的意愿對系統(tǒng)參數(shù)做適當?shù)男薷?，可以決定哪個用戶可以訪問系統(tǒng)資源。 ? DAC有時又被稱為為基于主人的訪問控制 武漢大學國際軟件學院 47 自主訪問控制 ? 優(yōu)點 ? 根據(jù)主體的身份及允許訪問的權限進行決策 ? 自主是指具有某種訪問能力的主體能夠自主地將訪問權的某個子集授予其它主體。 ? 靈活性高，被大量采用， Windows、 UNIX系統(tǒng)采用。 ? 缺點 ? 過于靈活、限制較弱、可能存在安全隱患 ? 如用戶 A把目標 X的訪問權賦予了用戶 B，用戶 B可能會把 X訪問權轉賦予用戶 C，而 A可能并不愿意讓 C訪問 X ? 用戶 A把目標 X的訪問權賦予了用戶 B，而根據(jù)系統(tǒng)基本安全規(guī)則， B并不能訪問 X。 武漢大學國際軟件學院 48 自主訪問控制 —— 基于個人的策略 ? 根據(jù)哪些用戶可對一個目標實施哪一種行為的列表來表示。 ? 等價于用一個目標的訪問矩陣列來描述 ? 基礎 (前提 )：一個隱含的、或者顯式的缺省策略 ? 例如，全部權限否決 ? 最小特權原則：要求最大限度地限制每個用戶為實施授權任務所需要的許可集合 ? 在不同的環(huán)境下，缺省策略不盡相同，例如，在公開的布告板環(huán)境中，所有用戶都可以得到所有公開的信息 ? 對于特定的用戶，有時候需要提供顯式的否定許可 ? 例如，對于違紀的內(nèi)部員工，禁止訪問內(nèi)部一些信息 武漢大學國際軟件學院 49 自主訪問控制 —— 基于組的策略 ? 一組用戶對于一個目標具有同樣的訪問許可。是基于身份的策略的另一種情形 ? 相當于，把訪問矩陣中多個行壓縮為一個行。 ? 實際使用時 ? 先定義組的成員 ? 對用戶組授權 ? 同一個組可以被重復使用 ? 組的成員可以改變 武漢大學國際軟件學院 50 ? 強制訪問控制（ MAC） ? 基于規(guī)則的訪問控制，主體和客體分別定義安全等級標記，在自主訪問控制的基礎上還必須受到安全標記的約束。 ? 安全標記是限制在目標上的一組安全屬性信息項 。 在訪問控制中 ， 一個安全標記隸屬于一個用戶 、 一個目標 、 一個訪問請求 。 ? 系統(tǒng)強制主體服從訪問控制策略。主要用于多層次安全級別的軍事應用中。 武漢大學國際軟件學院 51 強制訪問控制 ? 將主體和客體分級 ? 定義用戶的可信任級別及信息的敏感程度，如，絕密級，機密級，秘密級，無密級。 ? 根據(jù)主體和客體的級別關系決定訪問模式 ? 訪問控制關系分為 ? 上讀
教學課件相關推薦
鄂ICP備17016276號-1