信息安全身份認(rèn)證和訪問控制講義(編輯修改稿)
2025-03-08 14:24 本頁面
【文章內(nèi)容簡介】 37 ? 缺點 : 訪問控制矩陣中很多單元是空白項 ? 為了減輕系統(tǒng)開銷與浪費 ? 從主體（行）出發(fā)，表示矩陣的某一行的信息 —— 訪問能力表 （ Access Capabilities List） ? 從客體（列）出發(fā)，表示矩陣某一列的信息 —— 訪問控制表 （ Access Control List） 武漢大學(xué)國際軟件學(xué)院 38 ? 能力（ Capability）是受一定機(jī)制保護(hù)的客體標(biāo)志，標(biāo)記了客體以及主體（訪問者）對客體的訪問權(quán)限。 ? 只有當(dāng)一個主體對某個客體擁有訪問的能力時，它才能訪問這個客體。 武漢大學(xué)國際軟件學(xué)院 39 File1 Own R W File3 Own R W File1 R W File2 R File4 Own R W John Bob 武漢大學(xué)國際軟件學(xué)院 40 ? 訪問能力表的優(yōu)點： ? 訪問能力表著眼于某一主體的訪問權(quán)限，以主體的出發(fā)點描述控制信息，因此很容易獲得一個主體所被授權(quán)可以訪問的客體及其權(quán)限。 ? 訪問能力表的缺點： ? 如果要求獲得對某一特定客體有特定權(quán)限的所有主體比較困難。 ? 訪問控制服務(wù)應(yīng)該能夠控制可訪問某一個客體的主體集合，能夠授予或取消主體的訪問權(quán)限。于是出現(xiàn)了以客體為出發(fā)點的實現(xiàn)方式 —— 訪問控制表。 武漢大學(xué)國際軟件學(xué)院 41 ? 訪問控制表（ ACL）對某個指定的資源指定任意一個用戶的權(quán)限，還可以將具有相同權(quán)限的用戶分組，并授予組的訪問權(quán)限 John Own R W Bob R File1 Alice R W 武漢大學(xué)國際軟件學(xué)院 42 ? 訪問控制表的優(yōu)點： ? 訪問控制表（ ACL）表述直觀、易于理解，比較容易查出對某一特定資源擁有訪問權(quán)限的所有用戶，有效地實施授權(quán)管理。 ? 在一些實際應(yīng)用中，還對 ACL進(jìn)行了擴(kuò)展，以進(jìn)一步控制用戶的合法訪問時間，是否需要審計等 ? 訪問控制表的局限：應(yīng)用到網(wǎng)絡(luò)規(guī)模較大、需求復(fù)雜的企業(yè)的內(nèi)部網(wǎng)絡(luò)時 ? 當(dāng)網(wǎng)絡(luò)中資源很多時，需要在 ACL中設(shè)定大量的表項。而且為了實現(xiàn)整個組織范圍內(nèi)的一致的控制策略，需要各管理部門的密切合作。 ? 單純使用 ACL，不易實現(xiàn)最小權(quán)限原則及復(fù)雜的安全政策 武漢大學(xué)國際軟件學(xué)院 43 ? 使用一張表描述主體和客體之間的關(guān)系，可以對表進(jìn)行排序 主體 訪問權(quán)限 客體 John Own File1 John R File1 John W File1 John Own File3 John R File3 John W File3 Alice R File1 …… …… …… 武漢大學(xué)國際軟件學(xué)院 44 ? 身份認(rèn)證的基本概念 ? 身份認(rèn)證機(jī)制 ? 訪問控制的基本概念 ? 訪問控制實現(xiàn)方法 ? 訪問控制策略 主要內(nèi)容 武漢大學(xué)國際軟件學(xué)院 45 訪問控制策略 ? A. 自主訪問控制（ DAC） ? B. 強(qiáng)制訪問控制（ MAC） ? C. 基于角色的訪問控制（ RBAC） DAC MAC RBAC 訪問控制 武漢大學(xué)國際軟件學(xué)院 46 ? 自主訪問控制（ DAC） ? 最早出現(xiàn)在七十年代初期的分時系統(tǒng)中，它是多用戶環(huán)境下最常用的一種訪問控制手段。 ? 用戶可以按自己的意愿對系統(tǒng)參數(shù)做適當(dāng)?shù)男薷模梢詻Q定哪個用戶可以訪問系統(tǒng)資源。 ? DAC有時又被稱為為基于主人的訪問控制 武漢大學(xué)國際軟件學(xué)院 47 自主訪問控制 ? 優(yōu)點 ? 根據(jù)主體的身份及允許訪問的權(quán)限進(jìn)行決策 ? 自主是指具有某種訪問能力的主體能夠自主地將訪問權(quán)的某個子集授予其它主體。 ? 靈活性高，被大量采用， Windows、 UNIX系統(tǒng)采用。 ? 缺點 ? 過于靈活、限制較弱、可能存在安全隱患 ? 如用戶 A把目標(biāo) X的訪問權(quán)賦予了用戶 B，用戶 B可能會把 X訪問權(quán)轉(zhuǎn)賦予用戶 C，而 A可能并不愿意讓 C訪問 X ? 用戶 A把目標(biāo) X的訪問權(quán)賦予了用戶 B，而根據(jù)系統(tǒng)基本安全規(guī)則， B并不能訪問 X。 武漢大學(xué)國際軟件學(xué)院 48 自主訪問控制 —— 基于個人的策略 ? 根據(jù)哪些用戶可對一個目標(biāo)實施哪一種行為的列表來表示。 ? 等價于用一個目標(biāo)的訪問矩陣列來描述 ? 基礎(chǔ) (前提 )：一個隱含的、或者顯式的缺省策略 ? 例如，全部權(quán)限否決 ? 最小特權(quán)原則：要求最大限度地限制每個用戶為實施授權(quán)任務(wù)所需要的許可集合 ? 在不同的環(huán)境下，缺省策略不盡相同，例如，在公開的布告板環(huán)境中，所有用戶都可以得到所有公開的信息 ? 對于特定的用戶，有時候需要提供顯式的否定許可 ? 例如，對于違紀(jì)的內(nèi)部員工，禁止訪問內(nèi)部一些信息 武漢大學(xué)國際軟件學(xué)院 49 自主訪問控制 —— 基于組的策略 ? 一組用戶對于一個目標(biāo)具有同樣的訪問許可。是基于身份的策略的另一種情形 ? 相當(dāng)于，把訪問矩陣中多個行壓縮為一個行。 ? 實際使用時 ? 先定義組的成員 ? 對用戶組授權(quán) ? 同一個組可以被重復(fù)使用 ? 組的成員可以改變 武漢大學(xué)國際軟件學(xué)院 50 ? 強(qiáng)制訪問控制（ MAC） ? 基于規(guī)則的訪問控制，主體和客體分別定義安全等級標(biāo)記，在自主訪問控制的基礎(chǔ)上還必須受到安全標(biāo)記的約束。 ? 安全標(biāo)記是限制在目標(biāo)上的一組安全屬性信息項 。 在訪問控制中 ， 一個安全標(biāo)記隸屬于一個用戶 、 一個目標(biāo) 、 一個訪問請求 。 ? 系統(tǒng)強(qiáng)制主體服從訪問控制策略。主要用于多層次安全級別的軍事應(yīng)用中。 武漢大學(xué)國際軟件學(xué)院 51 強(qiáng)制訪問控制 ? 將主體和客體分級 ? 定義用戶的可信任級別及信息的敏感程度，如，絕密級，機(jī)密級，秘密級，無密級。 ? 根據(jù)主體和客體的級別關(guān)系決定訪問模式 ? 訪問控制關(guān)系分為 ? 上讀
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1