信息安全身份認(rèn)證和訪問(wèn)控制講義(編輯修改稿)
2025-03-08 14:24 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 37 ? 缺點(diǎn) : 訪問(wèn)控制矩陣中很多單元是空白項(xiàng) ? 為了減輕系統(tǒng)開(kāi)銷(xiāo)與浪費(fèi) ? 從主體（行）出發(fā)，表示矩陣的某一行的信息 —— 訪問(wèn)能力表 （ Access Capabilities List） ? 從客體（列）出發(fā)，表示矩陣某一列的信息 —— 訪問(wèn)控制表 （ Access Control List） 武漢大學(xué)國(guó)際軟件學(xué)院 38 ? 能力（ Capability）是受一定機(jī)制保護(hù)的客體標(biāo)志，標(biāo)記了客體以及主體（訪問(wèn)者）對(duì)客體的訪問(wèn)權(quán)限。 ? 只有當(dāng)一個(gè)主體對(duì)某個(gè)客體擁有訪問(wèn)的能力時(shí)，它才能訪問(wèn)這個(gè)客體。 武漢大學(xué)國(guó)際軟件學(xué)院 39 File1 Own R W File3 Own R W File1 R W File2 R File4 Own R W John Bob 武漢大學(xué)國(guó)際軟件學(xué)院 40 ? 訪問(wèn)能力表的優(yōu)點(diǎn)： ? 訪問(wèn)能力表著眼于某一主體的訪問(wèn)權(quán)限，以主體的出發(fā)點(diǎn)描述控制信息，因此很容易獲得一個(gè)主體所被授權(quán)可以訪問(wèn)的客體及其權(quán)限。 ? 訪問(wèn)能力表的缺點(diǎn)： ? 如果要求獲得對(duì)某一特定客體有特定權(quán)限的所有主體比較困難。 ? 訪問(wèn)控制服務(wù)應(yīng)該能夠控制可訪問(wèn)某一個(gè)客體的主體集合，能夠授予或取消主體的訪問(wèn)權(quán)限。于是出現(xiàn)了以客體為出發(fā)點(diǎn)的實(shí)現(xiàn)方式 —— 訪問(wèn)控制表。 武漢大學(xué)國(guó)際軟件學(xué)院 41 ? 訪問(wèn)控制表（ ACL）對(duì)某個(gè)指定的資源指定任意一個(gè)用戶(hù)的權(quán)限，還可以將具有相同權(quán)限的用戶(hù)分組，并授予組的訪問(wèn)權(quán)限 John Own R W Bob R File1 Alice R W 武漢大學(xué)國(guó)際軟件學(xué)院 42 ? 訪問(wèn)控制表的優(yōu)點(diǎn)： ? 訪問(wèn)控制表（ ACL）表述直觀、易于理解，比較容易查出對(duì)某一特定資源擁有訪問(wèn)權(quán)限的所有用戶(hù)，有效地實(shí)施授權(quán)管理。 ? 在一些實(shí)際應(yīng)用中，還對(duì) ACL進(jìn)行了擴(kuò)展，以進(jìn)一步控制用戶(hù)的合法訪問(wèn)時(shí)間，是否需要審計(jì)等 ? 訪問(wèn)控制表的局限：應(yīng)用到網(wǎng)絡(luò)規(guī)模較大、需求復(fù)雜的企業(yè)的內(nèi)部網(wǎng)絡(luò)時(shí) ? 當(dāng)網(wǎng)絡(luò)中資源很多時(shí)，需要在 ACL中設(shè)定大量的表項(xiàng)。而且為了實(shí)現(xiàn)整個(gè)組織范圍內(nèi)的一致的控制策略，需要各管理部門(mén)的密切合作。 ? 單純使用 ACL，不易實(shí)現(xiàn)最小權(quán)限原則及復(fù)雜的安全政策 武漢大學(xué)國(guó)際軟件學(xué)院 43 ? 使用一張表描述主體和客體之間的關(guān)系，可以對(duì)表進(jìn)行排序 主體 訪問(wèn)權(quán)限 客體 John Own File1 John R File1 John W File1 John Own File3 John R File3 John W File3 Alice R File1 …… …… …… 武漢大學(xué)國(guó)際軟件學(xué)院 44 ? 身份認(rèn)證的基本概念 ? 身份認(rèn)證機(jī)制 ? 訪問(wèn)控制的基本概念 ? 訪問(wèn)控制實(shí)現(xiàn)方法 ? 訪問(wèn)控制策略 主要內(nèi)容 武漢大學(xué)國(guó)際軟件學(xué)院 45 訪問(wèn)控制策略 ? A. 自主訪問(wèn)控制（ DAC） ? B. 強(qiáng)制訪問(wèn)控制（ MAC） ? C. 基于角色的訪問(wèn)控制（ RBAC） DAC MAC RBAC 訪問(wèn)控制 武漢大學(xué)國(guó)際軟件學(xué)院 46 ? 自主訪問(wèn)控制（ DAC） ? 最早出現(xiàn)在七十年代初期的分時(shí)系統(tǒng)中，它是多用戶(hù)環(huán)境下最常用的一種訪問(wèn)控制手段。 ? 用戶(hù)可以按自己的意愿對(duì)系統(tǒng)參數(shù)做適當(dāng)?shù)男薷?，可以決定哪個(gè)用戶(hù)可以訪問(wèn)系統(tǒng)資源。 ? DAC有時(shí)又被稱(chēng)為為基于主人的訪問(wèn)控制 武漢大學(xué)國(guó)際軟件學(xué)院 47 自主訪問(wèn)控制 ? 優(yōu)點(diǎn) ? 根據(jù)主體的身份及允許訪問(wèn)的權(quán)限進(jìn)行決策 ? 自主是指具有某種訪問(wèn)能力的主體能夠自主地將訪問(wèn)權(quán)的某個(gè)子集授予其它主體。 ? 靈活性高，被大量采用， Windows、 UNIX系統(tǒng)采用。 ? 缺點(diǎn) ? 過(guò)于靈活、限制較弱、可能存在安全隱患 ? 如用戶(hù) A把目標(biāo) X的訪問(wèn)權(quán)賦予了用戶(hù) B，用戶(hù) B可能會(huì)把 X訪問(wèn)權(quán)轉(zhuǎn)賦予用戶(hù) C，而 A可能并不愿意讓 C訪問(wèn) X ? 用戶(hù) A把目標(biāo) X的訪問(wèn)權(quán)賦予了用戶(hù) B，而根據(jù)系統(tǒng)基本安全規(guī)則， B并不能訪問(wèn) X。 武漢大學(xué)國(guó)際軟件學(xué)院 48 自主訪問(wèn)控制 —— 基于個(gè)人的策略 ? 根據(jù)哪些用戶(hù)可對(duì)一個(gè)目標(biāo)實(shí)施哪一種行為的列表來(lái)表示。 ? 等價(jià)于用一個(gè)目標(biāo)的訪問(wèn)矩陣列來(lái)描述 ? 基礎(chǔ) (前提 )：一個(gè)隱含的、或者顯式的缺省策略 ? 例如，全部權(quán)限否決 ? 最小特權(quán)原則：要求最大限度地限制每個(gè)用戶(hù)為實(shí)施授權(quán)任務(wù)所需要的許可集合 ? 在不同的環(huán)境下，缺省策略不盡相同，例如，在公開(kāi)的布告板環(huán)境中，所有用戶(hù)都可以得到所有公開(kāi)的信息 ? 對(duì)于特定的用戶(hù)，有時(shí)候需要提供顯式的否定許可 ? 例如，對(duì)于違紀(jì)的內(nèi)部員工，禁止訪問(wèn)內(nèi)部一些信息 武漢大學(xué)國(guó)際軟件學(xué)院 49 自主訪問(wèn)控制 —— 基于組的策略 ? 一組用戶(hù)對(duì)于一個(gè)目標(biāo)具有同樣的訪問(wèn)許可。是基于身份的策略的另一種情形 ? 相當(dāng)于，把訪問(wèn)矩陣中多個(gè)行壓縮為一個(gè)行。 ? 實(shí)際使用時(shí) ? 先定義組的成員 ? 對(duì)用戶(hù)組授權(quán) ? 同一個(gè)組可以被重復(fù)使用 ? 組的成員可以改變 武漢大學(xué)國(guó)際軟件學(xué)院 50 ? 強(qiáng)制訪問(wèn)控制（ MAC） ? 基于規(guī)則的訪問(wèn)控制，主體和客體分別定義安全等級(jí)標(biāo)記，在自主訪問(wèn)控制的基礎(chǔ)上還必須受到安全標(biāo)記的約束。 ? 安全標(biāo)記是限制在目標(biāo)上的一組安全屬性信息項(xiàng) 。 在訪問(wèn)控制中 ， 一個(gè)安全標(biāo)記隸屬于一個(gè)用戶(hù) 、 一個(gè)目標(biāo) 、 一個(gè)訪問(wèn)請(qǐng)求 。 ? 系統(tǒng)強(qiáng)制主體服從訪問(wèn)控制策略。主要用于多層次安全級(jí)別的軍事應(yīng)用中。 武漢大學(xué)國(guó)際軟件學(xué)院 51 強(qiáng)制訪問(wèn)控制 ? 將主體和客體分級(jí) ? 定義用戶(hù)的可信任級(jí)別及信息的敏感程度，如，絕密級(jí)，機(jī)密級(jí)，秘密級(jí)，無(wú)密級(jí)。 ? 根據(jù)主體和客體的級(jí)別關(guān)系決定訪問(wèn)模式 ? 訪問(wèn)控制關(guān)系分為 ? 上讀
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1