【新版】信息安全(身份認(rèn)證與授權(quán)控制)-資料下載頁
2024-11-21 23:03本頁面
【正文】 ry *next。 struct acl_entry *pre。 int acl_magic。 int size。 }。 acl_entry *acl_entry_t。,比較結(jié)果,下表是對Windows2000和Linux的安全訪問控制機(jī)制的比較分析：,比較結(jié)果,從上表可以看出，在安全訪問控制機(jī)制上，Linux系統(tǒng)要比Windows2000系統(tǒng)更加健壯有力。而且由于Linux設(shè)計上的公開性，使的這個系統(tǒng)即使在某些方面存在著一些漏洞，也將會很快得到修補(bǔ)。,END,PMI （Privilege Management Infrastructure）,稱特權(quán)管理基礎(chǔ)設(shè)施 l 問題的提出 — 雖已有很多成熟的訪問控制或授權(quán)服務(wù)DAC.ACL.RBAC模型等，但缺乏全面有效的權(quán)限管理平臺。存在權(quán)限管理混亂，影響系統(tǒng)安全； — 由于不同系統(tǒng)采用不同權(quán)限管理策略，增加了系統(tǒng)管理員的負(fù)擔(dān)； — 應(yīng)用開發(fā)復(fù)雜、費(fèi)用增高。 l l PMI的定義 PMI是權(quán)限管理基礎(chǔ)設(shè)施或稱授權(quán)管理基礎(chǔ)設(shè)施。它是屬性證書、屬性權(quán)威、屬性證書庫某部件的集合體，用來實(shí)現(xiàn)權(quán)限和證書的產(chǎn)生、管理、存貯、分發(fā)和撤消等功能。,六、基于PMI的訪問控制, PMI的組成 l 屬性權(quán)威AA（Attribute authority）：用來生成并簽發(fā)屬性證書（Attribute Certificate,即AC）的機(jī)構(gòu)；它負(fù)責(zé)管理屬性證書的整個生命周期； l 屬性證書AC：對于一個褓的權(quán)限的即定是由一個被數(shù)字簽名了的數(shù)據(jù)結(jié)構(gòu)來提供的，這種數(shù)據(jù)結(jié)構(gòu)稱為屬性證書，由屬性權(quán)威簽發(fā)并管理。 AC一般被稱作身份證書PKC（Publickey Certificate） l PMI能夠與PKI和目錄服務(wù)緊密地集成； —— 系統(tǒng)的建立對認(rèn)可用戶的特定授權(quán)； —— 對權(quán)限管理進(jìn)行了系統(tǒng)的定義和描述； —— 提供授權(quán)的完整過程。,3 PMI目標(biāo) 向用戶和應(yīng)用程序提供權(quán)限管理和授權(quán)服務(wù)為目標(biāo)， 訪問控制與審計結(jié)合，對系統(tǒng)中所有的用戶需求和 行為進(jìn)行后驗(yàn)分析，確保被授權(quán)的用戶不濫用其特權(quán)。 PMI功能： l 負(fù)責(zé)向業(yè)務(wù)應(yīng)用系統(tǒng)提供與應(yīng)用相關(guān)的授權(quán)服務(wù)和理； l 提供用戶身份到應(yīng)用授權(quán)的映射功能； l 實(shí)現(xiàn)與實(shí)際應(yīng)相對應(yīng)、與具體應(yīng)用系統(tǒng)開發(fā)和管理 無關(guān)的訪問控制機(jī)制； PKI與PMI的關(guān)系 二者之間的主要區(qū)別：,l PMI主要進(jìn)行授權(quán)管理，證明這個用戶有什么權(quán)限， “你能干什么？” l PKI主要進(jìn)行身份認(rèn)證，即身份識別與鑒別，證明用 戶身份，即“你是誰？” 它們之間的關(guān)系類似于護(hù)照和簽證的關(guān)系 l 相似概念： —— AC PKC —— AA CA —— 根CA SOA,,屬性證書和格式：屬性證書AC：對于一個實(shí)體的權(quán) 限的綁定是由一個被數(shù)字簽名了的數(shù)據(jù)結(jié)構(gòu)來提供的， 這種數(shù)據(jù)結(jié)構(gòu)稱為屬性證書, 由屬性權(quán)威簽發(fā)并管理。 一些應(yīng)用使用屬性證書來提供基于角色的訪問控制。 屬性證書的格式如下： 版本號； 屬性證書的版本號； 持有者； 屬性證書持有者信息。一般是持有者公鑰證書DN和 公鑰證書頒發(fā)者DN的組合）； 頒發(fā)者； 屬性證書的頒發(fā)者信息（一般是頒發(fā)者公鑰證書DN） 簽名算法；,屬性證書的格式（續(xù)）： 屬性證書使用的簽名算法 序列號 屬性證書的序列號 有效期 屬性證書的生效和失效日期 屬性 屬性證書簽發(fā)者對屬性證書的簽名 屬性證書持有者的屬性信息 擴(kuò)展項(xiàng) 定義諸如無撤銷信息、證書頒發(fā)者密鑰標(biāo)識符、 CRL分布點(diǎn)、角色定義證書標(biāo)識符及其他信息。 簽名信息, 屬性證書的特點(diǎn)： l 分立的發(fā)行機(jī)構(gòu)：身份證書與一個或幾個屬性證書 可由不同的機(jī)構(gòu)發(fā)行。 l 存貯介質(zhì)：一般存于磁盤或USBkey中，或系統(tǒng)負(fù)責(zé) 統(tǒng)一管理即不用分發(fā)客戶，由系統(tǒng)托管方便。 l 本地發(fā)放：本地發(fā)放，管理證書架簡，安全措施和 證書發(fā)放手續(xù)簡化，可被系統(tǒng)外安全應(yīng)用。 基于屬性：而不是基于身份進(jìn)行訪問控制。 屬性證書的申請與發(fā)布、撤消、管理與PKI證書類 似。,⑼ 訪問控制抽象模型, PMI訪問控制流程： l 訪問者發(fā)出對某一目標(biāo)的訪問請示，被策略實(shí)施點(diǎn) 截獲； 策略實(shí)施點(diǎn)對請求進(jìn)行處理，據(jù)用戶信息，操作請 求和目標(biāo)形成決策請求，發(fā)給決策點(diǎn)； l 策略決策點(diǎn)根據(jù)用戶權(quán)限，策略規(guī)則對決策請求 進(jìn)行判斷，并將決策結(jié)果返給策略執(zhí)行點(diǎn)，允許/拒絕 l策略執(zhí)行點(diǎn)根據(jù)決策結(jié)果執(zhí)行訪問或拒絕訪問系統(tǒng) 使用流程如下：,使用流程如下：,1應(yīng)用安全抽象模型： 這是一個金盾工程的應(yīng)用安全抽象模型：客戶端與服務(wù) 器端用安全代理軟件proxy。 l 身份認(rèn)證由PKI/CA中心實(shí)現(xiàn)； l 訪問控制由各業(yè)務(wù)應(yīng)用系統(tǒng)統(tǒng)一制定訪問控制策略標(biāo) 準(zhǔn)來執(zhí)行。 如下圖所示：,1應(yīng)用安全抽象模型：,RADIUS的認(rèn)證過程,接入服務(wù)器從用戶那里獲取用戶名，將其同用戶的其他信息（主叫號碼，接入號碼占用端口等）打成RADIUS數(shù)據(jù)包向 RADIUS服務(wù)器發(fā)送。 RADIUS服務(wù)器收到認(rèn)證請求包后，首先查看接入服務(wù)器是否已經(jīng)登記，然后根據(jù)用戶名和口令等信息驗(yàn)證用戶是否合法。如果合法，則將用戶配置信息（用戶類型，IP地址）打包發(fā)送到接入服務(wù)器 接入服務(wù)器收到包時，首先判斷包中的簽名是否正確，如果簽名正確，則接入服務(wù)器接收用戶上網(wǎng)請求，并用收到的信息對用戶進(jìn)行配置、授權(quán),PPP中的認(rèn)證協(xié)議,PPP包含三部分內(nèi)容: 在串行鏈路上封裝數(shù)據(jù)報的方法 建立、配置和測試數(shù)據(jù)鏈路連接的LCP協(xié)議 建立和配置不同網(wǎng)絡(luò)層協(xié)議的一組NCP協(xié)議 在鏈路建立后，進(jìn)入到網(wǎng)絡(luò)層協(xié)議階段前，PPP提供一個可選擇的驗(yàn)證階段。,認(rèn)證方法,秘密驗(yàn)證協(xié)議PAP 挑戰(zhàn)握手認(rèn)證協(xié)議 PPP擴(kuò)展認(rèn)證協(xié)
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1