【新版】信息安全(身份認證與授權控制)-資料下載頁
2025-11-12 23:03本頁面
【正文】 ry *next。 struct acl_entry *pre。 int acl_magic。 int size。 }。 acl_entry *acl_entry_t。,比較結果,下表是對Windows2000和Linux的安全訪問控制機制的比較分析：,比較結果,從上表可以看出，在安全訪問控制機制上，Linux系統(tǒng)要比Windows2000系統(tǒng)更加健壯有力。而且由于Linux設計上的公開性，使的這個系統(tǒng)即使在某些方面存在著一些漏洞，也將會很快得到修補。,END,PMI （Privilege Management Infrastructure）,稱特權管理基礎設施 l 問題的提出 — 雖已有很多成熟的訪問控制或授權服務DAC.ACL.RBAC模型等，但缺乏全面有效的權限管理平臺。存在權限管理混亂，影響系統(tǒng)安全； — 由于不同系統(tǒng)采用不同權限管理策略，增加了系統(tǒng)管理員的負擔； — 應用開發(fā)復雜、費用增高。 l l PMI的定義 PMI是權限管理基礎設施或稱授權管理基礎設施。它是屬性證書、屬性權威、屬性證書庫某部件的集合體，用來實現權限和證書的產生、管理、存貯、分發(fā)和撤消等功能。,六、基于PMI的訪問控制, PMI的組成 l 屬性權威AA（Attribute authority）：用來生成并簽發(fā)屬性證書（Attribute Certificate,即AC）的機構；它負責管理屬性證書的整個生命周期； l 屬性證書AC：對于一個褓的權限的即定是由一個被數字簽名了的數據結構來提供的，這種數據結構稱為屬性證書，由屬性權威簽發(fā)并管理。 AC一般被稱作身份證書PKC（Publickey Certificate） l PMI能夠與PKI和目錄服務緊密地集成； —— 系統(tǒng)的建立對認可用戶的特定授權； —— 對權限管理進行了系統(tǒng)的定義和描述； —— 提供授權的完整過程。,3 PMI目標 向用戶和應用程序提供權限管理和授權服務為目標， 訪問控制與審計結合，對系統(tǒng)中所有的用戶需求和 行為進行后驗分析，確保被授權的用戶不濫用其特權。 PMI功能： l 負責向業(yè)務應用系統(tǒng)提供與應用相關的授權服務和理； l 提供用戶身份到應用授權的映射功能； l 實現與實際應相對應、與具體應用系統(tǒng)開發(fā)和管理 無關的訪問控制機制； PKI與PMI的關系 二者之間的主要區(qū)別：,l PMI主要進行授權管理，證明這個用戶有什么權限， “你能干什么？” l PKI主要進行身份認證，即身份識別與鑒別，證明用 戶身份，即“你是誰？” 它們之間的關系類似于護照和簽證的關系 l 相似概念： —— AC PKC —— AA CA —— 根CA SOA,,屬性證書和格式：屬性證書AC：對于一個實體的權 限的綁定是由一個被數字簽名了的數據結構來提供的， 這種數據結構稱為屬性證書, 由屬性權威簽發(fā)并管理。 一些應用使用屬性證書來提供基于角色的訪問控制。 屬性證書的格式如下： 版本號； 屬性證書的版本號； 持有者； 屬性證書持有者信息。一般是持有者公鑰證書DN和 公鑰證書頒發(fā)者DN的組合）； 頒發(fā)者； 屬性證書的頒發(fā)者信息（一般是頒發(fā)者公鑰證書DN） 簽名算法；,屬性證書的格式（續(xù)）： 屬性證書使用的簽名算法 序列號 屬性證書的序列號 有效期 屬性證書的生效和失效日期 屬性 屬性證書簽發(fā)者對屬性證書的簽名 屬性證書持有者的屬性信息 擴展項 定義諸如無撤銷信息、證書頒發(fā)者密鑰標識符、 CRL分布點、角色定義證書標識符及其他信息。 簽名信息, 屬性證書的特點： l 分立的發(fā)行機構：身份證書與一個或幾個屬性證書 可由不同的機構發(fā)行。 l 存貯介質：一般存于磁盤或USBkey中，或系統(tǒng)負責 統(tǒng)一管理即不用分發(fā)客戶，由系統(tǒng)托管方便。 l 本地發(fā)放：本地發(fā)放，管理證書架簡，安全措施和 證書發(fā)放手續(xù)簡化，可被系統(tǒng)外安全應用。 基于屬性：而不是基于身份進行訪問控制。 屬性證書的申請與發(fā)布、撤消、管理與PKI證書類 似。,⑼ 訪問控制抽象模型, PMI訪問控制流程： l 訪問者發(fā)出對某一目標的訪問請示，被策略實施點 截獲； 策略實施點對請求進行處理，據用戶信息，操作請 求和目標形成決策請求，發(fā)給決策點； l 策略決策點根據用戶權限，策略規(guī)則對決策請求 進行判斷，并將決策結果返給策略執(zhí)行點，允許/拒絕 l策略執(zhí)行點根據決策結果執(zhí)行訪問或拒絕訪問系統(tǒng) 使用流程如下：,使用流程如下：,1應用安全抽象模型： 這是一個金盾工程的應用安全抽象模型：客戶端與服務 器端用安全代理軟件proxy。 l 身份認證由PKI/CA中心實現； l 訪問控制由各業(yè)務應用系統(tǒng)統(tǒng)一制定訪問控制策略標 準來執(zhí)行。 如下圖所示：,1應用安全抽象模型：,RADIUS的認證過程,接入服務器從用戶那里獲取用戶名，將其同用戶的其他信息（主叫號碼，接入號碼占用端口等）打成RADIUS數據包向 RADIUS服務器發(fā)送。 RADIUS服務器收到認證請求包后，首先查看接入服務器是否已經登記，然后根據用戶名和口令等信息驗證用戶是否合法。如果合法，則將用戶配置信息（用戶類型，IP地址）打包發(fā)送到接入服務器 接入服務器收到包時，首先判斷包中的簽名是否正確，如果簽名正確，則接入服務器接收用戶上網請求，并用收到的信息對用戶進行配置、授權,PPP中的認證協(xié)議,PPP包含三部分內容: 在串行鏈路上封裝數據報的方法 建立、配置和測試數據鏈路連接的LCP協(xié)議 建立和配置不同網絡層協(xié)議的一組NCP協(xié)議 在鏈路建立后，進入到網絡層協(xié)議階段前，PPP提供一個可選擇的驗證階段。,認證方法,秘密驗證協(xié)議PAP 挑戰(zhàn)握手認證協(xié)議 PPP擴展認證協(xié)
畢業(yè)設計相關推薦
鄂ICP備17016276號-1