【正文】 具有安全級(jí)別的信息資源，只有安全級(jí)別比他高的主體才能夠訪問(wèn)。也就是說(shuō)，為了達(dá)到一定目的，主體必須執(zhí)行一定操作，但他只能做他所被允許做的，其它除外。而且，管理權(quán)限的委托代理是角色訪問(wèn)控制管理的重要特點(diǎn)，在以上的兩種訪問(wèn)控制的管理策略中都不存在。 ? 所屬權(quán)管理 ：如果一個(gè)用戶是一個(gè)客體的所有者 ， 則該用戶可以對(duì)其它用戶訪問(wèn)該客體進(jìn)行授權(quán)訪問(wèn)和授權(quán)撤消 。 – 因此，強(qiáng)制訪問(wèn)控制的管理策略是比較簡(jiǎn)單的，只有安全管理員能夠改變主體和客體的安全級(jí)別。 ? 便于任務(wù)分擔(dān) ， 不同的角色完成不同的任務(wù) 。 一個(gè)基于角色的訪問(wèn)控制的實(shí)例 ? 在銀行環(huán)境中，用戶角色可以定義為 出納員、分行管理者、顧客、系統(tǒng)管理者和審計(jì)員 ? 訪問(wèn)控制策略的一個(gè)例子如下： （ 1）允許一個(gè)出納員修改顧客的帳號(hào)記錄（包括存款和取款、轉(zhuǎn)帳等），并允許查詢所有帳號(hào)的注冊(cè)項(xiàng) （ 2）允許一個(gè)分行管理者修改顧客的帳號(hào)記錄（包括存款和取款，但不包括規(guī)定的資金數(shù)目的范圍）并允許查詢所有帳號(hào)的注冊(cè)項(xiàng)，也允許創(chuàng)建和終止帳號(hào) （ 3）允許一個(gè)顧客只詢問(wèn)他自己的帳號(hào)的注冊(cè)項(xiàng) （ 4）允許系統(tǒng)的管理者詢問(wèn)系統(tǒng)的注冊(cè)項(xiàng)和開(kāi)關(guān)系統(tǒng)，但不允許讀或修改用戶的帳號(hào)信息 （ 5）允許一個(gè)審計(jì)員讀系統(tǒng)中的任何數(shù)據(jù)，但不允許修改任何事情 RBAC與傳統(tǒng)訪問(wèn)控制的差別 ? 增加一層間接性帶來(lái)了靈活性 RBAC的優(yōu)勢(shì) ? 便于授權(quán)管理 ， 如系統(tǒng)管理員需要修改系統(tǒng)設(shè)置等內(nèi)容時(shí) ， 必須有幾個(gè)不同角色的用戶到場(chǎng)方能操作 ， 從而保證了安全性 。同樣，一個(gè)角色可以擁有多個(gè)用戶成員，這與現(xiàn)實(shí)是一致的， ? 一個(gè)人可以在同一部門(mén)中擔(dān)任多種職務(wù)，而且擔(dān)任相同職務(wù)的可能不止一人。 ? 用戶在一定的部門(mén)中具有一定的角色，其所執(zhí)行的操作與其所扮演的角色的職能相匹配，這正是基于角色的訪問(wèn)控制（ RBAC）的根本特征，即：依據(jù) RBAC策略，系統(tǒng)定義了各種角色，每種角色可以完成一定的職能，不同的用戶根據(jù)其職能和責(zé)任被賦予相應(yīng)的角色，一旦某個(gè)用戶成為某角色的成員，則此用戶可以完成該角色所具有的職能。角色成為訪問(wèn)控制中訪問(wèn)主體和受控對(duì)象之間的一座橋梁。一個(gè)身份被分配給一個(gè)被授權(quán)的組。 ? 等價(jià)于用一個(gè)目標(biāo)的訪問(wèn)矩陣列來(lái)描述 ? 基礎(chǔ) (前提 )：一個(gè)隱含的、或者顯式的缺省策略 –例如，全部權(quán)限否決 –最小特權(quán)原則：要求最大限度地限制每個(gè)用戶為實(shí)施授權(quán)任務(wù)所需要的許可集合 –在不同的環(huán)境下，缺省策略不盡相同，例如，在公開(kāi)的布告板環(huán)境中，所有用戶都可以得到所有公開(kāi)的信息 –對(duì)于特定的用戶，有時(shí)候需要提供顯式的否定許可 ?例如，對(duì)于違紀(jì)的內(nèi)部員工，禁止訪問(wèn)內(nèi)部一些信息 基于組的策略 ? 一組用戶對(duì)于一個(gè)目標(biāo)具有同樣的訪問(wèn)許可。但在強(qiáng)制策略系統(tǒng)中，高安全等級(jí)數(shù)據(jù)傳播到低安全等級(jí)是受到限制的。 ? 表示形式： – 用戶 Profile，由于客體相當(dāng)多，分類(lèi)復(fù)雜，不便于授權(quán)管理 – 授權(quán)證書(shū)，屬性證書(shū) ? 從能力表得到一個(gè)主體所有的訪問(wèn)權(quán)限，很容易 ? 從能力表瀏覽一個(gè)客體所允許的訪問(wèn)控制權(quán)限，很困難 O1 R W O2 R O5 R W E Si 訪問(wèn)控制表 (Access Control List) ? 訪問(wèn)控制表與客體關(guān)聯(lián)，規(guī)定能夠訪問(wèn)它的主體和權(quán)限 ? 由于主體數(shù)量一般比客體少得多而且容易分組，授權(quán)管理相對(duì)簡(jiǎn)單 ? 得到一個(gè)客體所有的訪問(wèn)權(quán)限，很容易 ? 瀏覽一個(gè)主體的所有訪問(wèn)權(quán)限，很困難 S1 R W S2 R S5 R W E Oj 授權(quán)信息 訪問(wèn)控制與其他安全機(jī)制的關(guān)系 ?認(rèn)證、授權(quán)、審計(jì)（ AAA） Log 身份認(rèn)證 訪問(wèn)控制 審 計(jì) 授權(quán)（ authorization） 主體 客體 訪問(wèn)控制與其他安全機(jī)制的關(guān)系 ? 身分認(rèn)證 – 身份認(rèn)證是訪問(wèn)控制的前提 ? 保密性 – 限制用戶對(duì)數(shù)據(jù)的訪問(wèn) (讀取操作 ),可以實(shí)現(xiàn)數(shù)據(jù)保密服務(wù) ? 完整性 – 限制用戶對(duì)數(shù)據(jù)的修改 (寫(xiě)操作 ), 實(shí)現(xiàn)數(shù)據(jù)完整性保護(hù) ? 可用性 – 限制用戶對(duì)資源的使用量，保證系統(tǒng)的可用性 ? 安全管理相關(guān)的活動(dòng) – 訪問(wèn)控制功能通常和審計(jì)、入侵檢測(cè)聯(lián)系在一起 訪問(wèn)控制政策模型 ?自主型訪問(wèn)控制 (DAC) ?強(qiáng)制型訪問(wèn)控制 (MAC) ?基于角色的訪問(wèn)控制 (RBAC) 自主 訪問(wèn)控制 強(qiáng)制 訪問(wèn)控制 基于角色 訪問(wèn)控制 訪問(wèn)控制 訪問(wèn)控制的一般策略 自主型訪問(wèn)控制政策 ? Discretionary Access Control , DAC ?每個(gè)客體有一個(gè)屬主，屬主可以按照自己的意愿把客體的訪問(wèn)控制權(quán)限授予其他主體 ? DAC是一種分布式授權(quán)管理的模式 ?控制靈活，易于管理，是目前應(yīng)用最為普遍的訪問(wèn)控制政策 自主型訪問(wèn)控制 (DAC) ? 無(wú)法控制信息流動(dòng) –信息在移動(dòng)過(guò)程中其訪問(wèn)權(quán)限關(guān)系會(huì)被改變。 ? 客體 (Object ) –含有被訪問(wèn)資源的被動(dòng)實(shí)體，如網(wǎng)絡(luò)、計(jì)算機(jī)、數(shù)據(jù)庫(kù)、文件、目錄、計(jì)算機(jī)程序、 外設(shè)、網(wǎng)絡(luò)。 ? 訪問(wèn)控制規(guī)定了主體對(duì)客體訪問(wèn)的限制，并在身份識(shí)別的基礎(chǔ)上，根據(jù)身份對(duì)提出資源訪問(wèn)的請(qǐng)求加以控制。并且，如果人們按照手指，做一個(gè)指紋手模，也可能通過(guò)識(shí)別系統(tǒng)，對(duì)于用戶而言，這具有不安全性。９０年代后期，低價(jià)位取像設(shè)備的出現(xiàn)，為個(gè)人身份識(shí)別技術(shù)的發(fā)展提供了舞臺(tái)。這個(gè)有關(guān)指紋 唯一性和終身不變性 的研究成果在指紋鑒別犯罪中得到正式應(yīng)用。 ? 面部掃描 –人都有不同的骨骼結(jié)構(gòu)，鼻梁，眼眶，額頭和下顎形狀。 –服務(wù)器及動(dòng)態(tài)口令系統(tǒng)必須隨時(shí)保持相同的變動(dòng)因子，才能算出相同的動(dòng)態(tài)密碼 基于動(dòng)態(tài)口令的身份認(rèn)證 ?質(zhì)詢 /響應(yīng)認(rèn)證 （ Challenge/Response） ?一次性口令（ OTP） 質(zhì)詢 /響應(yīng)認(rèn)證協(xié)議 ? Challenge and Response Handshake Protocol ? Client和 Server共享一個(gè)密鑰 Login ,IDc IDc, R IDc, MAC c MAC=H(R,K) s MAC’=H(R,K) 比較 MAC’和 MAC OK / Disconnect MAC的計(jì)算可以基于 Hash算 , 對(duì)稱(chēng)密鑰算法，公開(kāi)密鑰算法 一次性口令認(rèn)證（ OTP） ? S/Key ? Se