信息安全原理與技術(shù)ch06身份認(rèn)證與訪問控制-wenkub.com
2025-01-15 09:23 本頁面
【正文】 ? 基于角色的訪問控制可以靈活地支持企業(yè)的安全策略，并對企業(yè)的變化有很大的伸縮性。 2022/2/8 Ch6身份認(rèn)證與訪問控制 53 ?可設(shè)計如下的訪問策略： (1)允許系統(tǒng)管理員查詢系統(tǒng)信息和開關(guān)系統(tǒng) ， 但不允許讀或修改學(xué)生的信息； (2)允許一個學(xué)生查詢自己的信息 ， 但不能查詢其它任何信息或修改任何信息； (3)允許老師查詢所有學(xué)生的信息 ， 但只能在規(guī)定的時間和范圍內(nèi)的修改學(xué)生信息； … 2022/2/8 Ch6身份認(rèn)證與訪問控制 54 基于角色的訪問控制方法的特點(diǎn) ? 由于基于角色的訪問控制不需要對用戶一個一個的進(jìn)行授權(quán)，而是通過對某個角色授權(quán)，來實現(xiàn)對一組用戶的授權(quán)，因此簡化了系統(tǒng)的授權(quán)機(jī)制。 2022/2/8 Ch6身份認(rèn)證與訪問控制 52 例如在一個學(xué)校管理系統(tǒng)中 ， 可以定義校長 、 院長 、 系統(tǒng)管理員 、 學(xué)生 、 老師 、 處長 、 會計 、 出納員等角色 。當(dāng)一個用戶激活他所有角色的一個子集的時候，建立一個 session。 基于角色的訪問控制 （ Role Based Access Control） 方法 的基本思想 2022/2/8 Ch6身份認(rèn)證與訪問控制 50 RBAC的基本概念 ? 許可 (Privilege， 也叫權(quán)限 )： 就是允許對一個或多個客體執(zhí)行操作。 (RBAC) 傳統(tǒng)的訪問控制方法中，都是由主體和訪問權(quán)限直接發(fā)生關(guān)系，主要針對用戶個人授予權(quán)限，主體始終是和特定的實體捆綁對應(yīng)的。 強(qiáng)制訪問控制 (MAC) 圖 63 強(qiáng)制訪問控制示例 2022/2/8 Ch6身份認(rèn)證與訪問控制 45 例如，某單位部分行政機(jī)構(gòu)如下 圖 ： 校長人事處教務(wù)處職工科退休科檔案科財務(wù)處設(shè)備處教學(xué)行政科教學(xué)研究科財務(wù)一科財務(wù)二科進(jìn)出口科實驗室管理科設(shè)備科工作人員工作人員2022/2/8 Ch6身份認(rèn)證與訪問控制 46 假設(shè)計算機(jī)系統(tǒng)中的數(shù)據(jù)的密級為： 一般＜秘密＜機(jī)密＜絕密 定義校長的安全級 C校長 ＝ （ 絕密 ， {人事處 ,教務(wù)處 ,財務(wù)處 ,設(shè)備處 }） ， （ 即校長的密級為絕密 ， 部門屬性為所有的部門 ） 教務(wù)處長的安全級 C教 =(機(jī)密 ,{教務(wù)處 }) 財務(wù)處長的安全級 C財 =(機(jī)密 ,{財務(wù)處 }) 財務(wù)一科長的安全級 C一財 =(秘密 ,{財務(wù)處 }) 財務(wù)處工作人員的安全級 C工 =(一般 ,{財務(wù)處 }) 假設(shè)財務(wù)一科長產(chǎn)生了一份工作文件 A， 文件 A的安全級定義為與一科長的安全級相同 ， 即 CA=(秘密 ,{財務(wù)處 })， 那 么 ， 對于文件 A， 只有校長和財務(wù)處長能看到 ， 而教務(wù)處長不能看 ， 盡管教務(wù)處長的密級是機(jī)密級 ， 可以看秘密級的文件 ， 但教務(wù)處長的部門屬性僅是 {教務(wù)處 },他無權(quán)看財務(wù)處的信息 。 ? 優(yōu)點(diǎn) :靈活性 、 易用性與可擴(kuò)展性 ? 缺點(diǎn) :這種控制是自主的 ， 帶來了嚴(yán)重的安全問題 。 2022/2/8 Ch6身份認(rèn)證與訪問控制 42 教務(wù)處可按照上述原則對系統(tǒng)中的用戶（ 該大學(xué)的所有老師和學(xué)生 ） 進(jìn)行授權(quán) 。這種控制是自主的，也就是指具有授予某種訪問權(quán)力的主體（用戶）能夠自己決定是否將訪問控制權(quán)限的某個子集授予其他的主體或從其他主體那里收回他所授予的訪問權(quán)限。 2022/2/8 Ch6身份認(rèn)證與訪問控制 38 訪問控制矩陣 通常使用訪問控制矩陣來限制主體對客體的訪問權(quán)限。 （ 6)添加任何安全模塊，如 Microsoft 模擬。） （ 4) IIS 檢查用戶是否擁有有效的 Windows 用戶帳戶。（在用戶訪問服務(wù)器上任何信息之前，可以要求用戶提供有效的 Microsoft Windows用戶帳戶、用戶名和密碼。 （ 2）將依據(jù) IIS 中 IP 地址限制檢查客戶機(jī)的 IP 地址。此外，還可以設(shè)定服務(wù)器登錄時間限制、非法訪問者檢測和關(guān)閉的時間間隔等。屬性設(shè)置可以覆蓋已經(jīng)指定的任何受托者指派和有效權(quán)限。用戶在目錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可以進(jìn)一步指定對目錄下的子目錄和文件的權(quán)限。 繼承權(quán)限屏蔽相當(dāng)于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權(quán)限。訪問控制機(jī)制明確了不同用戶組可以訪問哪些目錄、子目錄、文件和其他資源等，指明不同用戶對這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作等。 基于用戶名和口令的用戶入網(wǎng)訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證和用戶賬號的缺省限制檢查。 2022/2/8 Ch6身份認(rèn)證與訪問控制 26 ? 訪問控制 （ Access Control） ： 訪問控制規(guī)定了主體對客體訪問的限制 ， 并在身份識別的基礎(chǔ)上 ， 根據(jù)身份對提出資源訪問的請求加以控制 。 ? 客體 （ Object） ： 客體是指包含或接受信息的被動實體 ， 客體在信息流動中的地位是被動的 ， 是處于主體的作用之下 ， 對客體的訪問意味著對其中所包含信息的訪問 。并且CHAP的秘訣是通信雙方共享的，因此給秘訣的分發(fā)和更新帶來了麻煩，要求每個通信對都有一個共
試題試卷相關(guān)推薦
鄂ICP備17016276號-1