北京大學(xué)網(wǎng)絡(luò)信息安全課件--訪問控制-展示頁(yè)
2025-01-25 19:34本頁(yè)面
【正文】 控制策略的軟硬件低層實(shí)現(xiàn)。 ? 安全策略之間沒有更好的說法，只是一種可以比一種提供更多的保護(hù)。 訪問控制策略 ? 自主訪問控制 （ discretionary policies), 基于身份的訪問控制 IBAC(Identity Based Access Control) ? 強(qiáng)制訪問控制 (mandatory policies), 基于規(guī)則的訪問控制 RBAC（ Rule Based Access Control） ? 基于角色的訪問控制 (rolebased policies) 如何決定訪問權(quán)限 ? 用戶分類 ? 資源 ? 資源及使用 ? 訪問規(guī)則 用戶的分類 （ 1）特殊的用戶：系統(tǒng)管理員，具有最高級(jí)別的特權(quán)，可以訪問任何資源，并具有任何類型的訪問操作能力 （ 2）一般的用戶：最大的一類用戶，他們的訪問操作受到一定限制，由系統(tǒng)管理員分配 （ 3）作審計(jì)的用戶：負(fù)責(zé)整個(gè)安全系統(tǒng)范圍內(nèi)的安全控制與資源使用情況的審計(jì) （ 4）作廢的用戶：被系統(tǒng)拒絕的用戶。 ? 規(guī)則使用戶與資源配對(duì)，指定該用戶可在該文件上執(zhí)行哪些操作，如只讀、不許執(zhí)行或不許訪問。 訪問控制的一般實(shí)現(xiàn)機(jī)制和方法 一般實(shí)現(xiàn)機(jī)制 —— ? 基于訪問控制屬性 ——〉 訪問控制表 /矩陣 ? 基于用戶和資源分級(jí)（“安全標(biāo)簽”） ——〉 多級(jí)訪問控制 常見實(shí)現(xiàn)方法 —— ? 訪問控制表 ACLs（ Access Control Lists) ? 訪問能力表（ Capabilities) ? 授權(quán)關(guān)系表 訪問控制矩陣 ?任何訪問控制策略最終均可被模型化為訪問矩陣形式：行對(duì)應(yīng)于用戶，列對(duì)應(yīng)于目標(biāo)，每個(gè)矩陣元素規(guī)定了相應(yīng)的用戶對(duì)應(yīng)于相應(yīng)的目標(biāo)被準(zhǔn)予的訪問許可、實(shí)施行為。 訪問能力表 (CL) Obj1 Own R W O Obj2 R O Obj3 R W O UserA 每個(gè)主體都附加一個(gè)該主體可訪問的客體的明細(xì)表。}{),(siSiRrSsSSRSA C Li??????object server ACL、 CL訪問方式比較 (2) ? CL subject client (o,r) ??oRrOo??object server }{),(iOiOOROCLi????ACL、 CL訪問方式比較 (3) ? 鑒別方面：二者需要鑒別的實(shí)體不同 ? 保存位置不同 ? 瀏覽訪問權(quán)限 – ACL:容易， CL:困難 ? 訪問權(quán)限傳遞 – ACL:困難， CL：容易 ? 訪問權(quán)限回收 – ACL:容易， CL：困難 ? ACL和 CL之間轉(zhuǎn)換 – ACLCL：困難 – CLACL：容易 ACL、 CL訪問方式比較 (4) ? 多數(shù)集中式操作系統(tǒng)使用 ACL方法或類似方式 ? 由于分布式系統(tǒng)中很難確定給定客體的潛在主體集，在現(xiàn)代 OS中 CL也得到廣泛應(yīng)用 授權(quán)關(guān)系表 UserA Own Obj1 UserA R Obj1 UserA W Obj1 UserA W Obj2 UserA R Obj2 自主 訪問控制 強(qiáng)制 訪問控制 基于角色 訪問控制 訪問控制 訪問控制的一般策略 自主訪問控制 ? 特點(diǎn)： 根據(jù)主體的身份及允許訪問的權(quán)限進(jìn)行決策 。 靈活性高，被大量采用。如用戶A可將其對(duì)目標(biāo) O的訪問權(quán)限傳遞給用戶 B,從而使不具備對(duì) O訪問權(quán)限的 B可訪問 O。 ? 等價(jià)于用一個(gè)目標(biāo)的訪問矩陣 列 來描述 ? 基礎(chǔ) (前提 )：一個(gè)隱含的、或者顯式的缺省策略 – 例如，全部權(quán)限否決 – 最小特權(quán)原則：要求最大限度地限制每個(gè)用戶為實(shí)施授權(quán)任務(wù)所需要的許可集合 – 在不同的環(huán)境下，缺省策略不盡相同，例如，在公開的布告板環(huán)境中，所有用戶都可以得到所有公開的信息 – 對(duì)于特定的用戶，有時(shí)候需要提供顯式的否定許可 ? 例如，對(duì)于違紀(jì)的內(nèi)部員工，禁止訪問內(nèi)部一些信息 基于身份的策略：基于組的策略 ? 一組用戶對(duì)于一個(gè)目標(biāo)具有同樣的訪問許可。 ? 實(shí)際使用時(shí) – 先定義組的成員 – 對(duì)用戶組授權(quán) – 同一個(gè)組可以被重復(fù)使用 – 組的成員可以改變 表示和實(shí)現(xiàn) ? 基于組的策略在表示和實(shí)現(xiàn)上更容易和更有效 ? 在基于個(gè)人的策略中 ,對(duì)于系統(tǒng)中每一個(gè)需要保護(hù)的客體，為其附加一個(gè)訪問控制表，表中包括主體標(biāo)識(shí)符（ ID）和對(duì)該客體的訪問模式 ? 對(duì)客體 I ? 將屬于同一部門或工作性質(zhì)相同的人歸為一組（ Group), 分配組名 GN，主體標(biāo)識(shí) = ? 對(duì)客體 I …… 張三 . *. 李四 . *.*.n 自主訪問控制的訪問類型 ? 訪問許可與訪問模式描述了主體對(duì)客體所具有的控制權(quán)與訪問權(quán) . ? 訪問許可定義了改變?cè)L問模式的能力或向其它主體傳送這種能力的能力 . ? 訪問模式則指明主體對(duì)客體可進(jìn)行何種形式的特定的訪問操作 :讀 \寫 \運(yùn)行 .
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1