保密安全與密碼技術(shù)-6訪問控制.ppt

1、1、機(jī)密安全和密碼技術(shù)、第6課訪問控制、第2課安全機(jī)制、3、訪問控制的目的，訪問控制旨在限制訪問主體(用戶、進(jìn)程、服務(wù)等)對訪問對象(檔案、系統(tǒng)等)的訪問，從而使電腦系統(tǒng)在合法范圍內(nèi)可用，確定用戶可以做什么，代表特定用戶的利益，4，訪問控制的基本概念基本訪問控制策略模型訪問控制與其他安全機(jī)制的關(guān)系，訪問控制原則，5，訪問控制的基本概念，主體主體是發(fā)出資源訪問請求的活動(dòng)實(shí)體，例如用戶、節(jié)目、進(jìn)程等。對象是包含訪問資源的手動(dòng)實(shí)體，如網(wǎng)絡(luò)、電腦、數(shù)據(jù)庫、檔案、目錄、計(jì)算機(jī)程序、外圍設(shè)備和網(wǎng)絡(luò)。訪問資源使用、讀取、寫入、修改、刪除等操作(如存儲(chǔ)訪問)訪問檔案、目錄和外圍設(shè)備。訪問數(shù)據(jù)庫訪問的網(wǎng)站。6、

2、訪問控制的基本概念、訪問可以描述為三元(s、a、o)主體、發(fā)起人： Subject、發(fā)起方對象、目標(biāo)： Object和目標(biāo)訪問操作3360 Access訪問控制執(zhí)行功能(AEF)、訪問控制決定功能(ADF)、對象、主體的訪問控制信息、主體、對象的訪問控制信息、訪問控制策略規(guī)則和上下文信息(例如時(shí)間)瀏覽、修改和回收訪問控制權(quán)限訪問控制功能的實(shí)施控制實(shí)施部件如何獲取實(shí)體的訪問控制信息，9，能力表表示法：用戶配置文件、對象相當(dāng)多、分類復(fù)雜，很難授權(quán)管理賦權(quán)證書。屬性證書從能力表中獲取主體的所有訪問權(quán)限。您可以從“能力”(competences)表格中輕松瀏覽對象允許的訪問控制權(quán)限。o1rw、o2r

3、、o5rwe訪問控制表(Access Control List)、訪問控制表與對象相關(guān)聯(lián)，它規(guī)定了可以訪問的主體和權(quán)限。11、ACL、CL訪問方法比較，驗(yàn)證方面：根據(jù)需要驗(yàn)證的實(shí)體徐璐其他存儲(chǔ)位置，瀏覽訪問權(quán)限acllCL牙齒在現(xiàn)代OS中也廣泛使用，因?yàn)樵诜植际较到y(tǒng)中很難確定給定對象的潛在主體集。13，訪問控制矩陣，訪問控制機(jī)制可以表示為一個(gè)三元組(S，O，M)主體的集合S=S1。On所有操作的集合A=R，W，E，訪問控制矩陣M=S O 2A，14，訪問控制矩陣，矩陣中的I行si表示主用戶si對所有對象的操作權(quán)限，名為主用戶Si的能力表(Capability List)矩陣的j列Oj表示對象D

4、AC每個(gè)對象都有所有者，所有者可以根據(jù)需要將對象的訪問控制權(quán)限授予其他實(shí)體，DAC是分布式權(quán)限管理模型控制靈活性。目前應(yīng)用最廣泛的訪問控制策略，17、自主訪問控制DAC、自主訪問控制模型是根據(jù)自主訪問控制策略制定的模型，允許合法用戶以用戶或用戶組的身份訪問策略中規(guī)定的對象，阻止非權(quán)限用戶訪問對象，某些用戶對其擁有的對象自我訪問控制模型的特點(diǎn)是授權(quán)的實(shí)施主體可以授權(quán)的主體。管理權(quán)限的目標(biāo)賦權(quán)組自主訪問控制也稱為隨機(jī)訪問控制。LINUX、UNIX、WindowsNT或服務(wù)器版本的操作系統(tǒng)具有自主訪問控制功能。18，自主訪問控制DAC、DAC模型提供的安全性相對較低，無法為系統(tǒng)提供足夠的數(shù)據(jù)保護(hù)。自

5、主地負(fù)責(zé)授予和收回其他主體對對象資源的訪問權(quán)限。DAC使用訪問控制矩陣和訪問控制列表存儲(chǔ)徐璐其他主體的訪問控制信息，從而限制主體的訪問。無法控制信息流：移動(dòng)信息時(shí)，訪問權(quán)限關(guān)系會(huì)發(fā)生變化。用戶A可以將對目標(biāo)O的訪問權(quán)限傳遞給用戶B，使沒有對O的訪問權(quán)限的B可以訪問O。木馬的威脅：特洛伊木馬是一個(gè)電腦程序，附加在合法程序上，執(zhí)行非法工作，而不被用戶發(fā)現(xiàn)。19，強(qiáng)制訪問控制MAC，Mandatory Access Control每個(gè)主用戶和對象都分配了固定安全級別，只有系統(tǒng)管理員才能修改Clearance，classification。sensitivity unclassified confid

6、ential secret top secret機(jī)密機(jī)密僅在主體和對象的安全級別符合特定規(guī)則時(shí)才允許訪問。20、強(qiáng)制訪問控制MAC、MAC訪問控制為用戶和對象資源都授予了特定的安全級別。與DAC模型不同，MAC是多級訪問控制策略。MAC為訪問主體和控制對象標(biāo)識兩個(gè)茄子安全標(biāo)記：具有部分順序關(guān)系的安全級別標(biāo)記非級別分類標(biāo)記。主體和對象徐璐屬于其他安全類別時(shí)，屬于固定安全類SC，SC形成部分順序關(guān)系(例如，TS為絕密，高于密級S)。如果主體S的安全類是TS，對象O的安全類是S，則可以使用部分順序關(guān)系以SC(s)SC(o)表示。21，考慮到部分順序關(guān)系，主體訪問對象的主要方法有四種。向下讀取(rd，

7、read down):當(dāng)主體安全級別高于對象信息資源的安全級別時(shí)，可以查看的讀取操作。向上讀取(ru，read up):當(dāng)主體安全級別低于對象信息資源的安全級別時(shí)允許的讀取操作。向下寫入(wd，write down):當(dāng)主要項(xiàng)目安全層次高于物件資訊資源的安全層次時(shí)，允許的作業(yè)或?qū)懭胱鳂I(yè)向上寫入(Wu，write up):當(dāng)主要項(xiàng)目安全層次低于物件資訊資源的安全層次時(shí)，允許的作業(yè)或?qū)懭胱鳂I(yè)。MAC通過分層安全標(biāo)簽實(shí)現(xiàn)了信息的單向流通，因此軍隊(duì)最有名的是Bell-LaPadula模型和Biba模型。Bell-LaPadula機(jī)型具有僅允許向下讀取和向上寫入的特性，可以有效防止機(jī)密信息泄露給下級。B

8、iba機(jī)型具有不允許向下讀取和向上寫入的功能，可以有效地保護(hù)數(shù)據(jù)完整性。強(qiáng)制訪問控制MAC、22、強(qiáng)制訪問控制MAC、Bell-LaPadula(BLP)模型禁止寫入：如果用戶的級別高于要寫入的對象級別，則不允許以上讀取。主體的級別低于要讀取的對象級別時(shí)，則不允許執(zhí)行操作，23，強(qiáng)制訪問控制MAC，TS C U，用戶A可以將對目標(biāo)O的訪問權(quán)限傳遞給用戶B，使沒有對O的訪問權(quán)限的B可以訪問O。25，訪問控制策略強(qiáng)制訪問控制，特征：1。分類主題和對象，以根據(jù)主體和對象的級別標(biāo)記確定訪問模式。例如，絕密級、機(jī)密級、秘密級、秘密級。2.訪問控制關(guān)系包括讀/寫、讀/寫(完整性) (機(jī)密性)3。通過安全標(biāo)

9、簽實(shí)現(xiàn)單向信息流模式。26，1。自主性太弱。2.強(qiáng)制性太強(qiáng)。3.兩個(gè)茄子工作量大，管理不便。例如：1000主體訪問10，000個(gè)對象需要1000萬次配置。每個(gè)配置1秒，每天工作8小時(shí)10，000，000/(3600 * 8)=347.2天，訪問控制策略自主/strong制訪問問題，27，基于角色的訪問控制RBAC，role-；RBAC從控制主體的角度來看，根據(jù)相對穩(wěn)定的管理權(quán)限和責(zé)任劃分角色，并將訪問權(quán)限與角色關(guān)聯(lián)，與傳統(tǒng)的MAC和DAC直接向用戶授予權(quán)限的方式不同。將用戶與訪問權(quán)限相關(guān)聯(lián)，方法是為用戶分配相應(yīng)的角色。角色在訪問控制中充當(dāng)訪問主體和控制對象之間的橋梁。，28，基于角色的訪問控制

10、RBAC，組(組)用戶組：用戶組G=s1，s2，S3權(quán)限管理：對用戶進(jìn)行分組，并將訪問權(quán)限分配給用戶組?！敖巧?Role)角色是完成操作所需訪問的資源及其工作權(quán)限的集合。R=(a1，o1)，(a2，o2)，(a3，o3)賦權(quán)管理：根據(jù)工作需要定義角色，并將資源和工作權(quán)限分配給角色角色繼承關(guān)系RBAC的優(yōu)點(diǎn)包括賦權(quán)管理，項(xiàng)目管理程序測試引擎將訪問控制列表與控制對象或控制對象的屬性相關(guān)聯(lián)，并將訪問控制選項(xiàng)設(shè)計(jì)為用戶、組或角色及其權(quán)限的集合。策略和規(guī)則可以重用、繼承和派生。OBAC定義對象的訪問控制列表，添加、刪除、修改訪問控制條目易于操作，如果控制對象的屬性發(fā)生更改，或控制對象的繼承和派生行為發(fā)生，則無需更新主體的訪問權(quán)限，只需修改控制對象中相應(yīng)的訪問控制條目即可減少主體的訪問權(quán)限管理，從而降低授權(quán)數(shù)據(jù)管理的復(fù)雜性。31，賦權(quán)信息，訪問控制和其他安全機(jī)制，身份驗(yàn)證，賦權(quán)，審核(AAA)