《信息安全原理与应用-访问控制》由会员分享，可在线阅读，更多相关《信息安全原理与应用-访问控制（51页珍藏版）》请在金锄头文库上搜索。
1、电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处1信息安全原理与应用信息安全原理与应用 第九章第九章 访问控制访问控制本章由王昭主写本章由王昭主写电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处2讨论议题 访问控制的有关概念 访问控制的策略和机制电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处3访问控制的概念和目标 一般概念 是针对越权使用资源的防御措施。 基本目标：防止对任何资源（如计算资源、通信资源或信息资 源）进行未授权的访问。 未授权的访问包括： 非法用户进入系统。 合法用户对系统资源的非法使用。电子工业出版
2、社，信息安全原理与应用，2010.1 版权所有,引用请注明出处访问控制的目标 保护存储在某些机器上的个人信息或重要信息 的保密性 维护机器内系统的完整性 减少病毒感染的机会4电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处5主体、客体和授权 客体（Object）：规定需要保护的资源，又称作目标 （target)。 主体（Subject）：或称为发起者(Initiator)，是一个主 动的实体，规定可以访问该资源的实体，（通常指用 户或代表用户执行的程序）。 授权（Authorization)：规定可对该资源执行的动作（ 例如读、写、执行或拒绝访问）。 主客体的关系是相
3、对的。电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处6访问控制系统的基本组成电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处访问控制与其他安全服务的关系电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处8讨论议题 访问控制的有关概念 访问控制的策略和机制电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处9访问控制策略与机制 访问控制策略(Access Control Policy)：访问控制策略 在系统安全策略级上表示授权。是对访问如何控制,如 何作出访问决定的高层指南。 访问控制机制（Acc
4、ess Control Mechanisms)：是访问 控制策略的软硬件低层实现。 访问控制机制与策略独立，可允许安全机制的重用。 安全策略之间没有更好的说法，只是一种可以比一种 提供更多的保护。应根据应用环境灵活使用。电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处访问控制策略 自主访问控制 强制访问控制 基于角色的访问控制 其他访问控制策略10电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处自主访问控制 自主访问控制概念 访问控制表 能力表 自主访问控制的授权管理11电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出
5、处自主访问控制概念 自主访问控制（discretionary policies,DAC)，基于身 份的访问控制(Identity Based Access Control) 特点：根据主体的身份及允许访问的权限进行决策 。自主是指具有某种访问能力的主体能够自主地将访问 权的某个子集授予其它主体。灵活性高，被大量采用。 缺点：信息在移动过程中其访问权限关系会被改变。12电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处访问控制矩阵 任何访问控制策略最终均可被模型化为访问矩阵形式 ：行对应于用户，列对应于目标，每个矩阵元素规定 了相应的用户对应于相应的目标被准予的访问许可、
6、 实施行为。 按列看是访问控制表内容, 按行看是访问能力表内容电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处14访问控制表(ACL)每个客体附加一个它可以访问的主体的明细表。电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处15访问能力表(CL)每个主体都附加一个该主体可访问的客体的明细表。电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处16ACL、CL访问方式比较(1) ACL电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处17ACL、CL访问方式比较(2) CL电子工业出版社，信息安全原
7、理与应用，2010.1 版权所有,引用请注明出处18ACL、CL访问方式比较(3) 鉴别方面：二者需要鉴别的实体不同 保存位置不同 浏览访问权限不同 访问权限回收不同 多数集中式操作系统使用ACL方法或类似方式 由于分布式系统中很难确定给定客体的潜在主体集， 在现代OS中CL也得到广泛应用电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处19ACL：基于个人和组的策略基于个人：根据哪些用户可对一个目标实施哪一种行为的 列表来表示。等价于用一个目标的访问矩阵列来描述。 基于组：一组用户对于一个目标具有同样的访问许可。相 当于，把访问矩阵中多个行压缩为一个行。实际使用时，
8、先定义组的成员 对用户组授权 同一个组可以被重复使用 组的成员可以改变 基于组的策略在表示和实现上更容易和更有效 基础(前提)：一个隐含的、或者显式的缺省策略例如，全部权限否决电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处20访问模式Access Mode 系统支持的最基本的保护客体:文件，对文件的 访问模式设置如下:（1）读-拷贝(Read-copy)（2）写-删除（write-delete）（3）运行(Execute)（4）无效(Null)电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处21自主访问控制的授权管理 集中式管理：只有单个的
9、管理者或组对用户进行访问 控制授权和授权撤消。 分级式管理：一个中心管理者把管理责任分配给其它 管理员，这些管理员再对用户进行访问授权和授权撤 消。分级式管理可以根据组织结构而实行。 所属权管理：如果一个用户是一个客体的所有者，则 该用户可以对其它用户访问该客体进行授权访问和授 权撤消。 协作式管理：对于特定系统资源的访问不能有单个用 户授权决定，而必须要其它用户的协作授权决定。 分散式管理：在分散管理中，客体所有者可以把管理 权限授权给其他用户。 电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处22Win2000的访问控制-1 DAC，采用ACL 帐户(user a
10、ccounts) 定义了Windows中一个用户所必要的信息，包括口令、安全 ID(SID)、组成员关系、登录限制， 组：universal groups、global groups、local groups Account Identifier: Security identifier (SID) 时间和空间唯一,全局惟一的48位数字 S-1-5-21-1507001333-1204550764-1011284298-500 SID带有前缀S，它的各个部分之间用连字符隔开 第一个数字(本例中的1)是修订版本编号 第二个数字是标识符颁发机构代码(对Windows 2000来说总是 为5) 然后
11、是4个子颁发机构代码(本例中是21和后续的3个长数字串) 和一个相对标识符(Relative Identifier，RID，本例中是500)电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处23Win2000的访问控制-2所有对对象的访问都要通过安全子系统的检查 系统中的所有对象都被保护起来 文件、目录、注册表键 内核对象 同步对象 私有对象(如打印机等) 管道、内存、通讯，等 对象的安全描述符(security descriptor)SD 包含了与一个安全对象有关的安全信息 Security identifiers (SIDs) for the owner and p
12、rimary group of an object DACL(discretionary access-control list) SACL(system access-control list) 以及一组控制标记电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处24Win2000的访问控制-3 Security Access Token 是对一个进程或者线程的安全环境的完整描述 包括以下主要信息 用户帐户的SID 所有包含该用户的安全组的SIDs 特权：该用户和用户组所拥有的权利 Owner Default Discretionary Access Control L
13、ist (DACL) 这是一个基本的安全单元，每个进程一个电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处25共享对象的访问权限访问权限：（1）完全控制（2）拒绝访问（3）读（4）更改电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处26Linux中的访问控制-1 采用DAC Linux系统将设备和目录都看作文件。 对文件有三种访问权限：读、写、执行 系统将用户分为四类： 根用户（root)：具有最大权利 所有者（Owner):文件的所有者，一般可以 读写执行文件 组（User Group):所有者所在组 其他用户（Other Users)电子
14、工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处27Linux中的访问控制-2 Linux文件系统安全模型与两个属性相关 文件的所有者(ownership) 文件所有者的id,UID 文件所有者所在用户组的id,GID 每个文件和其创建者的UID和GID关联 一个进程通常被赋予其父进程的UID和GID Root的UID: 0 访问权限(access rights): 10个标志 第1个标志：d(目录), b(块系统设备), c(字符设备), . (普通文件) 第2-4个标志：所有者的读、写、执行权限 第5-7个标志：所有者所在组的读、写、执行权限 第8-10个标志：其他用
15、户的读、写、执行权限 用chmod修改权限：字符方式和数字方式电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处访问控制策略 自主访问控制 强制访问控制 基于角色的访问控制 其他访问控制策略28电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处强制访问控制 强制访问控制的概念 Bell-LaPadula模型 Biba模型29电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处30强制访问控制 强制访问控制(mandatory policies,MAC)，基于规则的 访问控制(Rule Based Access Control） 特点：取决于能用算法表达的并能在计算机上执行的 策略。 将主体和客体分级，根据主体和客体的级别标记来决 定访问模式。如，绝密级，机密级，秘密级，无密级 。 其访问控制关系分为：上读/下写 ， 下读/上写电子工业出版社，信息安全原理与应用，2010.1 版权所有,引用请注明出处Bell-
