访问控制与防火墙

《访问控制与防火墙》由会员分享，可在线阅读，更多相关《访问控制与防火墙（147页珍藏版）》请在金锄头文库上搜索。

1、访问控制与网络 安全技术(1)严飞武汉大学计算机学院Yfpostbox(AT)主要内容（1阶段）l访问控制技术l防火墙技术lVPN技术 （2阶段）l入侵检测技术l一种新的网络安全技术1. 访问控制技术l1.1 访问控制技术概述 l1.2 入网认证 l1.3 物理隔离措施 l1.4 自主访问控制 l1.5 强制访问控制 l1.6 角色访问控制l1.7 发展趋势1.访问控制技术l安全服务（Security Services）l安全系统提供的各项服务，用以保证系统或数据传 输足够的安全性l根据ISO7498-2, 安全服务包括：l实体认证（Entity Authentication）l数据保密性（D

2、ata Confidentiality）l数据完整性（Data Integrity）l不可抵赖性（Non-repudiation）l访问控制（Access Control）1. 访问控制的基本任务l防止非法用户即未授权用户进入系统l合法用户即授权用户对系统资源的非法使用1.1 访问控制技术概述l访问控制是从计算机系统的处理能力方面 对信息提供保护l它按照事先确定的规则决定主体对客体的 访问是否合法l当一主体试图非法使用一个未经授权的资 源时，访问控制机制将拒绝这一企图，并 将这一事件报告给审计跟踪系统l审计跟踪系统将给出报警，并记入日志档 案1.1 访问控制技术概述l对网络的访问控制是为了防止

3、非法用户进入 系统和合法用户对系统的非法使用l访问控制要对访问的申请、批准和撤消的全 过程进行有效的控制1.1 访问控制技术概述l访问控制的内容包括 l用户身份的识别和认证 l对访问的控制 l授权 、确定访问权限 、实施访问权限 l附加控制除了对直接的访问进行控制外，还应对信息的流动和推 理攻击施加控制 l审计跟踪 l对用户使用何种系统资源、使用的时间、执行的操 作等问题进行完整的记录，以备非法事件发生后能 进行有效的追查 1.1 访问控制技术概述l访问控制的类型l自主访问控制（DAC） l用户可以按自己的意愿对系统参数做适当的修改， 可以决定哪个用户可以访问系统资源 l强制访问控制（MAC）

4、l用户和资源都是一个固定的安全属性，系统利用安 全属性来决定一个用户是否可以访问某个资源l由于强制访问控制的安全属性是固定的，因此用户 或用户程序不能修改安全属性 l基于角色访问控制(RBAC)1.2 入网认证l入网认证即入网访问控制。它为网络访问提 供了第一层访问控制l入网认证控制哪些用户能够登录到服务器并 获得网络资源，也控制准许用户入网的时间 和准许他们在哪台工作站入网l入网认证实质上就是对用户的身份进行认证 1.2 入网认证l身份认证 l身份认证过程指的是当用户试图访问资源的时 候，系统确定用户的身份是否真实的过程l认证对所有需要安全的服务来说是至关重要的 ，因为认证是访问控制执行的前

5、提，是判断用 户是否有权访问信息的先决条件，同时也为日 后追究责任提供不可抵赖的证据 1.2 入网认证l身份认证的依据 l用户所知道的 l密码 l用户所拥有的 l智能卡l用户的特征 l生物学上的属性 l根据特定地点（或特定时间） l通过信任的第三方 lKerberos , IKE1.2 入网认证l身份认证的评价标准l可行性l认证强度l认证粒度l认证数据正确l不同协议间的适应性 1.2 入网认证l身份认证的评价标准l可行性 l从用户的观点看，认证方法应该提高用户访问应用 的效率，减少多余的交互认证过程，提供一次性认 证l另外所有用户可访问的资源应该提供友好的界面给 用户访问 l典型实例：单点登录

6、（SSO）1.2 入网认证l身份认证的评价标准l认证强度 l认证强度取决于采用的算法的复杂度以及密钥的长 度l采用更复杂的算法，更长的密钥，将能提高系统的 认证强度，提高系统的安全性1.2 入网认证l身份认证的评价标准l认证粒度 l身份认证只决定是否允许用户进入服务应用。之后 如何控制用户访问的内容，以及控制的粒度也是认 证系统的重要标志l有些认证系统仅限于判断用户是否具有合法身份， 有些则按权限等级划分成几个密级，严格控制用户 按照自己所属的密级访问 l典型实例：UNIX、MS Windows NT等1.2 入网认证l身份认证的评价标准l认证数据正确 l消息的接受者能够验证消息的合法性、真实

7、性和完 整性l消息的发送者对所发的消息不可抵赖l除了合法的消息发送者外，任何其他人不能伪造合 法的消息l当通信双方（或多方）发生争执时，有公正权威的 第3方解决纠纷 l典型实例：电子商务安全1.2 入网认证l身份认证的评价标准l不同协议间的适应性 l认证系统应该对所有协议的应用进行有效的身份识 别l除了HTTP以外，安全Email访问（包括认证SMTP 、POP或者IMAP）也应该包含在认证系统中 l典型实例：网格安全1.2 入网认证l口令认证的一般过程l用户名的识别与验证 l确定是否存在该用户的信息 l用户口令的识别与验证 l确定用户输入的口令是否正确 l用户帐号的缺省限制检查 l确定该用户

8、帐号是否可用，以及能够进行哪些操作 、访问哪些资源等用户的权限 1.2 入网认证l口令认证l口令认证也称通行字认证，是一种根据已知事 物验证身份的方法 l通行字的选择原则 l易记l难以被别人猜中或发现l抗分析能力强l需要考虑的方面l选择方法、使用期限、字符长度、分配和管理 以及在计算机系统内的保护 1.2 入网认证安全性要求口令认证方案无无口令低合法用户公用口令中每个用户一个单独的口令高要求一次一密，或口令分散* 系统中不存储口令的原文1.2 入网认证l认证方式l单向认证l双向认证 询问认证 受理的用户可利用他所知道、而别人不太 知道的一些信息向申请用户提问一系列不 大相关的问题 1.3 物理

9、隔离措施l物理隔离l物理隔离技术是一种将内外网络从物理上断开 ，但保持逻辑连接的网络安全技术l任何时候内外网络都不存在连通的物理连接， 同时原有的传输协议必须被中断 l逻辑连接指能进行适度的数据交换1.3 物理隔离措施l1999年12月29日国家保密局发布的计算 机信息系统国际联网保密管理规定中第二 章第六条规定 ：“涉及国家秘密的计算机信息系统，不得直接或间 接地与国际互联网或其他公共信息网络相联接 ，必须进行物理隔离”1.3 物理隔离措施l网络物理隔离方案l客户端的物理隔离 l集线器级的物理隔离 l服务器端的物理隔离1.3 物理隔离措施l网络物理隔离方案l客户端的物理隔离 1.3 物理隔离

10、措施l网络物理隔离方案l客户端的物理隔离 l网络安全隔离卡 1.3 物理隔离措施l网络物理隔离方案l集线器级的物理隔离 1.3 物理隔离措施l网络物理隔离方案l集线器级的物理隔离 l物理隔离网闸 1.3 物理隔离措施l网络物理隔离方案l服务器端的物理隔离 1.3 物理隔离措施l物理隔离的优点l安全级别高，保障强l易于在现有涉密网上安装l物理隔离的未尽之处l资源消耗大l缺乏管理l认证、访问控制、审计、取证l 妨碍应用1.4 自主访问控制l自主访问控制l由客体自主地来确定各个主体对它的直接访问权限 （又称访问模式）l在自主访问控制下，用户可以按自己的意愿对系统 的参数做适当的修改，以决定哪个用户可

11、以访问他 们的文件 1.4 自主访问控制l自主访问控制lDiscretionary Access Control,简称DAC l自主访问控制基于对主体或主体所属的主体组的识 别来限制对客体的访问，这种控制是自主的l自主l是指对其它具有授予某种访问权力的主体能够自主 地（可能是间接的）将访问权的某个子集授予其它 主体 1.4 自主访问控制l访问控制矩阵 1.4 自主访问控制lDAC的实现方法l基于行的DAC ：面向主体l权力表（Capabilities List）r,w,a,el前缀表（Profiles） 可访问文件命l口令（Password） l基于列的DAC ：面向客体l保护位（Protec

12、tion Bits）用户组:RWX l访问控制表（Access Control List，ACL）主体明细表 1.4 自主访问控制lDAC的优点l方便、实用l可由用户自由定制l可扩展性强l缺点l管理分散、用户关系不清l权限易被滥用l信息在移动过程中其访问权限关系会被改变。如用 户A可将其对目标O的访问权限传递给用户B,从而 使不具备对O访问权限的B可访问O。1.5 强制访问控制l强制访问控制 lMandatory Access Control，简称MAC l用户与文件都有一个固定的安全属性，系统利用安 全属性来决定一个用户是否可以访问某个文件l安全属性是强制性的，它是由安全管理员或操作系 统根

13、据限定的规则分配的，用户或用户的程序不能 修改安全属性 1.5 强制访问控制l强制访问控制 l如果系统认为具有某一安全属性的用户不适于访问某个文件 ，那么任何人（包括文件的拥有者）都无法使该用户具有访 问文件的能力 l强制访问控制是比任意访问控制更强的一种访问控制机制， 它可以通过无法回避的访问限制来防止某些对系统的非法入 侵l强制访问控制可以防止一个进程生成共享文件，从而防止一 个进程通过共享文件把信息从一个进程传送给另一个进程 1.5 强制访问控制l抵抗特洛伊木马l特洛伊木马进行攻击的条件 l必须编写一段程序或修改一个已存在的程序来进行非法操作 ，而且这种非法操作不能令程序的使用者起任何怀

14、疑。这个 程序对使用者来说必须具有吸引力l必须使受害者能以某种方式访问到或得到这个程序，如将这 个程序放在系统的根目录或公共目录中l必须使受害者运行这个程序。一般利用这个程序代替一个受 害者常用的程序来使受害者不知不觉地使用它l受害者在系统中有一个合法的帐号1.5 强制访问控制l抵抗特洛伊木马l强制访问控制一般与自主访问控制结合使用，并实 施一些附加的、更强的访问限制l限制访问控制的灵活性 l过程控制 1.5 强制访问控制lBell-La Padual模型 l简单安全规则l仅当主体的敏感级不低于客体敏感级且主体的类别集合包含 客体时，才允许该主体读该客体。即主体只能读密级等于或 低于它的客体，

15、也就是说主体只能从下读，而不能从上读l星规则l仅当主体的敏感级不高于客体敏感级且客体的类别集合包含 主体的类别集合时，才允许该主体写该客体。即主体只能写 密级等于或高于它的客体，也就是说主体只能向上写，而不 能向下写1.5 强制访问控制lBiba模型 l简单完整规则l仅当主体的完整级大于等于客体的完整级且主体的类别集合 包含客体的类别集时，才允许该主体写该客体。即主体只能 向下写，而不能向上写，也就是说主体只能写（修改）完整 性级别等于或低于它的客体 l完整性制约规则（星规则）l仅当主体的完整级不高于客体完整级且客体的类别集合包含 主体的类别集合时，才允许该主体读读客体。即主体只能从 上读，而

16、不能从下读 1.6角色访问控制技术l四种RBAC模型l基本模型RBAC0 l角色的层次结构RBAC1 l约束模型RBAC2 l混合模型RBAC3 1.6角色访问控制技术l基本模型RBAC0 l四个基本要素l用户（User）l角色（Role）l会话（Session）l授权（ Permission） 1.6角色访问控制技术l四种RBAC模型l角色的层次结构RBAC1 lRBAC1的特征是为RBAC0上引入了角色层次的概念 l约束模型RBAC2lRBAC2除了继承RBAC0的原有特征外，还引入了约 束（Constraints）的概念 l互斥角色（ Mutually Exclusion Roles） l基数约束（ Cardinality Constraints） l先决条件角色 l运行时约束 1.6角色访问控制技术lRBAC模型的优点l一种策略无关的访问控制技术l具有自管理的能力 l使得安全管理更贴近应用领域的机构或组织的 实际情况lRBAC模型的不足l复杂、不成熟lRBAC的策略无关性需要用户自己定义适合本领 域的安全策略 1