《信息安全概论 教学课件 ppt 作者 徐茂智 邹维 1_ 信息安全概论第15讲》由会员分享，可在线阅读，更多相关《信息安全概论 教学课件 ppt 作者 徐茂智 邹维 1_ 信息安全概论第15讲（17页珍藏版）》请在金锄头文库上搜索。
1、信息安全概论,第15讲 2008年x月y日,5.4授权与访问控制实现框架,前面介绍的几种访问控制安全模型，为访问控制的工程实现做了理论准备。 本节从工程实现框架的角度，论述访问控制技术中需要考虑的其他相关技术问题。这些问题主要包括身份识别、密钥分发、访问决策。 在本节中我们用privilege来表示主体按照某种访问控制模型得到的抽象权限，与前面所讲的permission相比是一个更加抽象的权限概念。为行文简单起见，仍然用权限来表达。,5.4.1 PMI模型,绝大多数的访问控制应用都能抽象成一般的权限管理模型，包括3个实体：客体，权限声称者（privilege asserter）和权限验证者(p
2、rivilege verifier)。 1.客体（或对象）是被保护的资源，例如在一个访问控制应用中，受保护资源 就是客体。 2.权限声明者 是访问者，或主体，持有特定权限并声明权限内容的实体。 3.权限验证者 对访问动作进行验证和决策，是制定决策的实体，决定被声明 的权限对于使用内容来说是否充分。 权限验证者根据4个条件决定访问通过/失败： 权限声明者的权限 适当的权限策略模型 当前环境变量 权限策略对访问客体方法的限制,图5.4说明验证者如何控制权限声明者对保护对象的访问，并表达了最基本的影响因素。,图5.4 PMI模型 PMI的一项重要贡献是规范了由权威机构生成，并进行数字签名的属性证书（
3、Attribute Certificate）的概念，该属性证书可用来准确地表述权限声明者的权限。而且便于权限验证者进行验证。,5.4.2 一般访问控制实现框架,前面我们介绍过几种访问控制，如BLP模型中的自主访问控制DAC、强制访问控制MAC（Mandatory Access Control）和基于角色的访问控制RBAC（Role-Based Access Control）。PMI给出它们的访问控制授权实现框架，图5.5所示了该框架的基本要素。,图5.5访问控制抽象模型,访问者提出对访问对象（资源）的访问请求 访问控制执行单元(AEF,Access Control Enforcement Fu
4、nction)截获访问请求，执行单元将请求信息和目标信息以决策请求的方式提交给访问控制决策单元（ADF，Access Control Decision Function） 决策单元根据相关信息返回决策结果， 执行单元根据决策结果决定是否执行访问。 （其中执行单元和决策单元不必是分开的模块）,5.4.3基于KDC和PMI的访问控制框架,与访问控制紧密关联的是实体的身份识别和密钥分发服务，如果我们把能够实现身份识别和密钥分发的基础设施-密钥分发中心KDC考虑在内，细化上面提到的PMI，我们给出的访问控制实现的整体框架结构如图5.6所示：,图5.6基于KDC和PMI的访问控制框架,1. 框架说明,（
5、1）KDC：密钥分发中心，应用网络中的两个分别与KDC共享对称密钥的通信方，通过KDP（密钥分发协议）获得两者之间的通信共享密钥。 （2）身份识别服务器：用户通过安全的识别协议将用户标识和用户凭证提交到身份识别服务器，身份识别服务器完成识别，用户获得识别凭证，用于用户与应用服务器交互。如果用户事先未与KDC共享了对称密钥，身份识别服务器还将和用户协商二者之间的共享对称密钥。应用KDP协议，通过身份识别协议，用户将获得与KDC共享的对称密钥，之后用户再与应用服务器交互。 （3）安全中间件：包括访问控制组件和密钥共享组件，部署在应用服务器之前，通过KDC实现应用服务器同用户的密钥共享，向PMI申请
6、用户属性证书，并根据用户的属性来实现用户对服务的安全访问控制。 （4）PMI：通过属性证书的生成、分发、注销等整个生命周期的管理，实现用户权限的授予。,2. 功能介绍,基于KDC和PMI的安全框架从功能上分为身份识别与密钥分发、授权与访问控制两部分。 身份识别与密钥分发由两部分组成：身份识别服务器与KDC。在应用网络内身份识别服务器和应用服务器的数量相对用户的数量而言，比较少，可以通过物理方式或其它安全的方式与KDC之间共享对称密钥。用户的数量则较多，通过手工配置实现用户与KDC的密钥共享会给管理上带来沉重的负担。 比较现实的方法是,实现方法 用户与身份识别服务器通过安全协议，获取与身份识别服
7、务器之间的共享密钥。 对KDC和用户来说，身份识别服务器是可信第三方。用户与KDC可通过KDP密钥分发协议实现密钥共享，并通过KDC实现与安全中间件之间的密钥共享，以便实现保护用户和应用服务器之间授权信息和应用数据的传递。 用户切换到不同的应用时，由于用户具有与KDC之间的密钥共享，可自动地获得与不同应用之间的密钥共享，从而实现用户的单点登录。 根据安全的需求及应用的规模，用户到身份识别服务器之间认证的方式可以多种，基于口令认证及密钥分发协议的身份识别，基于公钥证书的相互认证等等。密钥分发协议也可以随着安全技术的发展更换不同的协议。,授权与访问控制：通过对用户属性证书的管理，实现对用户权限的管
8、理。PMI权限管理基础设施主要实现用户属性证书的生成、分发、注销等。属性证书具有包括分立的发行机构，独立于认证之外，将用户的标识与用户的权限属性绑定在一起；具有基于用户的各类属性，进行灵活的访问控制、短时效等特点；能被分发和存储或缓存在非安全的分布式环境中；属性证书不可伪造，防篡改。从而较好地解决了权限的管理问题。 用户通过与安全中间件之间的基于密钥共享的身份识别之后，访问控制根据用户的属性证书的属性及应用的策略规则决定是否允许用户对应用服务器资源的访问。,第6章 网络安全,计算机与网络已经成为当今社会生活不可或缺的一部分。 同时，计算机病毒、蠕虫、恶意软件、黑客、网络犯罪等针对计算机与网络的
9、攻击也越来越多，信息安全事件逐年增加，信息安全技术也得到迅猛发展。 有了前面对信息安全基础知识的准备，接下来的三章，将从网络安全、系统安全以及应用安全这三个方面介绍、讨论如何构筑安全的网络系统，防御各种安全威胁，保障信息安全。,6.1 网络安全概述 6.1.1 网络简述,1. 局域网 局域网（LAN）的覆盖范围比较小，一般是指一个组织结构在一个物理相邻（如一栋建筑物内）区域构建的网络。局域网在网络接口层通常采用令牌环网协议或以太网协议。 2. 广域网 广域网（WAN）是相对于局域网而言在规模、距离上都更大的网络，跨越不同城市甚至不同国家，而且一般也不仅仅是一个组织结构的网络。与广域网相当的还有
10、校园网、城域网等。广域网通常由多种网络接口层协议组网，但支持统一的网络层协议，即IP协议。 3. 互联网 互联网则是由各种网络构成的网络，这些网络各自独立进行管理和控制，最典型的互联网就是因特网（Internet）。互联网所采用的联网协议同广域网类似。,6.1.2 网络安全措施,TCP/IP协议中有许多的安全问题，主要包括以下几个方面： TCP/IP协议不能提供可靠的身份验证； TCP/IP对数据都没有加密; TCP/IP中缺乏可靠的信息完整性验证手段; 没有提供任何机制来控制资源分配; TCP/IP中缺乏对路由协议的鉴别； 在实现TCP、UDP协议时中还存在许多安全隐患; TCP/IP设计问
11、题导致其上层的应用协议存在许多完全问题.,主要的网络系统的安全措施,针对TCP/IP中存在的许多安全缺陷，必须使用加密技术、鉴别技术等来实现必要的安全协议。安全协议可以放置在TCP/IP协议栈的各层中（见图6.1），如IPSec位于IP层，SSL协议位于TCP与应用层之间，而在应用层针对不同的应用有一系列的安全协议，如：PGP，SET等。,1协议安全,2. 访问控制 网络的主要功能是资源共享，但共享是在一定范围、一定权限内的共享，因此需要严格控制非法的访问，保护资源的合法使用。一般通过定义有效的安全策略，控制网络内部资源的合法使用和实施网络边界安全设施来实现。 3. 系统安全 软件系统包括操作系统、应用系统。存在着一些有意或无意的缺陷，因此既要在设计阶段引入安全概念，也要在具体实现时减少缺陷，编写安全的代码，才能有效提高系统的安全性。 4. 其它安全技术 上述三类安全措施，并不能完全保障网络系统的安全，还需要有针对网络系统安全威胁的检测和恢复技术，如入侵检测、防病毒等安全专项技术。,作业,
