BIT5信息系統(tǒng)安全機(jī)制-訪問控制ppt課件

1、訪問控制技術(shù)孫建偉計(jì)算機(jī)網(wǎng)絡(luò)攻防對(duì)抗技術(shù)實(shí)驗(yàn)室北京理工大學(xué).內(nèi)容概要訪問控制原理自主訪問控制強(qiáng)迫訪問控制基于角色的訪問控制常用操作系統(tǒng)中的訪問控制.概念通常運(yùn)用在信息系統(tǒng)的平安設(shè)計(jì)上。定義：在保證授權(quán)用戶能獲取所需資源的同時(shí)回絕非授權(quán)用戶的平安機(jī)制。目的：為了限制訪問主體對(duì)訪問客體的訪問權(quán)限，從而使計(jì)算機(jī)系統(tǒng)在合法范圍內(nèi)運(yùn)用；它決議用戶能做什么，也決議代表一定用戶身份的進(jìn)程能做什么。未授權(quán)的訪問包括：未經(jīng)授權(quán)的運(yùn)用、泄露、修正、銷毀信息以及頒發(fā)指令等。非法用戶進(jìn)入系統(tǒng)。合法用戶對(duì)系統(tǒng)資源的非法運(yùn)用。.客體Object：規(guī)定需求維護(hù)的資源，又稱作目的target)。主體Subject：或稱為發(fā)起

2、者(Initiator)，是一個(gè)自動(dòng)的實(shí)體，規(guī)定可以訪問該資源的實(shí)體，通常指用戶或代表用戶執(zhí)行的程序。授權(quán)Authorization)：規(guī)定可對(duì)該資源執(zhí)行的動(dòng)作例如讀、寫、執(zhí)行或回絕訪問。.訪問控制模型根本組成.義務(wù)識(shí)別和確認(rèn)訪問系統(tǒng)的用戶。認(rèn)證鑒權(quán)決議該用戶可以對(duì)某一系統(tǒng)資源進(jìn)展何種類型的訪問。授權(quán)審計(jì).訪問控制與其他平安效力的關(guān)系模型 援用監(jiān) 控器身份認(rèn)證訪問控制授權(quán)數(shù)據(jù)庫用戶目的目的目的目的目的審 計(jì)平安管理員訪問控制決策單元.訪問控制的普通實(shí)現(xiàn)機(jī)制和方法普通實(shí)現(xiàn)機(jī)制 基于訪問控制屬性 訪問控制表/矩陣 基于用戶和資源分檔“平安標(biāo)簽 多級(jí)訪問控制常見實(shí)現(xiàn)方法 訪問控制表ACL) 訪問才干

3、表Capabilities) 授權(quán)關(guān)系表.訪問矩陣定義客體(O)主體(S)權(quán)限(A)讀(R)寫(W)擁有(Own)執(zhí)行(E)更改(C) .舉例MEM1MEM2File1File2File3File4User1r,w,eo,r,eUser2r,w,eo,r,e問題：稀疏矩陣，浪費(fèi)空間。.訪問控制類型自主訪問控制強(qiáng)迫訪問控制基于角色訪問控制訪問控制.自主訪問控制Discretionary Access Control.概念基于對(duì)主體或主體所屬的主體組的識(shí)別來限制對(duì)客體的訪問，這種控制是自主的。自主指主體可以自主地將訪問權(quán)或訪問權(quán)的某個(gè)子集授予其他主體。如用戶A可將其對(duì)目的O的訪問權(quán)限傳送給用戶B,

4、從而使不具備對(duì)O訪問權(quán)限的B可訪問O。缺陷： 信息在挪動(dòng)過程中其訪問權(quán)限關(guān)系會(huì)被改動(dòng)：平安問題.訪問控制表Access Control List基于訪問控制矩陣列的自主訪問控制。每個(gè)客體都有一張ACL，用于闡明可以訪問該客體的主體及其訪問權(quán)限。.舉例：File1File2File3File4客體目錄User1o,r,wUser2rUser3r,wACL表User1eUser2o,eUser3rUser4eUser2rUser3ro:Ownerr:Readw:Writee:Excute.oj表示客體j，si.rw表示主體si具有rw屬性。s0.rs1.es2.rwoj.問題：主體、客體數(shù)量大，影

5、響訪問效率。處理：引入用戶組，用戶可以屬于多個(gè)組。主體標(biāo)識(shí)=主體.組名如Liu.INFO表示INFO組的liu用戶。*.INFO表示一切組中的用戶。*.*表示一切用戶。.liu.INFO.rw表示對(duì)INFO組的用戶liu具有rw權(quán)限。*.INFO.rw表示對(duì)INFO組的一切用戶具有rw權(quán)限。*.*.rw表示對(duì)一切用戶具有rw權(quán)限。Liu.INFO.r*.INFO.e*.*.rwoj.訪問才干表Access Capabilities List基于訪問控制矩陣行的自主訪問控制。為每個(gè)主體用戶建立一張?jiān)L問才干表，用于表示主體能否可以訪問客體，以及用什么方式訪問客體。.File1o,r,wFile2r

6、File3r,w文件名File2o,eFile3r客體(文件)File1File2File3o:Ownerr:Readw:Writee:Excute舉例：權(quán)限用戶A的目錄用戶B的目錄訪問才干表.強(qiáng)迫訪問控制Mandatory Access Control.概念為一切主體和客體指定平安級(jí)別，比如絕密級(jí)、級(jí)、級(jí)、無秘級(jí)。不同級(jí)別的主體對(duì)不同級(jí)別的客體的訪問是在強(qiáng)迫的平安戰(zhàn)略下實(shí)現(xiàn)的。只需平安管理員才干修正客體訪問權(quán)和轉(zhuǎn)移控制權(quán)。對(duì)客體擁有者也不例外.MAC模型絕密級(jí)級(jí)級(jí)無秘級(jí)寫寫讀讀完好性嚴(yán)密性.平安戰(zhàn)略保證信息完好性戰(zhàn)略級(jí)別低的主體可以讀高級(jí)別客體的信息不嚴(yán)密，級(jí)別低的主體不能寫高級(jí)別的客體保證

7、信息完好性保證信息性戰(zhàn)略級(jí)別低的主體可以寫高級(jí)別客體的信息不保證信息完好性，級(jí)別低的主體不可以讀高級(jí)別的客體嚴(yán)密.舉例：Security-Enhanced Linux (SELinux) for Red Hat Enterprise LinuxAppArmor for SUSE Linux and UbuntuTrustedBSD for FreeBSD.基于角色的訪問控制Role Based Access Control.概念來源于UNIX系統(tǒng)或別的操作系統(tǒng)中組的概念基于組的自主訪問控制的變體每個(gè)角色與一組用戶和有關(guān)的動(dòng)作相互關(guān)聯(lián)，角色中所屬的用戶可以有權(quán)執(zhí)行這些操作角色與組的區(qū)別組：一組用

8、戶的集合角色：一組用戶的集合 + 一組操作權(quán)限的集合.RBAC模型用 戶角 色權(quán) 限訪問控制資 源1、認(rèn)證2、分派3、懇求4、分派5、訪問.角色控制優(yōu)勢(shì)便于授權(quán)管理 授權(quán)操作：n*m 變成 n*r+r*m=r*(n+m)便于角色劃分便于賦予最小特權(quán)便于職責(zé)分擔(dān)便于目的分級(jí).一個(gè)基于角色的訪問控制的實(shí)例在銀行環(huán)境中，用戶角色可以定義為出納員、分行管理者、顧客、系統(tǒng)管理者和審計(jì)員訪問控制戰(zhàn)略的一個(gè)例子如下：1允許一個(gè)出納員修正顧客的帳號(hào)記錄包括存款和取款、轉(zhuǎn)帳等，并允許查詢一切帳號(hào)的注冊(cè)項(xiàng)2允許一個(gè)分行管理者修正顧客的帳號(hào)記錄包括存款和取款，但不包括規(guī)定的資金數(shù)目的范圍并允許查詢一切帳號(hào)的注冊(cè)項(xiàng)，

9、也允許創(chuàng)建和終止帳號(hào).3允許一個(gè)顧客只訊問他本人的帳號(hào)的注冊(cè)項(xiàng)4允許系統(tǒng)的管理者訊問系統(tǒng)的注冊(cè)項(xiàng)和開關(guān)系統(tǒng)，但不允許讀或修正用戶的帳號(hào)信息5允許一個(gè)審計(jì)員讀系統(tǒng)中的任何數(shù)據(jù)，但不允許修正任何事情系統(tǒng)需求添加出納員、分行管理者、顧客、系統(tǒng)管理者和審計(jì)員角色所對(duì)應(yīng)的用戶，按照角色的權(quán)限對(duì)用于進(jìn)展訪問控制。.常用操作系統(tǒng)中的訪問控制.國際平安規(guī)范1984年，美國國防部發(fā)布了TCSEC，即桔皮書。TCSEC采用等級(jí)評(píng)價(jià)的方法，將計(jì)算機(jī)平安分為A、B、C、D四個(gè)等級(jí)八個(gè)級(jí)別，D等平安級(jí)別最低，A平安級(jí)別最高。如今大多數(shù)通用操作系統(tǒng)WindowsNT、Linux等為C2級(jí)別，即控制訪問維護(hù)級(jí)。.Windo

10、wsNT (自主訪問控制)Windows平安模型Security Account ManagerLocal Security Authority (LSA) Security Reference Monitor.訪問控制過程組成部件：平安標(biāo)識(shí)：帳號(hào)的獨(dú)一對(duì)應(yīng)。訪問令牌：LSA為用戶構(gòu)造的，包括用戶名、所在組名、平安標(biāo)識(shí)等。主體：操作和令牌。對(duì)象、資源、共享資源平安描畫符：為共享資源創(chuàng)建的一組平安屬性一切者平安標(biāo)識(shí)、組平安標(biāo)識(shí)、自主訪問控制表、系統(tǒng)訪問控制表、訪問控制項(xiàng)。.登錄過程效力器為任務(wù)站前往平安標(biāo)識(shí)，效力器為本次登錄生成訪問令牌用戶創(chuàng)建進(jìn)程P時(shí)，用戶的訪問令牌復(fù)制為進(jìn)程的訪問令牌。P進(jìn)程

11、訪問對(duì)象時(shí)，SRM將進(jìn)程訪問令牌與對(duì)象的自主訪問控制表進(jìn)展比較，決議能否有權(quán)訪問對(duì)象。.NTFS的訪問控制從文件中得到平安描畫符包含自主訪問控制表；與訪問令牌包含平安標(biāo)識(shí)一同由SRM進(jìn)展訪問檢查.Linux (自主訪問控制)設(shè)備和目錄同樣看作文件。三種權(quán)限：R:readW:writeX:excute權(quán)限表示：字母表示：rwx，不具有相應(yīng)權(quán)限用-占位8進(jìn)制數(shù)表示：111，不具有相應(yīng)權(quán)限相應(yīng)位記0.四類用戶：root：超級(jí)用戶一切者所屬組其他用戶.文件屬性：drwxr-x-x 2 lucy work 1024 Jun 25 22:53 text平安屬性： drwxr-x-x 一切者，所屬組：lucy.work平安屬性后9個(gè)字母規(guī)定了對(duì)一切者、所屬組、其他用戶的權(quán)限各3位。lucy.work.rwx*.