身份認(rèn)證與訪問控制

第3章身份認(rèn)證與訪問控制信息安全技術(shù)與應(yīng)用引言在安全的信息訪問中，通信雙方必須通過某種形式來判明和確認(rèn)對方或雙方的真實(shí)身份，確認(rèn)身份后要根據(jù)身份設(shè)置對系統(tǒng)資源的訪問權(quán)限，以實(shí)現(xiàn)不同身份用戶合法訪問信息資源。信息安全技術(shù)與應(yīng)用3.1身份認(rèn)證技術(shù)概述身份認(rèn)證的定義身份認(rèn)證（IdentityAuthentication）就是通過對身份標(biāo)識的鑒別服務(wù)來確認(rèn)身份及其合法性。鑒別服務(wù)的目的在于保證身份信息的可靠性，就是要保證信息接收方接收的消息確實(shí)是從它聲明的來源發(fā)出的。身份認(rèn)證的方法大體上分為：基于信息秘密的身份認(rèn)證基于信任物體的身份認(rèn)證基于生物特征的身份認(rèn)證。信息安全技術(shù)與應(yīng)用身份標(biāo)識與鑒別身份標(biāo)識身份標(biāo)識就是能夠證明用戶身份的用戶獨(dú)有的特征標(biāo)志，此特征標(biāo)志要求具有唯一性，如身份證、戶口簿、護(hù)照、公章、駕照、健康卡，還有網(wǎng)絡(luò)上使用的網(wǎng)絡(luò)身份證等。單因素身份標(biāo)識包含一條身份信息；而多因素身份標(biāo)識包含多條身份信息ID（英文Identity的縮寫）也稱為序列號或賬號，是身份標(biāo)識特征信息中相對唯一的編碼，相當(dāng)于是一種“身份證編號”。信息安全技術(shù)與應(yīng)用身份標(biāo)識與鑒別鑒別鑒別是對通信的對方發(fā)來的信息驗(yàn)證從而確定信息是否合法的過程。通常分為身份鑒別和報(bào)文鑒別。身份鑒別：網(wǎng)絡(luò)系統(tǒng)兩個(gè)實(shí)體建立連接或數(shù)據(jù)傳輸階段，對對方實(shí)體的合法性、真實(shí)性進(jìn)行確認(rèn)，防止非法用戶或通過偽造和欺騙身份等手段冒充合法用戶，從而保證身份的可靠性。報(bào)文鑒別：報(bào)文鑒別是在用于確保數(shù)據(jù)發(fā)自真正的源點(diǎn)同時(shí)，還要鑒別報(bào)文的真?zhèn)?，防止收到的?bào)文被篡改、假冒和偽造，保證報(bào)文在通信中的完整性。信息安全技術(shù)與應(yīng)用身份認(rèn)證的過程身份認(rèn)證的過程就是指網(wǎng)絡(luò)用戶在進(jìn)入系統(tǒng)或訪問受限系統(tǒng)資源時(shí)，系統(tǒng)對用戶的身份鑒別過程。身份認(rèn)證過程中涉及到4個(gè)部分，也是身份認(rèn)證系統(tǒng)的組成部分。①用戶組件②輸入組件③傳輸組件④驗(yàn)證組件單向認(rèn)證與雙向認(rèn)證通信的雙方只需要一方被另一方鑒別身份，這樣的認(rèn)證過程就是一種單向認(rèn)證。通信的雙方需要互相認(rèn)證鑒別對方的身份，這樣的認(rèn)證過程是雙向認(rèn)證。身份認(rèn)證實(shí)現(xiàn)過程中，被鑒別的認(rèn)證信息要實(shí)現(xiàn)加密，往往需要可信第三方(TrustedThirdParty)提供密鑰管理和分發(fā)服務(wù)。

信息安全技術(shù)與應(yīng)用基于信息秘密的身份認(rèn)證基于信息秘密的身份認(rèn)證是根據(jù)雙方共同所知道的秘密信息來證明用戶的身份（whatyouknow），并通過對秘密信息鑒別驗(yàn)證身份。1．網(wǎng)絡(luò)身份證2．靜態(tài)口令3．一次性口令認(rèn)證信息安全技術(shù)與應(yīng)用一次性口令認(rèn)證一次性口令認(rèn)證也稱為動態(tài)口令的認(rèn)證，是一種按時(shí)間和使用次數(shù)來設(shè)置口令，每個(gè)口令只使用一次，口令不斷變化的認(rèn)證方法。動態(tài)口令認(rèn)證的優(yōu)點(diǎn)：①無須定期修改口令，方便管理；②一次一口令，有效防止黑客一次性口令竊取就獲得永久訪問權(quán)；③由于口令使用后即被廢棄，可以有效防止身份認(rèn)證中的重放攻擊。動態(tài)口令認(rèn)證的缺點(diǎn)：①客戶端和服務(wù)器的時(shí)間或次數(shù)若不能保持良好同步，可能發(fā)生合法用戶無法登錄；②口令是一長串較長的數(shù)字組合，一旦輸錯(cuò)就得重新操作。動態(tài)口令認(rèn)證方法已被廣泛運(yùn)用在網(wǎng)銀、網(wǎng)游、電信運(yùn)營商、電子政務(wù)、企業(yè)等應(yīng)用訪問系統(tǒng)中。信息安全技術(shù)與應(yīng)用基于信任物體的身份認(rèn)證根據(jù)你所擁有的東西來證明你的身份（whatyouhave），如通過信用卡、鑰匙牌、智能卡、口令牌實(shí)施的認(rèn)證。智能卡（IC卡）動態(tài)口令牌USBKey信息安全技術(shù)與應(yīng)用基于生物特征的身份認(rèn)證生物特征是指唯一的可以測量或可自動識別和驗(yàn)證的生理特征或行為特征。身體特征包括指紋、掌紋、視網(wǎng)膜、虹膜、人體氣味、臉型、手的血管、DNA等；行為特征包括簽名、聲音、行走步態(tài)等?；谏锾卣鞯纳矸菡J(rèn)證是指通過可測量的身體特征和行為特征經(jīng)過“生物識別技術(shù)”實(shí)現(xiàn)身份認(rèn)證的一種方法。身份認(rèn)證可利用的生物特征需要滿足：普遍性、唯一性、可測量性和穩(wěn)定性，當(dāng)然，在應(yīng)用過程中，還要考慮識別精度、識別速度、對人體無傷害、用戶的接受性等因素。信息安全技術(shù)與應(yīng)用生物特征識別過程①采樣：生物識別系統(tǒng)捕捉到生物特征的樣品，并對采樣的數(shù)據(jù)進(jìn)行初步的處理，將初步處理的樣品保存起來。②提取特征信息：設(shè)備提取采樣中唯一的生物特征信息，并轉(zhuǎn)化成需要的數(shù)字格式。③特征入庫：認(rèn)證以前要提前將特征信息連同其他用戶身份信息如ID或PIN等存儲到特征數(shù)據(jù)庫。④特征識別：生物特征識別有兩種識別方法是驗(yàn)證和辨識，驗(yàn)證采用完整的樣品比對；而辨識即將讀取到的用戶的生物特征信息，與特征數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行比較，計(jì)算出它們的相似程度，看是否匹配來識別用戶身份。信息安全技術(shù)與應(yīng)用指紋身份認(rèn)證指紋特征一個(gè)人的指紋是唯一的，即使是雙胞胎的指紋也不相同。人的指紋有兩類特征：全局特征和局部特征。要區(qū)分任意兩枚指紋僅依靠全局特征是不夠的，還需要通過局部特征的位置、數(shù)目、類型和方向才能唯一地確定。指紋的特征識別步驟：（1）圖像采集（2）圖像預(yù)處理（3）細(xì)節(jié)特征的提?。?）特征信息入庫（5）匹配及識別信息安全技術(shù)與應(yīng)用虹膜身份認(rèn)證虹膜是一種在眼睛中瞳孔內(nèi)的織物狀的各色環(huán)狀物，每個(gè)虹膜都包含一個(gè)獨(dú)一無二的基于水晶體、細(xì)絲、斑點(diǎn)、凹點(diǎn)、皺紋、條紋等特征的結(jié)構(gòu)虹膜在眼睛的內(nèi)部，用外科手術(shù)很難改變其結(jié)構(gòu)；由于瞳孔隨光線的強(qiáng)弱變化，想用偽造的虹膜代替活的虹膜是不可能的。同一個(gè)人的左右眼虹膜也有很大區(qū)別和指紋識別相比，虹膜識別技術(shù)采用非接觸式取像方式，對接觸面污染較小特點(diǎn)：具有可靠性高、不易仿照；操作更簡便，檢驗(yàn)的精確度可以更高，識別的錯(cuò)誤率非常底。生物識別產(chǎn)品市場占有優(yōu)勢。信息安全技術(shù)與應(yīng)用視網(wǎng)膜身份認(rèn)證人的視網(wǎng)膜上面血管的圖樣可以利用光學(xué)方法透過人眼晶體來測定。視網(wǎng)膜識別技術(shù)要求激光照射眼球的背面以獲得視網(wǎng)膜特征的唯一性。視網(wǎng)膜身份認(rèn)證的優(yōu)點(diǎn)是：①耐久性：視網(wǎng)膜是一種極其固定的生物特征，因?yàn)樗恰半[藏”的，故而不易磨損，老化或是為疾病影響；②非接觸性的：視網(wǎng)膜是不可見的，故而不會被偽造。缺點(diǎn)是視網(wǎng)膜技術(shù)未經(jīng)過任何測試，可能會給使用者帶來健康的損壞，這需要進(jìn)一步的研究；對于消費(fèi)者，視網(wǎng)膜技術(shù)沒有吸引力；很難進(jìn)一步降低它的成本。信息安全技術(shù)與應(yīng)用語音身份認(rèn)證任何兩個(gè)人的聲紋頻譜圖都有差異，語音身份認(rèn)證，就是通過對所記錄的語音與被鑒人聲紋的比較，進(jìn)行身份認(rèn)證。視網(wǎng)膜身份認(rèn)證的優(yōu)點(diǎn)是：①語音識別作為一種非接觸式的識別系統(tǒng)，用戶可以很自然地接受，②聲音進(jìn)行采樣，濾波等數(shù)字化處理相對成熟。缺點(diǎn)：但聲音變化的范圍太大，音量、速度和音質(zhì)的變化會影響到采集的結(jié)果，這樣直接影響比對的結(jié)果。另外，聲音識別系統(tǒng)還很容易被錄在磁帶上的聲音欺騙，這樣降低了語音識別系統(tǒng)的安全可靠性。信息安全技術(shù)與應(yīng)用基于生物特征的身份認(rèn)證的優(yōu)點(diǎn)相比其他認(rèn)證方法有下列優(yōu)點(diǎn)：①非易失：生物特征基本不存在丟失、遺忘或被盜的問題。②難偽造：用于身份認(rèn)證的生物特征很難被偽造。③方便性：生物特征隨身“攜帶”，隨時(shí)隨地可用。信息安全技術(shù)與應(yīng)用3.2安全的身份認(rèn)證身份認(rèn)證面臨的主要威脅①欺騙標(biāo)識：通過盜取或欺騙用戶的信任憑證或嘗試用一個(gè)假的身份標(biāo)識試探獲取對系統(tǒng)的訪問權(quán)。②篡改數(shù)據(jù)：非經(jīng)授權(quán)對認(rèn)證信息進(jìn)行修改。③拒絕承認(rèn)：用戶拒絕承認(rèn)以自己的身份執(zhí)行過特定操作或數(shù)據(jù)傳輸。④信息泄露：私有數(shù)據(jù)的暴露，用戶監(jiān)聽到在網(wǎng)絡(luò)上傳送的明文信息等都是信息泄露。⑤重放攻擊：攻擊者利用網(wǎng)絡(luò)監(jiān)聽或者其他方式盜取認(rèn)證憑據(jù)，利用這一目的主機(jī)已接收過的認(rèn)證報(bào)文，再不斷惡意或欺詐性地重復(fù)發(fā)給認(rèn)證服務(wù)器。信息安全技術(shù)與應(yīng)用身份認(rèn)證的安全措施（1）身份信息加密以防止信息泄露和篡改數(shù)據(jù)需要在認(rèn)證信息的傳輸和存儲時(shí)采用加密技術(shù)以保證認(rèn)證中的數(shù)據(jù)在傳送或存儲過程中未被泄露和篡改。傳輸中的認(rèn)證信息加密可以采用對稱密鑰加密體制，也可以采用非對稱密鑰加密體制；對服務(wù)器數(shù)據(jù)庫中的身份信息加密存儲，以防止黑客入侵獲得身份信息假冒合法用戶非法訪問；信息安全技術(shù)與應(yīng)用身份認(rèn)證的安全措施（2）采用安全的認(rèn)證方式抵御重放攻擊①挑戰(zhàn)/應(yīng)答認(rèn)證模式注：一般采用不重復(fù)使用的大的隨機(jī)數(shù)作為挑戰(zhàn)（值），若挑戰(zhàn)值變化量不大，攻擊者只需截獲足夠的挑戰(zhàn)應(yīng)答之間的關(guān)系，又可以進(jìn)行重放攻擊了。②數(shù)字時(shí)間戳方式數(shù)字時(shí)間戳（digitaltime-stamp，DTS）就是用來有效證明電子數(shù)據(jù)的收發(fā)時(shí)間內(nèi)容。認(rèn)證服務(wù)器接收時(shí)只有報(bào)文時(shí)間戳與本地時(shí)間足夠接近時(shí)，才認(rèn)為是一個(gè)合法的新報(bào)文，否則認(rèn)為是重放攻擊報(bào)文。信息安全技術(shù)與應(yīng)用身份認(rèn)證的安全措施（3）數(shù)字簽名有效抵制欺騙標(biāo)識和拒絕承認(rèn)應(yīng)用數(shù)字簽名的身份鑒別有效防止冒用別人名義發(fā)起認(rèn)證和發(fā)出（收到）身份信息后拒絕承認(rèn)。認(rèn)證結(jié)果證明：

用戶身份信息M在傳輸中沒有被別人冒用，剛才驗(yàn)證的身份信息M就是用戶的；用戶不能否認(rèn)驗(yàn)證確認(rèn)的身份信息和以此身份信息登錄后的操作和審計(jì)結(jié)果。信息安全技術(shù)與應(yīng)用身份認(rèn)證的安全措施（4）加強(qiáng)身份信息管理，防止私有信息泄露①管理好個(gè)人的身份標(biāo)識，輕易不要被欺騙泄露或告知他人，尤其是信任物體身份標(biāo)識硬件，借用或丟失會造成身份冒用。②提高口令、PIN等身份標(biāo)識設(shè)置的復(fù)雜度，提高身份標(biāo)識的猜測難度，有效地防止身份探測。③增加身份認(rèn)證因素，采用雙因素或多因素的認(rèn)證方式可以更好克服由于身份信息泄露造成的安全威脅。

上述提到的多因素認(rèn)證、數(shù)字時(shí)間戳認(rèn)證、信息加密的身份認(rèn)證、挑戰(zhàn)/響應(yīng)認(rèn)證等都是安全的認(rèn)證模式，有效保障身份認(rèn)證的非否認(rèn)性、保密性、正確性和完整性。

信息安全技術(shù)與應(yīng)用口令認(rèn)證的安全方案口令認(rèn)證的威脅①網(wǎng)絡(luò)數(shù)據(jù)流竊聽；②認(rèn)證信息截取/重放；③字典攻擊；④窮舉嘗試；⑤窺探口令；⑥騙取口令；⑦垃圾搜索；口令安全性管理（1）口令的安全存儲一是直接明文存儲口令，二是哈希散列存儲口令。（2）口令的安全設(shè)置（3）口令的加密傳輸（4）驗(yàn)證碼

口令認(rèn)證中通過加入驗(yàn)證碼可以控制登錄或注冊時(shí)間和節(jié)奏，有效防止對某一個(gè)特定注冊用戶用特定程序自動進(jìn)行口令的窮舉嘗試。信息安全技術(shù)與應(yīng)用基于指紋的電子商務(wù)身份認(rèn)證認(rèn)證特點(diǎn)基于指紋的電子商務(wù)身份認(rèn)證系統(tǒng)綜合了指紋識別、數(shù)字簽名和加密技術(shù)，有效地解決了客戶端身份信息的存儲和管理問題；同時(shí)，通過認(rèn)證過程中使用時(shí)間戳和隨機(jī)數(shù)阻止了第三方的重放攻擊。認(rèn)證過程信息安全技術(shù)與應(yīng)用Kerberos身份認(rèn)證Kerberos是麻省理工學(xué)院開發(fā)的一個(gè)認(rèn)證服務(wù)方案.它工作在Client/Server模式下，以可信賴的KDC和使用DES對稱密鑰口令算法，實(shí)現(xiàn)密鑰分配和集中的身份認(rèn)證。一個(gè)完整的Kerberos系統(tǒng)主要由以下幾個(gè)部分組成：

①用戶（Client）：發(fā)起認(rèn)證服務(wù)的一方。②服務(wù)器（Server）：最終鑒別客戶認(rèn)證信息的一方。③認(rèn)證服務(wù)器（AuthenticationServer，AS）：用來進(jìn)行密鑰分配和驗(yàn)證用戶身份。④票據(jù)分配服務(wù)器（TicketGrantingServer，TGS）：發(fā)放身份證明票據(jù)（憑證）。⑤票據(jù)（ticket-grantingticket，TGT）：為雙方身份認(rèn)證專門生成的憑證。⑥密鑰分配中心（KeyDistributionCenter，KDC）：由認(rèn)證服務(wù)器和票據(jù)分配服務(wù)器組成。⑦鑒別碼（Authenticator）：用戶生成的最終認(rèn)證信息。信息安全技術(shù)與應(yīng)用Kerberos身份認(rèn)證過程Kerberos的基本認(rèn)證過程：信息安全技術(shù)與應(yīng)用Kerberos身份認(rèn)證過程認(rèn)證過程中的票據(jù)和認(rèn)證信息：

TGT1=Ticket{用戶身份標(biāo)識}；

TGT2=Ticket{SessionKey，用戶身份標(biāo)識，用戶主機(jī)IP地址，服務(wù)器名，有效期，時(shí)間戳}；

KC{SessionKey}；

KS{TGT2}；

Authenticator=SessionKey{用戶身份標(biāo)識，用戶主機(jī)IP}；信息安全技術(shù)與應(yīng)用Kerberos身份認(rèn)證Kerberos認(rèn)證具有如下優(yōu)點(diǎn)：①認(rèn)證在用戶和認(rèn)證服務(wù)器之間進(jìn)行，減少了服務(wù)器對身份信息管理和存儲的開銷和黑客入侵后的安全風(fēng)險(xiǎn)。②支持雙向認(rèn)證。③認(rèn)證過程整個(gè)過程可以說是一個(gè)典型的挑戰(zhàn)/響應(yīng)方式，在防止重放攻擊方面起到有效的作用。④Kerberos協(xié)議的推廣和應(yīng)用具有靈活性。

Kerberos已廣泛應(yīng)用于Internet和Intranet認(rèn)證服務(wù)和安全訪問，具有高度的安全可靠和較好的擴(kuò)展性，成為當(dāng)今比較重要的實(shí)用認(rèn)證方案。信息安全技術(shù)與應(yīng)用基于X.509數(shù)字證書的認(rèn)證X.509是一個(gè)標(biāo)準(zhǔn)的鑒別框架；構(gòu)建一種基于公開密鑰體制的業(yè)務(wù)密鑰管理和身份認(rèn)證。認(rèn)證過程基于PKI支持，PKI利用X.509標(biāo)準(zhǔn)的數(shù)字證書方式實(shí)現(xiàn)密鑰分配和管理。公鑰基礎(chǔ)設(shè)施PKI:一種利用公鑰理論和技術(shù)提供密鑰分發(fā)和數(shù)字證書管理的安全服務(wù)平臺。數(shù)字證書：數(shù)字證書是一段包含用戶身份信息、用戶公鑰信息以及身份驗(yàn)證機(jī)構(gòu)數(shù)字簽名的數(shù)據(jù)，是用來標(biāo)志和證明網(wǎng)絡(luò)通信雙方身份的數(shù)字信息文件。PKI的最基本元素是數(shù)字證書，所有安全操作都主要是通過數(shù)字證書來實(shí)現(xiàn)。信息安全技術(shù)與應(yīng)用X.509框架下的PKIPKI的組成：①RA（注冊中心）：②CA（認(rèn)證中心）：③證書發(fā)布庫：④密鑰管理與備份系統(tǒng)：⑤證書撤銷處理系統(tǒng)：⑥應(yīng)用接口系統(tǒng)：信息安全技術(shù)與應(yīng)用X.509標(biāo)準(zhǔn)證書最廣泛接受的X.509標(biāo)準(zhǔn)證書組成：①證書的版本號（version）：該證書使用的了X.509的哪種版本。②證書的序列號（serialnumber）：每個(gè)證書都有一個(gè)唯一的證書序列號。③證書所使用的簽名算法（algorithm+parameters）：指定證書使用的數(shù)字簽名加密算法和Hash算法；在解密對方用戶數(shù)字簽名時(shí)使用。④證書的發(fā)行機(jī)構(gòu)名稱（issuername）：證書頒發(fā)者標(biāo)識名。⑤證書的有效期（notbefore-notafter）：證書有效時(shí)間段，它的計(jì)時(shí)范圍為1950—2049。⑥證書所有人的名稱（subjectname）：證書擁有者主體識別名。⑦證書所有人的公開密鑰（algorithm+parameters+Key）：公鑰加密算法、參數(shù)和公鑰。⑧證書簽發(fā)者唯一身份標(biāo)識符（issueruniquename）。⑨證書擁有者唯一身份標(biāo)識符（subjectuniquename）。10證書發(fā)行者對證書的簽名（encrypted）：證書頒發(fā)者私鑰生成的簽名和算法。信息安全技術(shù)與應(yīng)用數(shù)字證書分為簽名證書和加密證書：簽名證書用于對用戶認(rèn)證信息數(shù)字簽名使用，來解密簽名和Hash運(yùn)算；加密證書用于對發(fā)送給用戶的數(shù)據(jù)進(jìn)行加密使用。在用戶取得PKI加密數(shù)字證書的前提下，就可以申請簽名證書和加密證書的簽發(fā)。簽發(fā)過程如圖：證書作用：（1）數(shù)字證書可以作為身份憑證，使雙方了解對方身份；（2）可以用來信息加密防止信息竊取和泄露；（3）可以用來解密數(shù)字簽名從而使發(fā)送方不能抵賴和防止假冒。證書簽發(fā)的基本流程信息安全技術(shù)與應(yīng)用基于X.509證書的認(rèn)證過程基于X.509的雙向認(rèn)證（為例）：①A發(fā)送信息：A生成一個(gè)隨機(jī)數(shù)Ya，可以用來防止假冒和偽造；接著用A的私鑰加密構(gòu)成Ka{Ta,Ya,B}（Ta為時(shí)間戳）發(fā)送給B。②B接收信息：先從PKI獲取A的公鑰證書，并從證書中提取A的公鑰，通過解密Ka{Ta,Ya,B}，驗(yàn)證A的身份是否屬實(shí)。從{Ta,Ya,B}驗(yàn)證自己是否是信息的接收人，驗(yàn)證時(shí)間戳是否接近當(dāng)前時(shí)間，Ya檢驗(yàn)是否有重放。③B發(fā)送信息：B生成一個(gè)隨機(jī)數(shù)Yb，接著用B的私鑰加密構(gòu)成Kb{Tb,Yb,A,Ya}發(fā)送給A。④A接收信息：先從PKI獲得B的公鑰證書，并從證書中提取A的公鑰，通過解密Kb{Tb,Yb,A,Ya}，驗(yàn)證B的身份是否屬實(shí)。從{Tb,Yb,A,Ya}驗(yàn)證自己是否是信息的接收人；驗(yàn)證時(shí)間戳Tb是否接近當(dāng)前時(shí)間，Yb檢驗(yàn)是否有重放。信息安全技術(shù)與應(yīng)用基于X.509證書的認(rèn)證過程基于X.509證書的認(rèn)證的特點(diǎn)：通過支持認(rèn)證中的公鑰加密和數(shù)字簽名，從而有效防止身份信息泄露、偽造、冒用和拒絕承認(rèn)的安全問題；身份信息由可信的PKI權(quán)威機(jī)構(gòu)管理和備份，很好地維護(hù)了身份信息，防止信息丟失。在此基礎(chǔ)上，借助于時(shí)間戳和隨機(jī)數(shù)參與認(rèn)證，更好地防止了重放攻擊；典型的類似于網(wǎng)絡(luò)數(shù)字身份證件的認(rèn)證形式，具有靈活適用的特點(diǎn)，被廣泛應(yīng)用。信息安全技術(shù)與應(yīng)用3.3訪問控制訪問控制是通過某種途徑準(zhǔn)許或限制訪問能力及訪問范圍的一種手段。每個(gè)想獲得訪問的用戶都必須經(jīng)過鑒別或身份認(rèn)證，這樣才能根據(jù)用戶對資源制定的訪問權(quán)利，控制用戶對資源按授權(quán)訪問。訪問控制通過限制對關(guān)鍵資源的訪問，防止非法用戶的侵入或因?yàn)楹戏ㄓ脩舻牟簧鞑僮鞫斐傻钠茐模瑥亩ＷC信息資源受控地、合法地使用。信息安全技術(shù)與應(yīng)用訪問控制的概念訪問控制包括3個(gè)要素：①主體（subject）：發(fā)出訪問指令、存取要求的主動方，通?？梢允怯脩艋蛴脩舻哪硞€(gè)進(jìn)程等。②客體（object）：被訪問的對象，通?？梢允潜徽{(diào)用的程序、進(jìn)程，要存取的數(shù)據(jù)、信息，要訪問的文件、系統(tǒng)或各種網(wǎng)絡(luò)設(shè)備、設(shè)施等資源。③訪問控制策略（Attribution）：一套規(guī)則，用以確定一個(gè)主體是否對客體擁有訪問權(quán)力或控制關(guān)系的描述。基于3要素，訪問控制的目的可概括為：限制主體對訪問客體的訪問權(quán)限，從而使計(jì)算機(jī)系統(tǒng)資源按照安全訪問策略能被在合法范圍內(nèi)使用。信息安全技術(shù)與應(yīng)用訪問控制關(guān)系描述訪問控制策略體現(xiàn)了訪問的授權(quán)關(guān)系即訪問控制關(guān)系。主要通過以下四種方法設(shè)計(jì)描述訪問控制關(guān)系：

訪問控制矩陣訪問能力表訪問控制表授權(quán)關(guān)系表信息安全技術(shù)與應(yīng)用訪問控制矩陣訪問控制矩陣：行表示客體（各種資源），列表示主體（通常為用戶），行和列的交叉點(diǎn)表示某個(gè)主體對某個(gè)客體的訪問權(quán)限（比如讀、寫、執(zhí)行、修改、刪除等）。關(guān)系file1file2file3fle4account1account2JackownrwownrwinquirycreditMaryrownrwwrinquirydebitinquirycreditLilyrwrownrwinquirydebit借（debit）操作和貸（credit）操作與寫操作類似，可以改動重寫賬戶信息信息安全技術(shù)與應(yīng)用訪問能力表矩陣在描述訪問控制關(guān)系是有很多空白頁。因此，可以從主體（行）出發(fā)，表達(dá)矩陣某一行的信息，這就是訪問能力表（capability）信息安全技術(shù)與應(yīng)用訪問控制表矩陣在描述訪問控制關(guān)系是有很多空白頁。因此，可以從客體（列）出發(fā)，表達(dá)矩陣某一列的信息，這便成了訪問控制表（ACL：accesscontrollist）。訪問控制表是目前采用最多的一種訪問控制關(guān)系實(shí)現(xiàn)方式。它可以對某一特定資源指定任意一個(gè)用戶的訪問權(quán)限，還可以將有相同權(quán)限的用戶分組，并授予組的訪問權(quán)。信息安全技術(shù)與應(yīng)用授權(quán)關(guān)系表主體訪問權(quán)限客體Jackownfile1Jackrfile1Jackwfile1Jackownfile3Jackrfile3Jackwfile3Maryrfile1Maryownfile2Maryrfile2Marywfile2Marywfile3Maryrfile4Lilyrfile1Lilywfile1Lilyrfile2Lilyownfile4Lilyrfile4Lilywfile4授權(quán)關(guān)系表按客體進(jìn)行排序的話，就可以擁有訪問能力表的優(yōu)勢，如果按主體進(jìn)行排序的話，又擁有了訪問控制表的好處。特別適合采用關(guān)系數(shù)據(jù)庫方式實(shí)現(xiàn)。信息安全技術(shù)與應(yīng)用訪問控制策略目前的主流訪問控制策略有自主訪問控制（DAC）、強(qiáng)制訪問控制（MAC）和基于角色的訪問控制（RBAC）。自主訪問控制（discretionaryaccesscontrol，DAC）是目前計(jì)算機(jī)系統(tǒng)中實(shí)現(xiàn)最多的訪問控制策略。自主，是指具有授予某種訪問權(quán)力的主體（用戶）能夠自己決定是否將訪問控制權(quán)限的某個(gè)子集授予其他的主體或從其他主體那里收回他所授予的訪問權(quán)限。其基本思想是：允許某個(gè)主體顯式地指定其他主體對該主體所擁有的信息資源是否可以訪問以及可執(zhí)行的訪問類型。信息安全技術(shù)與應(yīng)用強(qiáng)制訪問控制強(qiáng)制訪問控制（mandatoryaccesscontrol