访问控制模型

1、POWEPOINT适用于简约清爽主题及相关类别演示访问控制欧阳恒宜 曲文芳 张丽欣王单单 王宁 殷少鹏 目录定义基本内容访问控制策略、 访问控制机制、 访问控制模型定义 概念 ：访问控制（Access Control）是通过某种途径显式地准许或者限制访问能力及范围的一种方法，是针对越权使用系统资源的防御措施。目的：保证系统资源受控地合法地使用通过限制对关键资源的访问，防止非法用户侵入，防止合法 用户不慎操作造成的破坏限制用户能做什么，限制系统对用户操作的响应满足国际标准协议的要求作用：访问控制对机密性、完整性起直接的作用。对于可用性，访问控制通过对以下信息的有效控制来实现：（1）谁可以颁发影响

2、网络可用性的网络管理指令（2）谁能够滥用资源以达到占用资源的目的（3）谁能够获得可以用于拒绝服务攻击的信息目录定义基本内容访问控制策略、 访问控制机制、 访问控制模型基本内容访问控制首先需要对用户身份的合法性进行验证，同时利用控制策略进行选用和管理工作。当用户身份和访问权限验证之后，还需要对越权操作进行监控。因此，访问控制的内容包括认证、控制策略实现和安全审计。1、认证：包括主体对客体的识别及客体对主体的检验确认2、控制策略：通过合理地设定控制规则集合，确保用户对信息资源在授权范围内的合法使用。既要确保授权用户的合理使用，又要防止非法用户侵权进入系统，使重要信息资源泄露。同时对合法用户，也不能

3、越权行使权限以外的功能及访问范围3、安全审计：系统可以自动根据用户的访问权限，对计算机网络环境下的有关活动或行为进行系统的、独立的检查验证，并做出相应评价与审计发起者发起者Initiator访问控制实施功能访问控制实施功能AEF访问控制决策功能访问控制决策功能ADF目标目标Target提交访问请求提交访问请求SubmiSubmit tA Access Requestccess Request提出访问请求提出访问请求PresentAccess Request请求决策请求决策Decision Request决策决策Decision访问控制模型基本组成：发起者(Initiator)/主体(Subje

4、ct):是一个主动的实体,规定可以访问该资源的实体,(通常指用户或代表用户执行的程序)目标(target)/客体(Object):规定需要保护的资源授权(Authorization):规定可对该资源执行的动作(例如读、写、执行或拒绝访问)一个主体为了完成任务，可以创建另外的主体，这些子主体可以在网络上不同的计算机上运行，并由父主体控制它们主客体的关系是相对的授权信息Log身份认证身份认证访问控制访问控制审计审计授权（授权（authorization）主体主体客体客体访问控制与其他安全机制的关系：目录定义基本内容访问控制策略、 访问控制机制、 访问控制模型访问控制策略是对访问如何控制、如何作出访

5、问决定的高层指南访问控制策略 访问控制机制访问控制机制是访问控制策略的软硬件低层实现访问控制机制与策略独立，可允许安全机制的重用安全策略和机制根据应用环境灵活使用访问控制模型发展历史最早由Lampson提出了访问控制的形式化和机制描述,引入了主体、客体和访问矩阵的概念,它们是访问控制的基本概念。对访问控制模型的研究,从早期的20世纪六、七十年代至今,大致经历了以下 4 个阶段:第一阶段：20世纪六、七十年代应用于大型主机系统中的访问控制模型,较典型的是Bell-Lapadula模型和HRU模型。Bell-Lapadula模型着重系统的机密性,遵循两个基本的规则:“不上读”和“不下写”,以此实现

6、强制存取控制,防止具有高安全级别的信息流入低安全级别的客体,主要应用于军事系统中。第二阶段：美国国防部(Department of Defense,简称DoD)在1985年公布的“可信计算机安全评价标准(trusted computer system evaluation criteria,简称 TCSEC)”中明确提出了访问控制在计算机安全系统中的重要作用,并指出一般的访问控制机制有两种:自主访问控制DAC和强制访问控制MAC。目前,DAC和MAC被应用在很多领域。第三阶段：从1992年最早的RBAC模型,即Ferraiolo-Kuhn模型的提出,到 Sandhu等人对RBAC模型的研究,先

7、后提出了RBAC96,ARBAC97，ARBAC99模型,再到2001年NIST RBAC标准的提出。Ferraiolo-Kuhn模型将现有的面向应用的方法应用到RBAC模型中,是RBAC最初的形式化描述。NIST RBAC参考模型对角色进行了详细的研究,在用户和访问权限之间引入了角色的概念,为RBAC模型提供了参考。第四阶段：此后,对访问控制模型的研究扩展到更多的领域,比较有代表性的有:应用于工作流系统或分布式系统中的基于任务的授权控制模型(task-based authentication control,简称TBAC)、基于任务和角色的访问控制模型(task-role-based acc

8、ess control,简称T-RBAC)以及被称作下一代访问控制模型的使用控制(usage control,简称UCON)模型,也称其为ABC模型。访问控制模型DAC 自主访问控制 Discretionary Access Control 20世纪70年代分时系统 Unix、WINDOWS普遍采用 客体的拥有者全权管理其授权，被授权者可传递权限 从ACM角度说基于行，“基于主人的访问控制”DAC缺点：管理权分散 拥有者拥有管理权，不利于集中访问控制信息易泄漏，比如木马篡改数据、胡乱授权客体的真正拥有者不是主体，而是组织单位本身， 从而造成所有权混乱拥有者调离和死亡需要特殊处理存在职权滥用现象

9、主体间关系不能直接体现，不易管理访问控制模型MAC强制访问控制 Mandatory Access Control 1965年Multics操作系统（B级安全评价标准） 本质：基于格的单向信息流授权过程安全管理员（Security Officer）预定义主体信任级别、 客体安全级别系统比较主体和客体级别后自动授权安全管理员特殊授权可归类为ACM，常和DAC结合使用上读下写（数据完整性）下读上写（数据保密性）MAC缺点：不灵活级别定义繁琐，工作量大，管理不便有些场合无法定义合理的级别，主体信任级别和客体安全级别和现实情况不能一致过于强调保密性，对系统连续工作能力和可管理性考虑不足不能实现完整性控制

10、，不适合WEB，原因：多级访问控制访问控制模型RBAC 基于角色的访问控制 Role Based Access Control，20世纪90年代，John F.Barkley，Ravi Sandhu 角色一个或者一组用户在组织内可执行的操作的集合（组、角色是聚合体Aggregation） 角色隔离主体和客体，是权限的集合，权限变成角色对客体的操作许可 主体和角色、角色和权限、权限和客体、权限和操作四种关系均是多对多RBAC优点：减小授权复杂度，提高效率质量 不再存在大量权限的直接变动和授予，而是通过变化较少的角色变动和授予替代动态管理 权限变更只影响涉及的角色，修改角色的权限动态反应到具有角色

11、的所有主体，主体可自行禁用或者启用拥有的角色，系统也可根据情况自动禁用启用主体角色，角色启用禁用可使用密码授权基本和现实情况符合，失真较小 管理员负责简单工作（比如角色到主体的映射），研发人员负责复杂工作（比如客体、操作、权限到角色的映射）RBAC96：4个子模型RBAC0满足最小需求RBAC1在RBAC0基础上加“角色层次” RBAC2在RBAC0基础上加“约束”RBAC3 =RBAC1+ RBAC2RBAC0RBAC1RBAC2RBAC3RBAC非法合法规则:无角色则无权（非法）主体角色经过授权则主体有权（合法）主体角色有客体操作的权限则主体有权（合法）RBAC功能规范:管理功能系统支持功

12、能审查功能RBAC缺点:静态授权，任务完成后权限没有收回，没有考虑上下文基于主体、客体，被动访问控制，从系统角度出发，不能主动防御 基于任务的访问控制模型，是一种采用动态授权的主动安全模型 将访问权限和任务结合，每个任务都是主体使用权限对客体的访问过程，任务执行完权限被消耗，不能再对客体进行访问 授权不仅和主体客体有关，而且和任务内容、任务状态等有关；访问权限随着任务上下文而变化 任务要进行的一系列操作的有序集合，属性包括内容、状态、执行结果、生命周期等 任务间关系依赖、排斥访问控制模型TBACTBAC缺点:没有角色概念，和现实不符合访问控制并不都是主动的，也有被动的T-RBAC在TBAC上加上角色建立角色和任务的映射关系 用户控制 Usage Contro