BIT5信息系统安全机制-访问控制ppt课件

1、访问控制技术孙建伟计算机网络攻防对抗技术实验室北京理工大学.内容概要访问控制原理自主访问控制强迫访问控制基于角色的访问控制常用操作系统中的访问控制.概念通常运用在信息系统的平安设计上。定义：在保证授权用户能获取所需资源的同时回绝非授权用户的平安机制。目的：为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内运用；它决议用户能做什么，也决议代表一定用户身份的进程能做什么。未授权的访问包括：未经授权的运用、泄露、修正、销毁信息以及颁发指令等。非法用户进入系统。合法用户对系统资源的非法运用。.客体Object：规定需求维护的资源，又称作目的target)。主体Subject：或称为发起

2、者(Initiator)，是一个自动的实体，规定可以访问该资源的实体，通常指用户或代表用户执行的程序。授权Authorization)：规定可对该资源执行的动作例如读、写、执行或回绝访问。.访问控制模型根本组成.义务识别和确认访问系统的用户。认证鉴权决议该用户可以对某一系统资源进展何种类型的访问。授权审计.访问控制与其他平安效力的关系模型 援用监 控器身份认证访问控制授权数据库用户目的目的目的目的目的审 计平安管理员访问控制决策单元.访问控制的普通实现机制和方法普通实现机制 基于访问控制属性 访问控制表/矩阵 基于用户和资源分档“平安标签 多级访问控制常见实现方法 访问控制表ACL) 访问才干

3、表Capabilities) 授权关系表.访问矩阵定义客体(O)主体(S)权限(A)读(R)写(W)拥有(Own)执行(E)更改(C) .举例MEM1MEM2File1File2File3File4User1r,w,eo,r,eUser2r,w,eo,r,e问题：稀疏矩阵，浪费空间。.访问控制类型自主访问控制强迫访问控制基于角色访问控制访问控制.自主访问控制Discretionary Access Control.概念基于对主体或主体所属的主体组的识别来限制对客体的访问，这种控制是自主的。自主指主体可以自主地将访问权或访问权的某个子集授予其他主体。如用户A可将其对目的O的访问权限传送给用户B,

4、从而使不具备对O访问权限的B可访问O。缺陷： 信息在挪动过程中其访问权限关系会被改动：平安问题.访问控制表Access Control List基于访问控制矩阵列的自主访问控制。每个客体都有一张ACL，用于阐明可以访问该客体的主体及其访问权限。.举例：File1File2File3File4客体目录User1o,r,wUser2rUser3r,wACL表User1eUser2o,eUser3rUser4eUser2rUser3ro:Ownerr:Readw:Writee:Excute.oj表示客体j，si.rw表示主体si具有rw属性。s0.rs1.es2.rwoj.问题：主体、客体数量大，影

5、响访问效率。处理：引入用户组，用户可以属于多个组。主体标识=主体.组名如Liu.INFO表示INFO组的liu用户。*.INFO表示一切组中的用户。*.*表示一切用户。.liu.INFO.rw表示对INFO组的用户liu具有rw权限。*.INFO.rw表示对INFO组的一切用户具有rw权限。*.*.rw表示对一切用户具有rw权限。Liu.INFO.r*.INFO.e*.*.rwoj.访问才干表Access Capabilities List基于访问控制矩阵行的自主访问控制。为每个主体用户建立一张访问才干表，用于表示主体能否可以访问客体，以及用什么方式访问客体。.File1o,r,wFile2r

6、File3r,w文件名File2o,eFile3r客体(文件)File1File2File3o:Ownerr:Readw:Writee:Excute举例：权限用户A的目录用户B的目录访问才干表.强迫访问控制Mandatory Access Control.概念为一切主体和客体指定平安级别，比如绝密级、级、级、无秘级。不同级别的主体对不同级别的客体的访问是在强迫的平安战略下实现的。只需平安管理员才干修正客体访问权和转移控制权。对客体拥有者也不例外.MAC模型绝密级级级无秘级写写读读完好性严密性.平安战略保证信息完好性战略级别低的主体可以读高级别客体的信息不严密，级别低的主体不能写高级别的客体保证

7、信息完好性保证信息性战略级别低的主体可以写高级别客体的信息不保证信息完好性，级别低的主体不可以读高级别的客体严密.举例：Security-Enhanced Linux (SELinux) for Red Hat Enterprise LinuxAppArmor for SUSE Linux and UbuntuTrustedBSD for FreeBSD.基于角色的访问控制Role Based Access Control.概念来源于UNIX系统或别的操作系统中组的概念基于组的自主访问控制的变体每个角色与一组用户和有关的动作相互关联，角色中所属的用户可以有权执行这些操作角色与组的区别组：一组用

8、户的集合角色：一组用户的集合 + 一组操作权限的集合.RBAC模型用 户角 色权 限访问控制资 源1、认证2、分派3、恳求4、分派5、访问.角色控制优势便于授权管理 授权操作：n*m 变成 n*r+r*m=r*(n+m)便于角色划分便于赋予最小特权便于职责分担便于目的分级.一个基于角色的访问控制的实例在银行环境中，用户角色可以定义为出纳员、分行管理者、顾客、系统管理者和审计员访问控制战略的一个例子如下：1允许一个出纳员修正顾客的帐号记录包括存款和取款、转帐等，并允许查询一切帐号的注册项2允许一个分行管理者修正顾客的帐号记录包括存款和取款，但不包括规定的资金数目的范围并允许查询一切帐号的注册项，

9、也允许创建和终止帐号.3允许一个顾客只讯问他本人的帐号的注册项4允许系统的管理者讯问系统的注册项和开关系统，但不允许读或修正用户的帐号信息5允许一个审计员读系统中的任何数据，但不允许修正任何事情系统需求添加出纳员、分行管理者、顾客、系统管理者和审计员角色所对应的用户，按照角色的权限对用于进展访问控制。.常用操作系统中的访问控制.国际平安规范1984年，美国国防部发布了TCSEC，即桔皮书。TCSEC采用等级评价的方法，将计算机平安分为A、B、C、D四个等级八个级别，D等平安级别最低，A平安级别最高。如今大多数通用操作系统WindowsNT、Linux等为C2级别，即控制访问维护级。.Windo

10、wsNT (自主访问控制)Windows平安模型Security Account ManagerLocal Security Authority (LSA) Security Reference Monitor.访问控制过程组成部件：平安标识：帐号的独一对应。访问令牌：LSA为用户构造的，包括用户名、所在组名、平安标识等。主体：操作和令牌。对象、资源、共享资源平安描画符：为共享资源创建的一组平安属性一切者平安标识、组平安标识、自主访问控制表、系统访问控制表、访问控制项。.登录过程效力器为任务站前往平安标识，效力器为本次登录生成访问令牌用户创建进程P时，用户的访问令牌复制为进程的访问令牌。P进程

11、访问对象时，SRM将进程访问令牌与对象的自主访问控制表进展比较，决议能否有权访问对象。.NTFS的访问控制从文件中得到平安描画符包含自主访问控制表；与访问令牌包含平安标识一同由SRM进展访问检查.Linux (自主访问控制)设备和目录同样看作文件。三种权限：R:readW:writeX:excute权限表示：字母表示：rwx，不具有相应权限用-占位8进制数表示：111，不具有相应权限相应位记0.四类用户：root：超级用户一切者所属组其他用户.文件属性：drwxr-x-x 2 lucy work 1024 Jun 25 22:53 text平安属性： drwxr-x-x 一切者，所属组：lucy.work平安属性后9个字母规定了对一切者、所属组、其他用户的权限各3位。lucy.work.rwx*.