计算机安全6访问控制表能力表

1、访问控制表能力表访问控制机制Access Control Matrix访问控制列表Access Control List能力表Capability based access control锁和钥匙.Rings-based access control访问控制列表Access Control List (ACL). ACM的行. Definition: Let S be set of subjects and R the set of rights of a system. An access control list l is a set of pairs l = (s, r): s S, r

2、 R Let acl be a function that determines the access control list associated with a particular object o. Acl(o) = (si, ri) : 1 i n means that subject si may access o using any right in ri.访问控制列表ACM的列 file1file2file3AndyrxrrwoBettyrwxorCharlierxrwowACLs:file1: (Andy, rx) (Betty, rwxo) (Charlie, rx) fi

3、le2: (Andy, r) (Betty, r) (Charlie, rwo) file3: (Andy, rwo) (Charlie, w) 默认权限如果许多主体对特定文件具有相同权限UNICOS: entries are (user, group, rights)If user is in group, has rights over file* is wildcard for user, group(holly, *, r): holly can read file regardless of her group(*, gleep, w): anyone in group gleep

4、can write file文件访问用户不在文件的 ACL 中，也不在ACL 中的任意的组中: 拒绝访问ACL 中拒绝用户的访问: deny access用户拥有：ACL表中该用户的权限的集合简化的 ACLUNIX用户组: 文件拥有者，组成员，其他用户简化降低了访问控制的粒度.用非简化的ACL扩充简化的ACL简化访问控制表: UNIX课后阅读： 参考书 UNIX权限管理部分Unix set userid (suid) 能力表能力表capability 是ACM 的行.定义: Let O be set of objects, and R the set of rights of a system

5、. A capability list c is a set of pairsC = (o, r): oO, r R Let cap be function that determines capability list c associated with subject s. Then cap(s) = (oi, ri):1 i n is that subject s may access oi using any right in ri. 能力表Rows of access control matrix file1file2file3AndyrxrrwoBettyrwxorCharlier

6、xrwowC-Lists:Andy: (file1, rx) (file2, r) (file3, rwo) Betty: (file1, rwxo) (file2, r) Charlie: (file1, rx) (file2, rwo) (file3, w) 能力能力是访问许可证，类似于票用户具有一定的对能力表控制能力 OS 负责审查能力表的完整性 否则用户可伪造权利自主型访问控制实现标签Bits protect individual hardware words from being modified内存分页/分段的保护bitLike tags, but put capabilities

7、 in a read-only segment or pagePrograms must refer to capabilities by pointersOtherwise, program could use a copy of the capabilitywhich it could modify密码学使用数字签名，OS掌握密钥进程提交能力表时, OS 验证能力表的完整性能力表复制、增强能力表的复制意味着给权利.暂时增强权限撤销为了撤销对一个客体的访问权：扫描每一个 C-lists, 删除全部对该客体的授权工作量大到不可行!间接引用每个客体对应一个表项（在全局客体表中）能力表中使用表中的

8、号代表 客体撤销：将客体的表项设为无效对客体的不同权限都对应一个表项没有对复制的限制就无法实现Bell-LaPadulalough 属于低安全级, Heidi 属于高安全级Heidi 如果拷贝lou的能力表，则她能写低级文件！能力表的限制解决给能力表加安全级能力表的安全级别与客体的安全级别相同在例子中，能力拷贝到高级，级别为高级，高于客体的级别, 写权限被删除由审核程序（内核）检查是否满足安全模型区分 “read” 和 “copy” 能力Take-Grant 模型ACL vs 能力表访问控制的两个问题:1 主体：能访问哪些客体，怎样访问?2 客体：能被哪些主体访问，怎样访问?1能力表，2 AC

9、L. 2被提出的次数比1多, ACL用得更多.主动代理、分布式计算偏爱能力表锁、钥匙同时具有ACL 和 能力表的特征.客体：加锁， ACL主体：钥匙，用于访问客体，能力表如果主体的一把钥匙与客体的一把锁匹配，则授予主体适当的访问类型动态 dynamicACLs,能力表手工改动锁和钥匙可根据系统约束等自动改变.密码学实现加密密钥： 锁 ; 解密密钥 钥匙Encipher object o; store Ek(o)Use subjects key k to compute Dk(Ek(o)Or-access: n 中任意一员可访问 o: storeo = (E1(o), , En(o)And-ac

10、cess: 全体 n 才能访问 o: storeo = (E1(E2(En(o)门限秘密分享如何是十人中的任意三人可获得文件的访问权？银行军队. 秘密分享分权原则 (t, n)-门限方案秘密分割为 n 部分，每部分称为shadow任意 t 个部分可恢复原始数据用Or-access 和 and-access 能实现思考练习(t, n)-门限方案密码学方案Shamir方案目标: (t, n)-门限方案Lagrange 多项式Idea: 阶为t 1的多项式 P(x), P(0) = S = 秘密给出 P 在 n 个点上的值（shadow）, 不包括 x = 0至少 t 个shadow才可解出P的系数

11、, 进而得到P(0)所有运算都是模 p 的，且 S, n p 例: (2, 4) 门限方案Secret = S = 3(t, n) = (2, 4) 门限S, n 2Secret = S = 3(t, n) = (3, 4) 方案S, n, p = 7多项式 P(x) 的阶 t-1 = 2 P(0) = S = 3P(x) = x2 + 4x + 3 mod 7Shadows:任意四个点的多项式值Example: P(1), P(2), P(3), P(4)重构秘密给定 (xi, P(xi)=yi) (0i2任意3个shadow可定义一个二次式P(1) = 1, P(2) = 1, P(3) = 3, P(4) = 0例如：由(P (1), P(2), P(4)可得到Lagrangian 插值:P (x)= 1 (x-2) (x-4