第章 访问控制2

第8章访问控制李文媛教学目标本章介绍访问控制的原理、作用、分类和研究前沿，重点介绍自主访问控制、强制访问控制和基于角色的访问控制。通过本章的学习，应该掌握以下内容：(1)自主访问控制；(2)强制访问控制；(3)基于角色的访问控制。教学内容●8.1访问控制原理●8.2自主访问控制●8.3强制访问控制●8.4基于角色的访问控制●8.5常用操作系统中的访问控制8.1访问控制原理一、访问控制定义●访问是使信息在主体和对象间流动的一种交互方式。●访问控制是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。访问控制的目的是为了限制主体对客体的访问权限----能够访问系统的何种资源以及如何使用这些资源。4●主体（Subject）是指主动的实体，该实体造成了信息的流动和系统状态的改变。主体通常包括用户、进程和服务。

●客体（Object）是指包含或接受信息的被动实体。对客体的访问意味着对其中所包含信息的访问。客体通常包括记录、块、页、段、文件、目录、目录树和程序以及位、字节、字、字段处理器、显示器、键盘、时钟、打印机和网络节点、系统。5二、访问控制的任务⑴识别和确认访问系统的用户；⑵决定该用户可以对某一资源进行何种类型的访问。访问控制可以用三元组来表示：●S，主体集合(Subjectset)●O，对象集合(Objectset)●A，访问权(属性)集合(Attributionset)，包括读、写、执行等。6三、访问控制模型访问控制模型是规定如何作出访问决定的模型。实现访问控制的一般模型是访问矩阵（AccessMatrix）。访问控制模型包括一组由操作规则定义的基本操作状态。典型的状态包含：●一组主体（S）；●一组对象（O）；●一组访问权（A[S，O]）（包括读、写、执行和拥有）。7对于任意一个都存在相应的一个它代表了si可以对oj执行的操作。8这些授权对于主体可表示为访问权限，对于客体可表示为访问模式。显然，访问权限应是访问模式的子集。表8-1访问矩阵权限客体主体读写拥有执行修改9自主访问控制强制访问控制基于角色访问控制访问控制图8-夏1三种捏访问疫控制民模型访问乞控制珠模型挤涵盖轮对象思、主沾体和杀操作款，通零过对卸访问清者的由控制钓达到反保护劣重要珍资源昂的目幸的。访问拍控制烛模型凑能提您供机馆密性仔、完佣整性摘及记厨帐性巨。访问户控制非模型亲一般眯包括辽三种采：自主童访问摩控制、强制转访问遇控制和基于鹿角色瞧的访未问控虾制。10四、孕访问渐控制失的类砌型访问弄控制云主要糖包括禁六种控类型拼：⑴防御裕型控除制用于理阻止筒不良反事件姐的发尾生。⑵探测斧型控哨制用于荐探测庙已经健发生好的不畅良事村件。⑶矫正桶型控尽制用于饥矫正胜已经泡发生桶的不竞良事香件。⑷管理缩慧型控处制用于液管理计系统喇的开然发、拜维护血和使惧用，领针对简系统划的策饥略、商规程号、行考为规律范、航个人杨的角贴色和庭义务建、个姜人职静能和储人事肥安全永决策诱。11⑸技术玩型控排制是用得于为盏信息吴技术织系统例和应左用提撤供自拨动保银护的查硬件程和软踩件控朴制手漂段。⑹操作箱型控兽制是用豆于保嚼护操误作系熟统和艘应用魄的日迫常规防程和熟机制稍。五、坑访奖问控士制的茎手段访问课控制刘的手使段可呜分为三个层诉次：物理蔬类、管理琴类、技术雨类控制肠手段策，每盘个层衣次又狭可分护为防御逼型和温探测斯型。12表8-2访问控制的手段分类说明物理类控制手段管理类控制手段技术类控制手段防御型控制文书备份安全知识培训访问控制软件围墙和栅栏职务分离防病毒软件保安职员雇用手续库代码控制系统证件识别系统职员离职手续口令加锁的门监督管理智能卡双供电系统灾难恢复和应急计划加密生物识别型门禁系统计算机使用的登记拨号访问控制和回叫系统工作场所的选择灭火系统探测型手段移动监测探头安全评估和审计日志审计烟感和温感探头性能评估入侵探测系统闭路监控职务轮换传感和报警系统背景调查13教学师内容●8.渔1访问身控制盼原理●8.架2自主面访问催控制●8.杜3强制妄访问描控制●8.义4基于垮角色短的访凳问控析制●8.窗5常用讲操作妻系统班中的抽访问连控制自主患访问洁控制绞（Di极sc慎re裁ti粘on找ar祝y肢Ac葱ce篇ss枯C袋on税tr坛ol，DA壳C）是基于韵对主责体或病主体拼所属葱的主且体组禽的识宵别来邀限制驼对客炭体的桃访问。自主是指确主体切能够料自主霞的(可能谎是间色接的)将访央问权肤限或页访问巩权的净某个仔子集拣授予柏其他绍主体舍。8.规2自主伸访问岭控制15自主贝访问书控制览中一均个主抛体的刑访问昼权限就具有棚传递押性。如某迅交互险系统步的工总作流羡程：⑴用慎户登圆录；⑵启拼动某拨个进套程为款该用靠户做吵某项正工作⑶进霜程就堪继承真了该坡用户哗的属败性，帜包括雹访问龙权限错。●往访问控制爬灵活、可溉实现细粒维度访问当控制饼。常泽用的励操作彩系统蚕中的梢文件金系统扑支持DA你C策略左。●柳能够伶控制踩主体塔对客行体的单直接策访问取，但不能担控制葛主体闻对客辛体的凭间接眨访问（利绵用访书问的厨传递沟性）君。●难于改集中进行庄访问增控制浪和访袄问权欢力管庄理，容易安导致遇权限抖泄露。168.沟2.笨1访问赌控制田表方烧案访问辽控制孝表（Ac漠ce谣ss碧C结on男tr绞ol菜L每is槽t，AC采L）是以客嘴体为获中心都，用访问石矩阵来表炕示主须体对毫客体逐的访办问权询限。比即：敌每一哑个客饰体（傲目标绢对象眠）都醒基于AC悬L来表挨示每而个主俭体（蹈用户述）对壳该客批体的所访问惕权限鬼。UserAOwnRWUserBRUserCRWObject1图8-崭2访问慢控制单列表访问铅控制聋列表眉最适哄合于斑有相牛对少船的需抽要被区伍分的胃用户忆，并爷且这枣些用爆户中禽的绝孤大多柳数是惨稳定辱的情肝况。猾如果灵访问广控制醋列表贿太大降或经僻常改培动，拢维护贩访问云控制继列表烂会成宣为最亏主要罪的问鹿题。178.围2.郊2访问搁能力来表方捐案访问杆能力是指盆请求甲访问慌的发退起者心所拥瞎有的创一个搅有效工标签谣，它馆表明油授权重标签堆持有兵者可瓣以以守特定女的方柜式访疾问特欣定的跪客体羡。访问脂能力吩表（Ca盖pa包bi悲li细ti槽es绳L退is旦t，CL）也艳用一碑种矩暗阵表供示法佩，但以主量体为剃中心。每秤个主标体对彼应有盛一个嫂访问庭能力船表，洪指出钱其对遣各个荷客体家的访踩问权到限。Obj1OwnRWObj2RObj3RWUserA图8-世3访问旺能力奴表这种泽方法蛋的优牛缺点球与AC晕L相反绍。在分纸布式躲系统宇中，橡可允驳许主体只进耀行一次朋认证便获结得它冒的CL，不氏必在阵会话哗期间童不断穿地对弯各个箱分布丽的系候统进窜行授驱权申沟请和鞠处理泽。18授权翻关系谅方案授权搂关系茫（Au布th泡or顾iz挣at宋io亏n穗re薄la榜ti主on寇s）这估种方吐案是AC同L与CL的结文合，座使用关系来表民示访量问矩摩阵。每个判关系这表示伶一个酒主体浮对一疏个客友体的根访问炕权限编，并映使用关系演数据纯库来存册放这按个访芬问矩延阵。表8-3使用关系来表示访问矩阵用户A权限目标UserARObj1UserAWObj1UserAWObj2UserARObj2这种瞒方法某对于亩主体样和客认体的羞授权礼处理正都比仗较方冷便，停但本抖身的肆实现寺开销湖较大狗。19教学摘内容●8.鬼1访问椒控制泊原理●8.串2自主互访问偷控制●8.丙3强制陆访问步控制●8.注4基于再角色炊的访熟问控驻制●8.毅5常用丛操作泄系统幻玉中的瓦访问敌控制强制大访问贯控制屋（Ma盲nd邻at箭or任y住Ac投ce乐ss棵C奇on砖tr察ol，MA帜C）是凶一种丘不允弹许主据体干暖涉的双访问岸控制浇类型泊，是鞋基于安全免标识和信息赶分级的访羞问控道制。在MA存C模型花中，填由一起个授坊权机域构预普先定眼义主篇体的私可信因任级糊别和那客体倒的敏内感程贞度，快所有主体保（用要户、渗进程阳）和客体网（文玩件、催数据歼）都被桃分配庸了安呈全标邀签，悔安全桨标签肯标识阻一个谱安全得等级骑，如埋绝密辣级、敏机密鼠级、坝秘密法级和逗无密敏级。8.葡3强制渗访问沃控制21访问仪控制俊执行冈时根殊据主蝴体和哄客体绍的安茄全级闸别标芦记来碰决定划访问念模式渐，实秧现单傻向信速息流触通。⑴保障贸信息肤完整脊性—上读/下写策略低级庸别的泽主体钉可以辨读高洒级别详客体示的信羞息；低级劳别的愧主体逆不能椒写高会级别早的客鲜体。⑵保障次信息疫机密伙性—下读/上写策略低级罢别的旷主体崇不可卖以读虾高级枕别客挽体的饿信息糕；低级叛别的锄主体域可以两写高颜级别蜘的客哨体。22●宵能够避免DA毒C策略互中出熟现的豪访问钢传递驼问题莲。●太具有强制库性和析层次敢性的特男点。沿比如迫，高斜级别汇的权棚限可茫访问亡低级脉别的披数据卵。●高缺点读在于姐访问允级别葵的划分岛不够灭细致，在底同级碰别之林间缺臭乏控抖制机崭制。23在上透述两吹种传迁统的傅访问朗控制境中，主体斯始终溜是和属特定宿的实依体捆缓绑对其应的。用白户以步固定恋的用栏户名攀注册专，系欺统分挡配一块定的糟权限狐，该俗用户谈将始贷终以饱该用却户名纳访问款系统拐，直步至销育户。猾其间销，用满户的结权限砍可以康变更旗，但乳必须驰在系询统管枝理员倚的授凝权下白才能邀进行劣。在挑实际缘瑞应用猛中，眠不能注满足写需要天，主佩要问摆题在途于：⑴铸同一浅用户真在不狡同的露场合庭需要魔以不语同的兼权限坛访问孙系统菠，这士需要扬管理自员授伯权，热十分纷不便刷。⑵衰当用汤户量蛮大增愚时，川按每孩用户丽一个厚注册竭账号够的方你式将模使得携系统脊管理固变得璃复杂玩。⑶骑不容慕易实顽现层遥次化附分权饿管理供，尤格其是异当同键一用滑户在教不同刷场合饼处在渠不同辜的权指限层丙次时前，管似理很僵难实帐现。24教学减内容●8.奥1访问交控制鞠原理●8.据2自主奋访问塔控制●8.跃3强制巧访问僵控制●8.西4基于蚀角色砖的访敏问控庙制●8.浇5常用谈操作蔑系统欣中的笛访问冲控制基于森角色叛的访隙问控烤制（Ro资le语B尘as罗ed旦A铜cc迅es触s鞋Co叛nt狠ro端l，RB遇AC）是笑对自港主访露问控杰制和崭强制绢访问靠控制坦机制尖的改课进，世它基邮于用俯户在询系统舞中所醉起的拍作用令（角莫色）月来规职定其陆访问哪权限拒。在基硬于角搞色的项访问循控制袍模型红中，用户码不是侵自始摸至终授以同膝样的梢注册杜身份魄和权届限访粪问系莫统，宪而是饶以一肢定的刘角色筛访问浇。用户例在访任问系插统前电，经慰过角绒色认贵证而饶充当骆相应违的角衫色，用户昆获得酬特定雕角色轻后，璃系统必依然赏可以积按照费自主笨访问埋或强柿制访梁问机任制控青制角呼色的葛访问蓬能力挑。8.夸4基于闷角色毛的访放问控点制268.永4.耍1角色叫的概吩念角色册（ru促le）可被其定义摇为与醉一个诞特定宴活动概相关星联的兼一组缴动作瓦和责台任。唯角色童包括臂特征印、责秆任和窑资格灰等。主体堂担任雾角色香，完弦成角娘色规元定的训责任体，具勿有角世色拥黎有的丹权限羊。一个析主体刺可以损同时存担任祝多个阵角色漫，它陕的权盏限就浅是多考个角圾色权器限的锄总和。基袖于角航色的累访问铅控制茧就是爽通过糖各种负角色圾的不蛮同搭矛配授倾权来视尽可鹅能实宝现主装体的役最小凳权限朱。例如卵，担携任系害统管汗理员疤的用遮户便输有维退护系团统文管件的现责任复和权咱限，否而并计不管偷这个吸用户鸽是谁喇。278.射4.材2基于情角色壳的访体问控勿制基于雷角色伐的访先问控赌制就洗是通共过定枣义角话色的挪权限骆，为疮系统谦中的绍主体惨分配池角色棒来实抄现访松问控席制的承。S2RO1角色层(自定义)R1(最高层)R2……Rn(最低层)图8-4RBAC的基本思想S3S1O2O3S428图8-赔5陪RB忌AC模型29RB侨AC模型津的特付点：⑴提供永了三算种授暑权管律理的串控制敞途径改变睬客体仪的访臂问权歌限改变慨角色流的访首问权趁限改变医主体滋所担赌任的校角色⑵具有辟层次遭化的闪管理美结构⑶支持泛最小求特权丸。由于吐对主膜体的稠授权峡是通豪过角挡色定糊义，贡因此百调整蜜角色温的权引限粒虏度可裁以做剥到更紧有针府对性板，不隙容易痕出现吃多余掠权限伞。⑷支持曲权责仗分离30教学悔内容●8.衫1访问腐控制第原理●8.搬2自主显访问演控制●8.仙3强制浓访问编控制●8.熄4基于罩角色减的访副问控暴制●8.再5常用超操作燃系统安中的鸦访问酱控制8.趁5常用熄操作唤系统稿中的芝访问席控制操作洞系统沈安全届的重胖要性操作晓系统软作为织计算损机系浴统的棚基础故软件汗是用置来管督理计演算机株资源计、控币制整叉个系勒统而和运行尤的。静它直奖接和乐硬件困打交叨道，便并为杨用户族提供粉使用附和编介程接羞口。各种命计算扭机应倒用软刚件均泡建立误在操揪作系性统提蔽供的识系统膨平台锯之上谨，它垒们都雨是通度过操有作系烦统完冻成对主系统蛾中信佩息的浊存取泥和处稼理。帜所以奥上层羊的应眠用软纲件要梦想获扶得运悟行的鲜高可钓靠性骂和信狭息的象完整往性与移保密蹈性，演就必轮须依唐赖操岭作系止统提束供的础系统遗软件做基础猜。32各种英数据请库通嘴常也港是建丙立在晚操作楚系统熔之上捉的，犁它们程依靠沃操作魂系统胡安全扩机制碗的支普持，拴实现朵对数告据的帐安全劳存取耽。因川此，金数据翼库的毕安全冶可靠宝性也适是依农赖于尽操作梨系统亩平台伴的。网络控环境介中，细网络曲系统制的安腔全性姓依赖驻于网漏络中替各主任机系巴统的拖安全召性，雁而主帮机系罩统的场安全怠性正混是由绞操作巩系统例的安亮全性乓所决皆定的券，没军有安较全的壁操作辟系统贸的支期持，毕网络堪安全水也毫轨无根挂基可优言。因此批，可暖以说戏操作凯系统把的安革全是作整个尊计算鹊机系到统安陵全的槽基础贫，没唐有操由作系销统安屯全，奏就不殃可能饶真正馆解决摔数据鼠库安轧全、出网络参安全密和其梦他应庄用软尊件的蹄安全矮问题细。33操作弦系统煮的安拍全服马务操作鹿系统节的安夹全机永制主峡要体名现在身份雅认证和访问泽控制两个至方面泊：身份亮认证是要穗保护摩合法挖的用毛户使稍用系愿统，竞防止卖非法区入侵废。访问垄控制是要稿保证溪授权逼和受删控的食访问反、使椒用系季统资朋源。身份认证访问控制系统34认证泽机制燥与访螺问控平制机贱制不冈能很耳好地倦相互道配合嫌和衔盏接，使踏得通椅过认融证的缺合法翠用户登进行灾的非笑法操脊作的浪机会父大大束增加烂。例如溉，能鹊够物层理上息访问Wi除nd枕ow主s技NT机器屠的任虎何人彼，可呆能用露工具缘瑞程序径来获部得Ad壁mi稳ni延st红ra守to墓r级别拦的访掀问权盛。358.崇5.干1Wi产nd叔ow暖s毯20焦03柱S恼er饱ve痕r的访问抢控制Wi拔nd筹ow蛮s忍20尾03具有模块踢化的设肥计结笼构。秒该操胳作系渠统由剂一组暗软件稿模块钻构成阅，称僚为执址行程锄序服晌务，复运行迅在内滋核模复式下霉。在您内核柴模式牺之上当的是李用户台模式源，用治户模右式由贪非特调权的涉服务载组成少，称等为保买护子酒系统愧，它塌们的膨启动料由用烟户来虾决定规。36Wi肺nd郊ow后s星20畏03的安开全性埋依赖萍于Wi抗nd榨ow荡s绑20月03的核销心层津，它拣们在策每个可层次浙提供艘一致脚的安痛全模四型。Wi储nd麦ow娘s弹20抄03的安乱全模论型由徒几个显关键译的子视系统场构成存，这烦些安划全子五系统贱控制骑着Wi走nd财ow通s锣20侦03操作擦系统魄，是招与操再作系僻统密壳不可个分的羞。Wi近nd齿ow限s忆20岂03安全忙模型牧主要草由登录蒸过程、本地旦安全夺认证、安全钥账号知管理洒器、安全孝参考辛监视啊器构成更。1.Wi赤nd娃ow从s虫20宋03的安全陡模型洽与基亦本概埋念37⑴登录或过程(L厌og秩on券P讲ro遇ce悉ss，LP奋)接受贤本地讲用户拜或者唐远程侨用户毛的登柴录请沿求，抗用以穴确认枝用户虚身份晌是否体合法浴，从岸而确援定用昨户对肢系统肠资源画的访墓问权宁限。⑵本地验安全夸认证(L冶oc剃al智S缓ec预ur阀it掏y惜Au饼th航or庆it士y，LS丧A)Wi灭nd膏ow穷s渠20吴03安全缝模型墙的核荣心，赛它通曲过确伙认安厨全账作号管须理器卵中的退数据顿信息阅来处摊理用弯户从触本地笨或远贷程的余登录胃。⑶安全费账号哥管理锡器(S锋ec占ur霞it秤y超Ac恩co四un沟t兆Ma许na届ge洽r，SA矮M)维护火安全拉账号贝管理巾数据腾库，床即SA设M数据中库。⑷安全远参考济监视洽器(S晨ec逢ur呈it孕y吊Re帆fe盈re融nc牲e精Mo拖ni胃to坟r，SR储M)检查纯主体档的访杠问权今限，苏阻止罗非授珍权用糠户访甜问对生象。Wi应nd鹅ow君s详20丑03的安全论模型38⑴安全菌标识糠符(S誉ID晒)。安全别标识跟符和亿账号己唯一额对应毒，在烛账号暴创建示时创磁建，疮账号工删除赤时删舒除，棚而且蹲永不批再用邪。它与增对应浑的用苦户和袍组的鸽账号座信息比一起眯存储剃在SA冒M数据限库里塞。⑵炮访问束令牌(A黄cc摆es蕉s爱To汤ke塘n)。用户号登录仿时，抢本地需安全漫认证悼产生衡一个后访问葬令牌招，包闯括用构户名特、所窜在组瞒和安成全标仇识等撤信息袋。以酷后用彻户的助所有挺进程岁均有林访问扣令牌旗的拷隐贝。⑶主填体。用户互进行贼的操衰作和袖访问雾令牌润一起眠构成昨一个笔主体息。⑷对越象。封装独了数舅据和潮处理打过程览的一边系列驰信息许的集见合。⑸安疏全描征述符援（SD）。包含叔了该边对象环的一饼组安箱全属罩性。Wi霞nd合ow乎s狠20浑03的基本反概念39用户醉登录卷时，登录幅主机昆把用朋户输鸡入的巩信息庄通过蛇安全光系统融传输级到安援全账很号管滔理器援，并谷由安忠全账沈号管背理器借把此灰信息坦同安连全账柿号数镇据库浆进行晨比较剖，如笨果两狗者匹占配，恢则允抽许用难户进淡行访僵问，然后灵本地酒安全之认证肃开始矛构造拖访问医令牌选，将樱访问亭令牌放与用灭户进列行的捡所有确操作匹相连家接，方构成些一个夸主体妇。主狭体访塑问一傍个对籍象时虽，将笨由访仍问令搁牌的呆内容笛决定都是否还能够扣访问侨。当用揉户或焦者用吼户生起成的婆进程屈要访秃问某豪个对铜象时亡，安样全参丸考监招视器则将用蠢户/进程袄的访腰问令地牌中下的SI隶D与对黄象安坏全描正述符腿中的贞自主织访问亭控制恨表进律行比闭较，俯从而敌决定状用户罩是否启有权梦访问身对象站。2.Wi亚nd浊ow枪s掏20塑03的访问雷控制瓦过程401.用户守和用聋户组在Wi剖nd修ow族s边20降03中，俯每个争用户著必须熟有一渠个帐镰号。蜓用户联帐号恭是系升统安呼全的份核心石，系逢统网爷络中架发生盒的一离切活饺动都喇可以架以此英帐号东追溯饮到特虚定的栋授权蚁用户笼。在镇登录坟计算悼机时耻，系窗统将搞用户哥帐号忠数据剑信息毕同用附户的冬安全割数