Ch07认证技术与访问控制.ppt

网络与信息安全 Ch07 认证技术与访问控制 1 1 本章学习目的 n理解报文认证的类型 n掌握身份认证概念、常用的身份认证技 术 n理解身份认证的应用(PPP，AAA认证 ) n掌握访问控制及分类 n了解访问控制的应用环境 2 2 第一部分 认证技术 3 3 1 概述 n认证（Authentication）就是对于证据的 辨认、核实、鉴别，以建立某种信任关系 。 n两类认证： 报文认证 身份认证 n报文认证，包括报文源、报文内容和报文 时间性的认证； 4 4 2 身份认证 n身份认证的概念： 证实用户的真实身份与其所声称的身份是否相符的过 程 包括：识别、验证 n身份认证系统三部分： 认证服务器 认证系统用户端 认证设备 n身份认证协议 双向、单向、其它协议（略） 5 5 3 常见的身份认证技术 n生物特征 指纹、虹膜和视网膜、DNA n零知识证明 交互式、非交互式 6 6 指纹的细节特征 指纹识别主要涉 及4个过程：读 取指纹图像、提 取指纹特征、保 存数据和比对。 目前已经开发出 计算机指纹识别 系统，可以比较 精确地进行指纹 的自动识别了。 7 7 虹膜识别 虹膜是位于眼睛黑色瞳孔与白色巩膜之间的环形 部分。它在总体上呈由里向外的放射状结构，并 包含许多相互交错的类似斑点、细丝、冠状、条 纹、隐窝等形状的细微特征。这些细微特征信息 也被称为虹膜的纹理信息，主要由胚胎发育环境 的差异决定，因此对每个人都具有唯一性、稳定 性和非侵犯性（非接触性）。 虹膜识别系统主要由虹膜图像采集装置、活体虹 膜检测算法、特征提取和匹配几个模块组成。 8 8 DNA识别 o脱氧核糖核酸，生物的全部遗传信息都储存 于DNA分子中； o遗传基因只占DNA全长的3%-10%； o随机检查两人的DNA图谱，其完全相同的 概率仅为三千亿分之一； o也许是未来的主流？不确定 9 9 身份认证的应用： oPPP中的认证 o定义 o提供两种可选的认证方法 oPAP,CHAP oEAP是机制 oAAA认证体系及其应用 oAAA的含义：认证、授权、审计 o优点 1010 第二部分 访问控制 1111 1 概述 1.1 什么是访问控制 1.2 访问控制与其他安全措施的关系 1.3 主体与客体 1.4 访问权限 1212 1.1 什么是访问控制 l访问控制（Access Control）是对信息系统资 源的访问范围以及方式进行限制的策略。简单地 说，就是防止合法用户的非法操作。 l身份认证解决了访问者是否合法者，但并非身份 合法就什么都可以做，还要根据不同的访问者， 访问控制规定他们分别可以访问哪些资源，以及 对这些可以访问的资源可以用什么方式（读？写 ？执行？删除？等）访问。 1313 访问控制可以描述为：主动的主体（Subject）使用某 种特定的访问操作去访问一个被动的客体（Object）， 所使用的特定的访问操作受访问监视器控制，如图： 主体 身份认证 访问控制 客体 访问控制决策模块 访问请求 权限 访问控制模型 1.2 主体与客体 1414 主体和客体都是访问控制系统中的实体。 主体是发出访问请求的主动方，通常是用户或 用户进程。 客体是被访问的对象，通常是被调用的程序、 进程，要存取的数据、文件、内存、系统、设 备、设施等资源。信息系统的安全目标就是控 制和管理主体对客体的访问。 安全策略，就是对这些访问进行约束的一组规 则和目标，它反映了系统的安全需求，并可以 用达到安全目的而采取的步骤进行描述。 1515 2 访问控制模型 n2.1 自主访问控制 n2.2 强制访问控制 n2.3 基于角色的访问控制 n2.4 基于任务的访问控制 1616 2.1 自主访问控制 n自主访问控制模型（DAC Model， Discretionary Access Control Model） 定义：基于对主体或主体所属的主体组的识别 来限制对客体的访问，这种控制是自主的。 自主：主体能够自主地按自己的意愿对系统的 参数做适当地修改，以决定哪个用户可以访问 它的文件。 访问控制矩阵 缺点：访问权的授予是可以传递的。 1717 2.2 强制访问控制 n强制访问控制模型（MAC Model： Mandatory Access Control Model） MAC是一种多级访问控制策略，数据所有者无权决 定文件的访问权限，权限由操作系统决定，可能覆 盖所有者 基于安全属性实现：事先给访问主体和受控对象分 配不同的安全级别属性，在实施访问控制时，系统 先对访问主体和受控对象的安全级别属性进行比较 ，再决定访问主体能否访问该受控对象。 MAC对访问主体和受控对象标识两个安全标记：一 个是具有偏序关系的安全等级标记；另一个是非等 级分类标记。BLP模型是一个例子。 1818 n强制访问控制(MAC)中，系统包含主体集S和客体集O，每 个S中的主体s及客体集中的客体o，都属于一固定的安全类 SC，安全类SC=包括两个部分：有层次的安全级别 和无层次的安全范畴。构成一偏序关系。 Bell-LaPadula：保证保密性 n简单安全特性(无上读)：仅当SC(o)SC(s)时，s可以读取o n*-特性(无下写): 仅当SC(s) SC(o)时，s可以修改o Biba：保证完整性 n同(上)相反,Biba模型用偏序关系可以表示为： n当且仅当SC(s) SC(o)，允许读操作 n当且仅当SC(s) SC(o)，允许写操作 1919 n自主访问控制 配置的粒度小 配置的工作量大，效率低 n强制访问控制 配置的粒度大 缺乏灵活性 2020 2.3 基于角色的访问控制 n基于角色的访问控制模型（RBAC Model，Role- based Access Control Model）： RBAC模型的基本思想是将访问许可权分配给一定的角 色，用户通过饰演不同的角色获得角色所拥有的访问许 可权。 在很多实际应用中，用户并不是可以访问的客体信息资 源的所有者（这些信息属于企业或公司） 访问控制是由各个用户在部门中所担任的角色来确定的 例如，一个学校可以有教工、老师、学生和其他管理人 员等角色。21 21 n角色可以看作是一组操作的集合，不同的角色具有不 同的操作集，这些操作集由系统管理员分配给角色。 比如： 我们假设Tch1，Tch2，Tch3Tchi是对应的教师， Stud1，Stud 2，Stud3 Studj是相应的学生， Mng1，Mng 2，Mng 3Mngk是教务处管理人员 老师的权限为TchMN=查询成绩、上传所教课程的成 绩；学生的权限为Stud MN=查询成绩、反映意见 ；教务管理人员的权限为MngMN=查询、修改成绩、 打印成绩清单 依据角色的不同，每个主体只能执行自己所制定的访问 功能。用户在一定的部门中具有一定的角色，其所执行 的操作与其所扮演的角色的职能相匹配 2222 n系统管理员负责授予用户各种角色的成员资格或撤消某 用户具有的某个角色，RBAC提供了一种描述用户和权限 之间的多对多关系。例如 学校新进一名教师Tchx，那么系统管理员只需将Tchx添加到教 师这一角色的成员中即可，而无需对访问控制列表做改动。 同一个用户可以是多个角色的成员，即同一个用户可以扮演多种 角色，比如一个用户可以是老师，同时也可以作为进修的学生。 同样，一个角色可以拥有多个用户成员，这与现实是一致的，一 个人可以在同一部门中担任多种职务，而且担任相同职务的可能 不止一人。 角色可以划分成不同的等级，通过角色等级关系来反映一个组织 的职权和责任关系，这种关系具有反身性、传递性和非对称性特 点，通过继承行为形成了一个偏序关系，比如 MngMNTchMNStud MN。 2323 n一般步骤：