（计算机应用技术专业论文）基于lsm通用框架的rbac模型的设计与实现.pdf

摘要 摘要 随着计算机的普及，计算机安全日益成为人们关注的焦点。而操作系统作为 计算机系统的基础软件，是计算机系统安全的基石。l i n u x 作为最为著名的开放 源代码的操作系统之一，在安全性方面的一些不足也日益凸显出来，l i n u x 的内 核只缺省提供了经典的l i n u x 自主访问控制机制，以及部分支持了p o s i x 1 e 标 准草案中的c a p a b i l i t i e s 安全机制，这对于l i n u x 系统的安全性是不够的。 本论文详细讨论了传统访问控制技术的不足，讨论了r b a c 参考模型的原理 和优点，同时对l s m 框架进行了系统的阐述。在此基础上，针对l i n u x 系统的 访问控制模型的固有缺陷，基于r b a c 参考模型设计并实现了一个访问控制模 型，用于加强l i n u x 系统下文件的访问控制。 该模型的核心思想是：将对象的访问控制权回收，变由其属主来管理为由管 理员来管理，同时将文件划分为不同类别，将各个类别的访问权限分配给若干角 色，再将角色分配给各个系统用户，以此来达到对用户访问权限的管理，这大大 方便了系统管理员对系统内访问权限变动的维护。该模型由策略文件编译模块， 初始化模块，访问控制模块和审记模块四部分组成。用户对于系统内所有文件和 目录的访问权限都集中的由策略文件来决定，策略文件编译模块将策略文件编译 成中间文件，初始化模块将提取中间文件中的信息建立访问控制向量表，访问控 制模块以访问控制向量表作为判断的依据，而审记模块将用户的活动记录在审记 文件中。 另一方面，该模型的实现则是基于l s m 框架。该模型利用l s m 框架提供的 数据结构获取系统信息，通过实现l s m 框架规定的函数接口实现访问控制的功 能。因为进程是l i n u x 系统下用户进行操作的基本单位，进程是角色映射到用户 的载体，即用户拥有的每个进程都被赋予一个角色集，每个进程只拥有其被赋予 的角色所对应的权限。 关键词基于角色；访问控制；l i n u x ；l s m ；r b a c a b s t r a c t 皇! ! 舅舅! 曼曼邕曼蔓曼量鼍皇曼曼曼曼鼍曼曼曼曼曼皇曼毫! ! ! 曼曼曼! ! 鼍il i l i 皇曼曼皇蔓皇曼曼皇曼曼皇曼皇! 皇皇曼曼曼曼曼曼曼曼量曼皇曼 a b s t r a c t w i t ht h ep o p u l a r i z a t i o no fc o m p u t e r s ，c o m p u t e rs e c u r i t yh a si n c r e a s i n g l yb e c o m e t h ef o c u so fa t t e n t i o n a n dt h eo p e r a t i n gs y s t e m 罄t h eb a s i so fc o m p u t e rs y s t e m si s t h ec o r n e r s t o n eo fc o m p u t e rs y s t e ms e c u r i t y l i n u xa st h em o s tf a m o u so p e ns o u r c e o p e r a t i n gs y s t e mi s a l s oh i g h l i g h t e db yt h ed r a w b a c ko fs e c u r i t y l i n u xk e r n e l p r o v i d e so n l yt h ec l a s s i cl i n u xa c c e s sc o n t r o im e c h a n i s mb yd e f a u l t , a sw e l la ss o m e s e c u r i t ym e c h a n i s m st h a ts u p p o r tp a r to fc a p a b i l i t i e si nt h ep o s i x 1 ed r a f ts t a n d a r d i nt h i sp a p e lw eh a v ed i s c u s s e dt h ed i s a d v a n t a g e so ft r a d i t i o n a la c c e s sc o n t r o l ， t h ep r i n c i p l ea n da d v a n t a g e so fr b a cm o d e l a n da ni n t r o d u c t i o no ft h el s m f r a m e w o r ki sg i v e n o nt h i sb a s i s 。w ed e s i g n e da n di m p l e m e n t e da na c c e s sc o n t r o l m o d e lb a s e do nt h er b a cm o d e lt os t r e n g t h e nt h el i n u xf i l es y s t e ma c c e s sc o n t r 0 1 ，n l ec o r ei d e ao ft h i sm o d e li s ：r e c o v e rt h ea c c e s sp e r m i s s i o nt oo b j e c tf r o mu s e r s a n dm a k ei tm a n a g e db ys y s t e mm a n a g e r a tt h es a m et i m e ，t h ef i l e sa n dd i r e c t o r i e s a r ed i v i d e di n t od i f f e r e n tc l a s s e s i no r d e rt oa c h i e v et h em a n a g e m e n to fn s e r sa c c e s s p e r m i s s i o n t i l ea c c e s sp e r m i s s i o nt ot h e s ec l a s s e si sg i v e nt os e v e r a lr o l e sw h i c hw i l l b eg i v e nt ou s e r s 础sa c c e s sc o n t r o lm o d e lc o n s i s t so ff o u rp a r t s ：t h es t r a t e g yf i l e c o m p i l em o d u l e 。i n i t i a l i z a t i o nm o d u l e 。a c c e s sc o n t r o lm o d u l ea n dt h el o l gm o d u l e u s e r sa c c e s sp e r m i s s i o nt oa l lt h ef i l e sa n dd i r e c t o r i e sa r ed e t e r m i n e db yt h es t r a t e g y f i l e t h es t r a t e g yf i l ec o m p i l em o d u l ec o m p i l e si tt ot h ei n t e r m e d i a t ef i l ew h i c hw i l l b eu s e db yi n i t i a l i z a t i o nm o d u l et oc r e a t et h ea c c e s sc o n t r o lv e c t o rt a b l ew h i c hi st h e b a s i sf o ra c c e s sc o n t r o lm o d u l et om a k ed e c i s i o n a n dl o gm o d u l e sr e s p o n s i b i l i t yi s t or e c o r du s e r sa c t i v i t i e s o nt h eo t h e rh a n dt h ei m p l e m e n to ft h i sm o d e li sb a s e do nl s mf r a m e w o r k t l l i s m o d u l eo b t a i nt h en e s s e s a r ys y s t e mi n f o r m a t i o nb yt h ed a t ao b j e c tp r o v i d e db vl s m f r a m e w o r ka n dc o n t r o lu s e r sa c c e s st of i l e sa n dd i r e c t o r i e sb yi m p l e m e n tt h ef u n c t i o n i n t e r f a c e sp r o v i d e db vl s mf r a m e w o r k a sp r o c e s si st h eb a s i cu n i t f o ru s e r s a c t i v i t i e si nt h el i n u xs y s t e m ，w em a k ep r o c e s st h em e d i af o rr o l em a p p i n gt ou s e r t h a ti st os a yu s e r se v e r yp r o c e s si sg i v e nar o l es e tw h i c hd e c i d e sw h a tt h i sp r o c e s s c a n d o k e yw o r d sr o l eb a s e d ；a c c e s sc o n t r o l ；l i n u x ：l s m ：r b a c i 独创性声明 本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研 究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他 人已经发表或撰写过的研究成果，也不包含为获得北京工业大学或其它教育机构 的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均 已在论文中作了明确的说明并表示了谢意。 签名： 关于论文使用授权的说明 日期：坦2 ：乏垒 本人完全了解北京工业大学有关保留、使用学问论文的规定，即：学校有权 保留送交论文的复印件，允许论文被查阅和借阅；学校可以公布论文的全部或部 分内容，可以采用影印、缩印或其他复制手段保存论文。 ( 保密的论文在解密后应遵守此规定) 签名：导师签名：趔日期：童业 第1 章绪论 第1 章绪论 随着计算机技术的发展，特别是i n t e m e t 的日益普及，计算机系统的安全保 密越来越成为世人注目的社会问题。计算机犯罪每年给世界各国造成巨大的经济 损失，而且这种犯罪目前呈上升趋势。面对严重危害计算机系统安全的各种威胁， 如何确保系统中数据的机密性、真实性和完整性，成为摆在每个计算机工作者面 前的一个严峻的问题。 在2 0 0 1 年l i n u x 内核2 5 的高峰会议上，l i n u x 的创始人l i n u st o r v a l d s 认 为l i n u x 内核需要一个通用的访问控制框架。响应l i n u s 的号召，由d a r p a ， n s a 及i m m u n i x 发起了l i n u x 安全模块l i n u xs e c u r i t ym o d u l e s ( l s m ) 的研发项 目，并于2 0 0 2 年4 月2 8 日公布了针对l i n u x 内核2 4 1 8 的第一个l s m 的补丁 程序。经研究人员的不断努力，及i b m 公司对l s m 安全性的验证，2 0 0 3 年底， l s m 已作为内核2 6 的组成部分一起发行，不再以内核补丁形式出现。 在安全策略模型的研究方面，国内外有状态机模型，b l p 模型，b i b a 模型， b r e w e r - n a s h 模型，c h i n e s ew a l l 模型以及r b a c 模型等众多安全模型。而r b a c 模型正是安全策略模型研究领域里热点和重点n 。 本课题旨在设计并实现一个基于l s m 通用安全框架的r b a c 模型。 1 1 课题背景 随着计算机的普及，互联网渗透到人们生活的方方面面，信息安全则日益成 为人们关注的焦点。根据计算机软件系统的组成，软件安全可分为应用软件安全、 数据库安全、操作系统安全、网络软件安全瞪1 。而操作系统作为计算机系统的基 础软件，是计算机资源的首要管理者，控制着整个系统的运行，直接和硬件打交 道并为用户提供接口，是计算机软件的基础、核心。网络安全依赖于各主机系统 的安全可信性，而主机系统的安全性依赖于其操作系统的安全性，故没有操作系 统的安全就谈不上主机系统和网络系统的安全性。数据库管理系统d b m s 是建 立在操作系统之上的：没有操作系统安全机制的支持，就不可能保障访问控制的 安全可信性。因此，操作系统的安全是计算机系统安全的基石。a t & t 实验室的 s b e l l o v i n 博士对美国c e r t 1 ( c o m p u t e re m e r g e n c yr e s p o n s et e r m ) 提供的安全报 告进行分析后认为，多数安全问题都源于操作系统的安全脆弱性。 随着网络技术的飞速发展，互联网的普及应用以及金融等重要网络的接入， 越来越多的系统遭到入侵攻击的威胁，这些威胁大多是通过挖掘操作系统和应用 服务程序的弱点和缺陷实现的。对操作系统安全构成的威胁主要有u 1 ： ( 1 ) 计算机病毒： 北京工业大学工学硕士学位论文 编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机 使用并且能够自我复制的一组计算机指令或者程序代码。病毒具有隐蔽性、传染 性、潜伏性、破坏性等特点。 ( 2 ) 特洛伊木马： 是包含在合法程序中的非法程序。它在用户不知情的情况下执行，并把用户 信息发送给攻击者。尽管特洛伊木马不具自我复制能力，但仍具潜伏性，且有更 大的欺骗性和危害性 ( 3 ) 隐蔽通道： 指允许进程以危害系统安全策略的方式传输信息的通信信道。按照信息传递 的方式又分为：存储隐蔽通道、时间隐蔽通道。 ( 4 ) 后门： 是利用植入操作系统内部的一段非法代码入侵系统。后门只能利用操作系统 本身的缺陷或由系统的开发人员安装。 因此，面对各种各样的安全威胁和攻击，我们必须采取有力的安全机制进行 保护、防御和反击。但是，目前国内外信息安全工作主要还是集中在应用层、传 输层和网络层，对操作系统的安全认识不足或者缺乏有效的解决措施，而对操作 系统安全领域的研究也就变得愈发重要。 l i n u x 自1 9 9 2 年问世以来，凭借其开源、极高的稳定性和低廉的价格等优 势备受企业和个人用户的青睐，而随着l i n u x 的不断普及，对于l i n u x 安全性的 改进也成为了操作系统安全研究的一个热点。 1 2 研究现状 目前已经出现了许多成熟的用于增强l i n u x 安全性的模型，如s e l i n u x ， l i d s ，t o m o y ol i n u x ，a p p a r m o r 等。它们的安全性与易用性如图1 - 1 ： s e l i n u xt o m o y ol i d s a p p a r m o r 图1 - 1 四种安全模型的比较 f i g u r e1 1c o m p a r a t i o no f f o u rk i n d so f s e c u r i t ym o d e l s 这里着重介绍s e l i n u x 和a p p a r m o r ： 第l 章绪论 1 2 1s e lin u x s e l i n u x 伽是s e c u r i t y - e n h a n c e dl i n u x 的简称，是美国国家安全局n s a ( t h e n a t i o n a ls e c u r i t ya g e n c y ) 和s c c ( s e c u r ec o m p u t i n gc o r p o r a t i o n ) 开发的l i n u x 的一 个扩展强制访问控制安全模块。对于目前可用的l i n u x 安全模块来说，s e l i n u x 是功能最全面，而且测试最充分的，它是在2 0 年的m a c 研究基础上建立的。 s e l i n u x 在类型强制服务器中合并了多级安全性或一种可选的多类策略，并采用 了基于角色的访问控制概念。与传统的l i n u x 访问控制机制相比，s e l i n u x 有以 下优点： ( 1 ) m a c ( m a n d a t o r y a c c e s sc o n t r 0 1 ) ：对访问的控制彻底化 对于所有的文件，目录，端口这类的资源的访问，都可以是基于策略设定的， 这些策略是由管理员定制的、一般用户是没有权限更改的。 ( 2 ) t e ( t y p ee n f o r c e m e n t ) ：只赋予进程最小进程的权限 t e 概念在s e l i n u x 里非常的重要。它的特点是对所有的文件都赋予一个叫 t y p e 的文件类型标签，对于所有的进程也赋予各自的一个叫d o m a i n 的标签。 d o m a i n 标签能够执行的操作是由a c c e s sv e c t o r 在策略里定好的。 例如我们熟悉的a p a c h e 服务器，h t t p d 进程只能在h t t p d 里运行，这个 的能执行的操作， 比如能读网页内t h t t p d 容文件赋予 t d o m a i n h t t p d ，密码文件赋予， 的8 0 端口赋予s y s c o n t e n t ts h a d o wtt c p h t t p p o at 等等。如果在a c c e s sv e c t o r 里我们不允许h t t pt 来对h t t p进行操作的话，i 启动都启动不了。反过来说，我们只允许80端口p，ont只tapache允许读取被标为 h t t p ds y s 的文件， 就不能用别的端口，也不能更改那些被标为c o n t e n t t h t t p dt h t t p d 的文件 。 ( 3 ) s y sc o n 迁t e n 移tt ：防止权限( 升r e a 级do n l y ) d o m a i n 在用户环境里运行点对点下载软件a z u r e u s ，你当前的d o m a i n 是f ut ，但 是，你考虑到安全问题，你打算让他在a z u r e u st 里运行，你要是在t e r m i n a l 里 用命令启动a z u r e u s 的话，它的进程的d o m a i n 就会默认继承你实行的s h e l l 的f ut 。 有了d o m a i n 迁移的话，我们就可以让a z u r e u s 在我们指定的a z u r e u st 里运 行，在安全上面，这种做法更可取，它不会影响到你的f ut 。 下面是d o m a i n 迁移指示的例子： d o m a i n _ a u t o _ t r a n s ( f u _ t ，a z u r e u s e x e c t ，a z u r e u s _ t ) 意思就是，当在f utd o m a i n 里，执行了被标为a z u r e u s的文件时， 从迁移到。因为从哪一个能迁_ e x 移e c 到t d o m a i n f uta z u r e u std o m a i n h t t p d是在 策略里定好了，所以要是我们手动 启动的话，t ( e t c i n i t d h t t p ds t a r t )a p a c h e可能 仍然留在s y s a d mt 里，这样就不能完成正确的迁移。要用b i ni n i t 命令来手动启 北京工业大学工学硕士学位论文 量曼! ! ! 鼍皇皇曼曼鼍舅量舅曼皇量鼍曼曼曼! ! ! ! 皇曼! 曼曼曼皇皇曼曼曼皇曼! 曼曼曼曼曼曼皇1 1 | ! 曼曼! 曼曼曼! ! ! 皇曼烹曼皇鼍曼曼鼍量曼曼曼! ! 曼! 曼篁 动。 ( 4 ) r b a c ( r o l eb a s ea c c e s sc o n t r 0 1 ) ：对于用户只赋予最小的权限 对于用户来说，被划分成一些r o l e ，即使是r o o t 用户，你要是不在 s y s a d mr 里，也还是不能进行s y s a d mt 管理操作的。因为，那些r o l e 可以执 行那些d o m a i n 也是在策略里设定的。r o l e 也是可以迁移的，但是也只能按策 略的规定迁移。 虽然s e l i n u x 拥有以上的优点使得其在加强l i n u x 安全性上有出色的表现， 但s e l i n u x 自身也存在一定的缺陷。因为s e l i n u x 需要为系统内每个文件和进 程都打上标签，对于安全管理员来说，维护这些标签需要对该模型有相当的了解 和丰富的经验，这显然不适合于普通用户。同时，基于海量标签的有效性判断也 会带来性能上的损失。 1 2 1 a p p a r m o r s e l i n u x 是目前最全面的安全框架之一，但它不是惟一的。 a p p a r m o r 口3 最初由i m m u n i x 开发，随后由n o v e u 接手进行维护，它是 s e l i n u x 的替代方法。a p p a r m o r 的开发初衷是因为人们认为s e l i n u x 太过复杂， 不适合普通用户管理。a p p a r m o r 包含一个完全可配置的m a c 模型和一个学习 模式，在学习模式中，程序的典型行为可以转换为一个配置文件。s e l i n u x 的一 个问题在于，它需要一个支持扩展属性的文件系统来存放每个文件的文件类型标 签：而a p p a r m o r 对文件系统没有任何要求。目前，s u s e 和u b u n t u 等主流l i n u x 发行版都提供对a p p a r m o r 的支持。 但a p p a r m o r 也有其自身的缺陷。l i n u x 安全的权威专家、s e l i n u x 的开发 人员斯蒂芬斯玛莱( s t e p h e ns m a l l e y ) 认为a p p a r m o r 最大的不足在于它的保 护机制是基于“路径名称 的方式，它本质上就是一个白名单设置，a p p a r m o r 只允许应用程序访问在名单上的文件，所有其他的文件都不能访问了盯1 。根据去 年乔纳森科贝特( j o n a t h a nc o r b e t ) 的一份报告，斯玛莱认为一个狡猾的入侵 者可以利用合法路径名称而猜出其他的名字，制造不必要的暴露阳1 。 1 3 本文主要工作 本论文在分析了已有的l i n u x 安全模型的基础上，尽可能的吸取他们的优点 和长处，避免缺点和不足，设计并实现了一个基于l s m 通用框架的r b a c 访问 控制模型，力争在安全性和易用性之间找到一个满意的平衡点。 第1 章绪论 1 4 论文结构 本文共分五章，论文结构如下： 第一章主要讲述了课题的研究背景、研究意义，国内外的一些研究现状及本 文的主要工作。 第二章主要介绍了传统的访问控制机制，并着重讨论了l i n u x 原有的访问控 制机制的不足。 第三章主要阐述了r b a c 模型的基本思想，对r b a c 参考模型进行了系统 的介绍。 第四章主要介绍了l s m 框架的设计思想及其实现，同时对l s m 框架的接1 ：3 也有系统的说明。 第五章首先从原理上阐述了本论文所设计的访问控制模型；之后，对该模型 的总体架构进行了阐述，详细介绍了各个模块的功能以及它们之间的相互联系； 最后，对各个模块的实现的关键部分进行了描述。 第六章通过一个学校成绩管理应用的例子，介绍了本论文所设计的访问控制 模型在实际应用中的作用和优点。 结论部分主要对全文进行了系统的总结，并提出了以后的研究方向。 第2 章访问控制机制 第2 章访问控制机制 操作系统是硬件与其他应用软件之间的桥梁，是信息安全的基石，操作系统 安全的主要目标是n 们： ( 1 ) 系统用户的标识和身份鉴别 ( 2 ) 按系统安全策略对用户的操作进行访问控制，防止用户对计算机资源的非 法访问 ( 3 ) 监督系统运行的安全性 ( 4 ) 保证系统自身的安全性和完整性 要实现上述目标，则需要建立许多安全机制，包括：标识与鉴别、访问控制、 安全审计、最小特权管理、隐蔽通道处理等。其中访问控制是信息安全的主要保 障，被广泛应用于防火墙、文件访问、v p n 等多方面，是实现数据保密性、完 整性机制的主要手段，因此也是操作系统安全机制的主要内容。 2 i 访问控制的基本概念 访问控制机制的理论基础是引用监控器( r e f e r e l l c em o n i t o r ) “1 ，这是由 j p a n d e r s o n 在1 9 7 2 年提出的。访问控制与其它安全机制的关系如图2 1 所示。 图2 - 1 安全机制间的关系 f i g u r e 2 - 1r e l a t i o n s h i pb e t w e e ns e c u r i t ym e c h a n i s m s 访问控制用于限制主体对客体的未授权访问，防止信息的泄漏、失窃及非法 北京工业大学工学硕士学位论文 窜改等，包括三个主要任务： ( 1 ) 授权：确定可给予哪些主体访问客体的权力。 ( 2 ) 确定访问权限( 读、写、执行、追加、发起网络连接等访问方式的组合) 。 ( 3 ) 实施访问权限。 访问控制中包括主题、客体和权限三个基本对象： ( 1 ) 主体：是对客体访问的发起者，它引起信息在客体之间的流动。通常，主 体指用户、进程、设备等，一般是代表用户执行操作的进程。 ( 2 ) 客体：是一种信息实体，是需要保护的资源，它们蕴涵或接收信息，如： 文件、目录、管道、消息、信号量、i p c 、存储页等，甚至包括字、位、通信线 路、网络节点等。 ( 3 ) 权限：是主体拥有的对客体访问权限的描述。 一般而言，访问控制是在身份鉴别的基础上，根据身份对提出的资源访问请 求加以控制。因此访问控制仅适用于计算机系统内的主体与客体，不包括外界对 系统的访问。控制外界对系统访闯的技术是标识与鉴别，即通过标识与鉴别保证 只有合法用户才能进入系统、访问系统资源。 访问控制分为自主访问控制( d i s c r e t i o n a r y a c c e s sc o n t r o l ，简记d a c ) 和强制 访问控带l j ( m a n d a t o r ya c c e s sc o n t r o l ，简记m a c ) 。 2 2 传统访问控制技术 2 2 1 自主访问控制机制 自主访问控制( d i s c r e t i o n a r ya c c e s sc o n t r o l ，简称d a c ) 最早出现在六十 年代末期的分时系统中，它是在确认主体身份及所属的组的基础上，对访问进行 限定的种控制策略n 羽。在这种方式下，主体可以按照自己的意愿精确指定系统 中的其他主体对其客体的访问权。其实现理论基础是访问控制矩阵( a c e s sc o n t r o l m a t r i x ，简称a c m ) ，它将系统的安全状态描述为一个矩阵，矩阵的行表示系统 中的主体，列表示系统中的客体，中间每个元素为主体对客体所拥有的访问权限。 访问控制矩阵模型如下表2 1 所示： 表2 - 1 访问控制矩阵 t a b l e 2 - 1a c c e s sc o n t r o lm a t r i x f i l e lf i l e 2f i l e 3f i l e 4 j o h n o w nrwo w nrw a 1 i c ero w nrw w r b o br wro w nrw 为提高效率，系统不保存整个矩阵，在具体实现时是基于矩阵的行或列来实 第2 章访问控制机制 现访问控制策略。 a c m 的优点在于表述直观、易于理解，而且比较容易查出对一特定资源拥 有访问权限的所有用户，有效地实施授权管理，可以在各种不同类型的系统应用 中使用。但应用到规模较大、需求复杂的信息系统中时，客体与主体都非常多， a c m 将占据很大的存贮空间，访问判决时系统也将占用很多c p u 时间：且当主 体发生变化时，如当用户的职位、职责发生变化时，管理员要花费大量时间修改 与主体相关a c m ，不但使得访问控制的授权管理花费很大的人力，而且容易出 错；主体对客体的访问权限关系在信息移动过程中会被改变，不仅会造成对数据 的“无意泄露 ，也难以抗击对数据的“恶意攻击”。 在一定程度上d a c 实现了多用户的权限隔离和资源保护，并且实现简便， 通常应用于在商业环境中，大多数系统仅是基于自主访问控制机制来实现访问控 制，如主流操作系统( w i n d o w s n ts e r v e r ，u n i x 系统) ，防火墙( a c l s ) 等。但。 d a c 的一个致命弱点是：访问权的授予是可以传递的。一旦访问权被传递出去 将难以控制，访问权的管理是很困难的，会带来严重的安全问题；另一方面， d a c 不保护受保护的客体产生的副本，即一个用户不能访问某一客体，但能够 访问它的拷贝，这更增加了管理难度：最严重的是不能对系统中信息流进行保护， 信息容易泄漏，无法抵御特洛伊木马( t r o j a nh o r s e ) 的攻击。另外，在大型系统中 无论使用哪一种形式的d a c ，系统开销都会很大，效率低，难以满足大型应用 特别是网络应用的需要n h 副。 2 2 2 强制访问控制机制 强制访问控制n 引( m a n d a t o r y a c c e s s c o n t r o l ，简称m a c ) 是指系统强制主体服 从事先制定的访问控制策略，在八十年代得到普遍应用，主要用于多层次安全级 别的军事应用中，在1 9 8 5 年美国国防部的美国可信计算机安全评估标准( t r u s t e d c o m p u t e rs y s t e me v a l u a t i o nc d t e r i a ，简称t c s e c ) 中被用作为b 级安全系统的 主要评价标准之一。 强制访问控制是“强加”给访问主体的，即系统强制主体服从访问控制政策。 它预先定义主体的可信任级别和客体( 信息) 的敏感程度( 安全级别) ，根据主体和 客体的级别标记来决定访问模式，如绝密级、机密级、秘密级和无密级。它的访 问控制关系分为上读下写( 保证数据的完整性) 和下读上写( 保证数据的机密性) ， 并通过安全标签实现单向信息流通模式。这种访问控制方式主要适合于多层次安 全级别的军事应用。 强制访问控制是对自主访问控制的重要补充，能有效的防止自主访问中存在 的安全问题。因为在强制下，系统独立于用户行为强制执行访问控制，访问控制 北京工业大掌工学硕士学位论文 检查的依据是主体和客体的安全属性标记，最终是否允许访问是由系统实现的各 安全策略决定，任何用户都无法改变控制规则。访问控制规则不会随着系统的运 行、时间的推移而改变和扩散。例如，某个主体无权访问某个文件，无论系统运 行多久，无论主体执行什么操作，他始终无法访问该文件的内容，即使该文件被 转存，除非安全管理员提升用户的权限或修改文件的安全属性。因此强制访问控 制实现了比自主访问控制更严格的访问控制措施。受强制访问控制保护时，用户 不会因为疏忽，导致信息泄露，也不会产生访问权限扩散。即使存在特洛伊木马， 强制访问控制也保证了信息在安全等级中按一个方向流动，解决了自主访问控制 的问题。 但是，由于m a c 增加了不能回避的访问限制，可能影响系统的灵活性， 导致m a c 策略的应用领域比较窄，般只用于军方等具有明显等级观念且安全 性要求非常高的行业或领域。 2 3l i n u x 原有访问控制机制 l i n u x 操作系统在设计、实现之初并没有特别强调其安全性，只提供了有限 的访问控制机制、系统管理机制及简单的系统日志功能。 l i n u x 采用的是简单、有效的基于保护位的自主访问控制机制n 7 1 ，它将使用 系统资源的人员分成4 类：超级用户( r 0 0 0 、文件或目录的属主( o w n e r ) ，属主的 同组用p ( g r o u p ) j 之其他用户( o t h e r ) 。由于超级用户拥有操作l i n u x 系统的一切权 限，故无需为其指定对文件、目录的访问权限。对其他三类用户则需要为之指定 访问权限，l i n u x 采用的是将3 个八进制数( 即9 个b i t 位) 分为三组，每组代表一 类用户对该文件、目录的3 种访问权限：r ( 读) 、w ( 写) 、x ( 执行) ，每种权限用一 个b i t 表示。有关文件访问权限的示意图如图2 2 所示： 图2 2 文件访问权限 f i g u r e2 - 2a c c e s sp e r m i s s i o no f f i l e 关于文件、目录的访问权限的说明如表2 2 所示： 的权限( 无) 的权限( 读、执行) 的权限( 读、写、执行) 第2 章访问控制机制 表2 - 2 文件与目录的访问权限 t a b l e2 2a c c e s sp e r m i s s i o no ff i l ea n dd i r e c t o r y 权限的代表字符权限对文件的含义对目录的含义 r读权限可读文件内容可列出目录中的文件 w 写权限可修改文件可在该目录中删除、创建文件 x执行权限可执行该文件可用c d 命令进入该目录 尽管l i n u x 实现了部分安全机制，但从操作系统的安全目标来看，它的安 全性能还有很多缺陷，主要表现在： ( 1 ) 自主访问控制机制不足：l i n u x 提供的基于保护位的自主访问控制，简单 地将文件的访问者分为文件的所有者、同组用户、其他用户三类，文件的所有者 可自主地确定和修改文件的访问权限，不同的访问权限可分别授予所有者、所有 者所在的组成员和其他用户。三种访问权限也无法表达复杂组织中各成员对文件 不同要求的访问。故l i n u x 原有的自主访问控制机制不能实现更细粒度的访问授 权管理。 ( 2 ) 缺乏强制访问控制机制。 ( 3 ) 超级用户权限过大。普通用户权限不足导致一些合理的文件访问要求无法 满足，而超级用户却具有管理系统的所有权限，导致权限滥用，违背了“最小 特权”管理原则。 2 4 本章小结 本章首先介绍了访问控制的基本概念，并在此基础之上介绍了两种传统的访 问控制机制：自主访问控制机制( d a c ) 和强制访问控制机制( m a c ) ，同时分 析了二者的缺点。最后分析了l i n u x 原有访问控制机制的缺点。 第3 章r b a c 模型概述 第3 章r b a c 模型概述 基于角色的访问控$ 1 j ( r o l eb a s e da c c e s sc o n t r o l ，简称p b a c ) 的模型早在七 十年代就已经提出，在相当长的一段时间内没有得到人们的关注。进入九十年代， 随着安全需求的发展及r s s a n d h u 等人的推动，r b a c 重新引起了人们的极大 关注。美国的n i s t 专门成立了r b a c 研究机构，a c m 每年都要召开r b a c 专 题研讨会来促进r b a c 的研究。 3 1r b a c 的基本思想 如2 2 小节所述，传统的访问控制机制包括自主访问控制( d a c ) 和强制访 问控制( m a c ) 。因为传统的访问控制机制是对系统中所有用户进行直接的权限 管理，权限操作复杂，授权方式不灵活，对日益膨胀的数据信息的处理能力有限。 与传统的权限管理机制相比，r b a c 模型中的权限只能被被赋予角色，而 不是用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的 权限。会话是用户与激活的角色集合之间的映射。一个登录于某系统的用户，可 以通过其所具有的角色的权限来判断其可访问的系统资源和对系统资源可以进 行的操作。这就是r b a c 最基本的工作原理n 8 】。 3 2r b a c 的参考模型 研究人员提出了各种不同的基于角色访问控制的模型，第一个r b a c 模型 是由d f f c r r a i o l o 和d r k u h n 于1 9 9 2 年提出的。最为著名的是s a n d h u 于1 9 9 6 年提出的，通常称为r b a c 9 6 。 r b a c 9 6n 们是一个r b a c 模型族，如图3 1 所示，由r b a c 0 ，r b a c l ，r b a c 2 ，r b a c 3 组成。r b a c 0 是基本模型，是支持r b a c 系统的最低要求。r b a c l 称为r b a c 的层次模型，是在r b a c 0 的基础上增加了角色的层次概念( 即允许 角色可继承其他角色的权限) 。r b a c 2 称为r b a c 的约束模型，在r b a c 0 的基 础上增加了角色互斥机制、基数约束机制、前提约束机制。r b a c 3 则是r b a c1 ， r a b c 2 的集成，是功能最强大的模型。 北京工业大学工学硕士学位论文 图3 - lr b a c 9 6 模型族 f i g u r e 3 1r b a c 9 6m o d e l 随着r ba c 研究的深入，及r b a c 在企业中的广泛应用，缺乏统一的标准 已阻碍了r b a c 的发展，近年来美国国家标准局( a n s i ) 一直致力于r b a c 标准 的制定，终于在2 0 0 4 年2 月1 9 日通过了r b a c 的工业标准a n s i i n c i t s 3 5 9 2 0 0 4 啪1 。标准分为两部分，定义了r b a c 的参考模型和r b a c 系统、管理 的功能说明。 r b a c 的参考模型也由4 部分组成：核心r b a c ( c o r er b a c ) ，r b a c 层 次模型( h i e r a r c h i c a lr b a c ) 、静态职责分离模型( s t a t i cs e p a r a t i o no fd u t y ) 、动态 职责分离模型( d y n a m i cs e p a r a t i o no f d u t y ) 。 3 2 1c o r er b a c c o r er b a c 是构成r b a c 系统的最小元素集合，其基本要素包括：用户， 角色，客体，权限，操作和会话。 用户( u s e r ) ：指可独立访问系统中数据、资源的主体，一般指人。 角色( r o l e ) ：组织中的工作、职务，代表着资格、权力、责任。 对象( o b j e c t ) ：系统中被访问的客体集，含文件、终端、数据库等。 操作( o p e r a t i o n ) ：所有操作的集合。 权限( p i 蝴s ) ：对计算机中被保护客体：资源、数据等的访问许可。 会话( s e s s i o n ) ：用户进入系统得到控制权时，就得到了一个会话。每个会 话只能由一个用户发起，但可以同时具有己经授权给用户的多个角色。故每个会 话可有不同的角色，但只能是完成任务必须的角色( 活动角色) ，称为最小特权。 即：每个会话可映射到一个用户，并可映射到指派给该用户的角色集的一个活动 子集。会话的设置使得易于实施最小特权 基本元素间的关系如图3 2 所示： 第3 章r b a c 模型概述 图3 - 2c o r e r b a c 示意图 f i g u r e3 - 2c o r er b a c s k e t c hm a p 3 2 2h i e r a r c h i c a lr b a c h i e r a r c h i c a lr b a c 是在c o r er b a c 的基础上引入了角色间的继承关系，若 角色r l 继承角色r 2 ，则r l 拥有r 2 的所有权限。角色的继承关系可以方便的反映 在企业、组织、机构中职权的上下级层次关系，如：部门经理除了拥有普通职员 的所有权限外，还拥有其他权限，则部门经理的部分权限与普通职员的权限重合， 故部门经理通过继承普通职员角色，以获取职员的权限，不必对之重新授予职员 的权限，方便了授权的管理。 3 2 3 静态职责分离 a n s i 的r b a c 工业标准将r b a c 9 6 模型族中的r b a c 2 ( 约束模型， c o n s t r a i n tr b a c ) - - 分为二成两种约束机制：静态约束、动态约束，分别称为静 态职责分离( s t a t i cs e p a r a t i o no fd u t y ，简称s s d ) 和动态职责分离( d y n a m i c s e p a r a t i o no fd u t y ，简称d s d ) 。 静态职责分离指若两个角色是互斥的，