访问控制技术课程学生设计指导书

访问控制技术课程设计访问控制技术课程设计 学生指导书学生指导书 计算机学院 2012 年 11 月 1 课设目的课设目的 访问控制技术课程设计是学完了访问控制技术课程之后 进行的一个重要 的实践性教学环节 学生通过课程设计能获得综合运用过去所学过的全部课程 知识点 培养学生将访问控制的各种技术和方法应用于实际进行实施的能力 为以后做好毕业设计 走上工作岗位进行一次综合训练和准备 它要求学生全 面地综合运用本课程及有关先修课程的理论和实践知识 将访问控制基本原理 和方法结合实际充分发挥自主创新能力进行各有特色的设计 其目的是 1 通过课程设计大型作业 使学生进一步熟悉访问控制的概念和基本原理 2 培养学生将访问控制的各种技术和方法应用于实际进行实施的能力 3 学生运用访问控制基本原理和方法结合实际充分发挥自主创新能力进行 各有特色的设计 2 课设内容和要求课设内容和要求 实验实验 1 自主访问控制实验 自主访问控制实验 要求设计若干人机对话界面 通过这些界面定义 和配置主体 客体以及权限 然后对主体进行自主授权 传递授权的操作 并 能撤销授出的权限 修改主体对客体的访问权限后 观察系统访问成功和不成 功的执行情况是否符合安全策略 实验实验 2 多级安全访问控制实验 多级安全访问控制实验 要求求设计若干人机对话界面 通过这些界 面定义 配置和修改主体 客体的安全标记以及访问控制策略 观察系统访问 成功和不成功的执行情况是否符合预定的安全策略 实验实验 3 RBAC1 访问控制实验 访问控制实验 要求设计若干人机对话界面 通过这些界面定 义和配置角色 角色层次 用户 角色 授权与回收 角色 权限 有继承关 系不用重定义 多对多关系 然后对主体的访问权限进行控制实验 进一步 修改角色 角色层次 用户 角色 角色 权限多对多关系 重复先前的实验 然后比较访问控制结果 学生可在上述实验 1 和实验 2 任选一个 实验 3 必做 作为本次课程设计 题目 具体设计内容如下 一 自主访问控制一 自主访问控制 1 基本要求 基本要求 对主体 客体 权限进行定义和配置 对主体进行自主授权 对主体的访问权限进行控制实验 对主体进行传递授权的操作 通过实验观察系统的执行情况 对访问成功和不成功的两种情形均给出结果 2 原理与方法原理与方法 自主访问控制定义自主访问控制定义 自主访问控制是指对某个客体具有拥有权 或控制权 的主体能够将对该 客体的一种访问权或多种访问权自主地授予其它主体 并在随后的任何时刻将 这些权限回收 方法方法 自主访问控制的矩阵模型 系统状态用一个有序三元组表示 Q S O A 其中 S 主体的集合 O 客体的集合 A 访问矩阵 行对应于主体 列对 应客体 每个主体都附加一个该主体可访问的客体的明细表 每个客体附加一 个它可以被访问的主体的明细表 访问控制矩阵行列分别对应主体访问客体的 能力表和客体关于主体的授权表 集中式管理 一个主体 si在创建某个客体 oj 后 该主体就获得了对这一客体的 c 权和其 它所有可能权限 c 权意味着可以将它对 oj所有其它 除 c 权以外 的访问权 限授予系统中任何一个主休 也可以撤销系统中任何主体对 oj 的其它访问权限 其它主体因为对 oj不具有 c 权 因此即使他们对 oj具有某些访问权限 但它们 也无权将这些权限转授给别的主体 或撤销别的主体对 oj的任何访问权限 在这种管理模式下 对于任一客体 oj 哪些主体可以对其进行访问 可以进行 什么样的访问 完全由 oj的拥有者决定 分散式管理 在分散式管理模式下 客体的拥有者不但可将对该客体的访问权授予其它 客体 而且可同时授予他们对该客体相应访问权的控制权 或相应访问权的授 予权 允许传递授权 当一个主体撤销它所授予的对某个客体的某种访问权限时 必须将由于 这一授权而引起的所有授权都予以撤销 受限的分散式管理 受限的分散式管理模式 是将系统中对客体的访问权限限制在一定的主体 范围内 要求根据客体拥有者的意愿进行 3 方案设计 方案设计 可供选择的实现方法可供选择的实现方法 主体访问能力表 集中式管理方式 主体访问能力表 分散式管理方式 主体访问能力表 受限的分散式管理方式 或者 客体关于主体的授权表 集中式管理方式 客体关于主体的授权表管理方式 客体关于主体的授权表 受限的分散式管理方式 或者 访问控制矩阵 集中式管理方式 访问控制矩阵 分散式管理方式 访问控制矩阵 受限的分散式管理方式 相关数据结构参考 可增加或修改 相关数据结构参考 可增加或修改 主体表 SName 主体名称 主键 Password 登录密码 Info 主体信息与描 述 客体表 O Name 客体名称 主键 Info 客体信息与描述 能力表 SName 主体名称 主键 OName 客体名称 主键 Right 主体对 客体的权利 Grantor 该权利的授权者 若主体为客体的创建者则授权者为主 体本身 相关数据操作参考 可增加或修改 相关数据操作参考 可增加或修改 添加新主体 添加新客体 登录 授权 权限回收 删除客体 读客体 写客体 界面实现参考界面实现参考 实验结果实验结果 通过人机对话界面定义和配置主体 客体以及权限 然后对主体请求访问 客体进行自主访问控制 至少进行如下实验 1 进行自主授权 传递授权的操作 2 撤销授出的权限 3 修改主体对客体的访问权限 就上述几种情况 设计 3 5 种具体的访问请求 观察你的访问控制模块对 这些访问请求如何做出回应 分别对系统访问成功和不成功的执行情况 给出 是否符合预设的访问控制策略的结论 注意注意 自主访问控制模型实现过程中 要防止不适当的授权循环和正确重复授权 必要时给出警告信息 如 授权回收时若 A 授权 P 给 B B 授权 P 给 C 若 A 回收对 B 的 P 授权且 没有其他主体将 P 授权给 B B 也需要将对 C 的 P 授权回收 实现时如果用递 归 效率会很低 可使用迭代和其它优化方法 避免递归调用 递归循环是指若 A 授权 P 给 B B 授权 P 给 C 而 C 又回授权 P 给 B 的 话 B 和 C 就形成了循环授权 这时需要区别 避免这种情况发生 重复授权是指 A 和 B 均将 P 授权给 C 那么回收权限时 A 和 B 分别只能 回收自己授出去的权限 P 另一种情况 A 先将 P 授权给 C 后来某一时刻又 将 P 授权给 C 对这种授权可视为非法 拒绝执行 二 基于角色访问控制二 基于角色访问控制 1 基本要求 基本要求 对主体 客体 权限进行定义和配置 对角色及角色的层次关系进行定义 对角色的权限进行定义 有继承关系的就不用重新定义 给出用户 角色多对多关系的配置 对用户的角色信息进行修改 通过访问控制实验 体现不同层次的角色 访问权限的差别 对上述实验情况下访问成功和不成功的两种情形均给出结果 2 原理与方法原理与方法 基于角色的访问控制基于角色的访问控制定义定义 在一个组织机构里系统为不同的工作岗位创造对应的角色 对每一个角色 分配不同的操作权限 根据用户在组织机构中的职责或任务为其指派相应的角 色 用户通过所分配的角色获得相应的权限 实现对信息资源的访问 即用户 角色 权限模型 RBAC0 反应了 RBAC 的基本需求 U 表示用户集 R 表示角色集 P 表示权限集 S 表示会话集 PA P R 是权限到角色的多对多的指派 UA U R 是用户到角色的多对多的指派 user S U 会话和用户的单一映射 user si 表示创建会话 si的用户 roles S 2R 会话和角色子集的映射 roles si 表示会话 si对应的角色集合 roles si r user si r UA 会话 si具有的权限集 RBAC1 在 RBAC0的基础上加上了 角色层次 反应了多级安全需求 U R P S PA UA 和 user S U 的定义与 RBAC0相同 RH R R 是集合 R 上的偏序关系 称为角色层次关系 roles S 2R 会话和角色子集的映射函数 但和 RBAC0略有不同 roles si r r r 且 user si r UA 即 会话 si对应的角色集可以由建立该会 话的用户所属的任何角色或低级角色组成 会话 si所具有的权限 特点 特点 一种中性的策略 具有灵活性以适应变化的需求 可用来描述自主访问控 制和强制访问控制 支持最小特权原则 责任分离原则 数据抽象原则 i i srolesr s PArppP r r i i srolesr s PArppP 且 3 方案设计 方案设计 可供选择的实现方法可供选择的实现方法 先构建实现 RBAC0 再增加 RH 角色层次图 完成 RBAC1用模型 最后 设计一个机构安全策略 通过 UA PA 和 RH 实现其实例 相关数据结构参考 可增加或修改 相关数据结构参考 可增加或修改 用户表 User SName 用户名 Password 密码 Info 用户信息 角色表 Role RName 角色名 Info 角色信息 权限表 Permission PName 权限名 Info 权限信息 URA SName 用户名 RName 角色名 PRA RName 角色名 PName 权限名 RRA RNameFather 上级角色名 RNameChild 下级角色名 以及 UA PA 和 RH 角色层次图可采用树结构 用户角色指派和角色权限指 派用链表实现 相关数据操作参考 可增加或修改 相关数据操作参考 可增加或修改 添加新角色 添加新权限 查询用户角色 查询用户权限 用户角色指派 用户角色撤销 角色权限指派 角色权限撤销 角色层次维护 添加下级角色 角色层次维护 删除上级角色 角色层次维护 删除下级角色 界面实现参考界面实现参考 实验结果实验结果 通过人机对话界面定义和配置主体 客体 权限 进而定义角色及角色的 层次关系 完成用户角色指派 角色权限指派 然后对主体请求访问客体进行 RBAC 访问控制 至少进行如下实验 1 将用户指派到一个角色 r 查看该用户获得的权限情况 2 R1 R2 互斥 UA a R1 a R2 b R3 c R4 d R5 PA P1 R1 P2 R2 P3 R3 P4 R4 P5 R5 P6 R6 用户 a 建立 session S Ps p1 p3 p4 p6 或 p2 p5 是否提供选择方式决定 R1 或 R2 3 对一给定的角色层次 检查其中一角色被指派的权限 通过层次关系 继承的权限 以及被指派和继承的权限是否正确 4 角色层次修改以及自动环路检测能力 5 如 u 为某角色 R 的成员 如果角色层次发生变化 增加角色或删除 角色 则 u 建立 session S 检查 Ps 6 安全员 管理员 用户 角色以及权限设置与处理是否合乎规范 然后 设计 3 5 种具体的访问请求 观察你的访问控制模块对这些访问请 求如何做出回应 分别对系统访问成功和不成功的执行情况 给出是否符合预 设的访问控制策略的结论 注意注意 实现 RBAC 模型 基本的功能须完成用户角色指派和角色权限指派 其次 是角色权限的强回收及角色成员资格的强回收 算法和代码实现方面可进行优 化 如不用递归 可有效减短查询时间 特别对角色层次的修改 要防止上级 角色被再次添加进角色层次图中成为下级角