BI信息系统安全机制之访问控制技术教材

访问控制技术孙建伟计算机网络攻防对抗技术实验室北京理工大学内容概要访问控制原理自主访问控制强制访问控制基于角色的访问控制常用操作系统中的访问控制概念通常应用在信息系统的安全设计上。定义：在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。目的：为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用；它决定用户能做什么，也决定代表一定用户身份的进程能做什么。未授权的访问包括：未经授权的使用、泄露、修改、销毁信息以及颁发指令等。非法用户进入系统。合法用户对系统资源的非法使用。客体（Object）：规定需要保护的资源，又称作目标（target)。主体（Subject）：或称为发起者(Initiator)，是一个主动的实体，规定可以访问该资源的实体，（通常指用户或代表用户执行的程序）。授权（Authorization)：规定可对该资源执行的动作（例如读、写、执行或拒绝访问）。访问控制模型基本组成任务识别和确认访问系统的用户。认证鉴权决定该用户可以对某一系统资源进行何种类型的访问。授权审计访问控制与其他安全服务的关系模型

引用监控器身份认证访问控制授权数据库用户目标目标目标目标目标审计安全管理员访问控制决策单元访问控制的一般实现机制和方法

一般实现机制——基于访问控制属性 ——〉访问控制表/矩阵基于用户和资源分档（“安全标签”） ——〉多级访问控制常见实现方法——访问控制表（ACL)

访问能力表（Capabilities)

授权关系表访问矩阵定义客体(O)主体(S)权限(A)读(R)写(W)拥有(Own)执行(E)更改(C)

举例问题：稀疏矩阵，浪费空间。访问控制类类型自主访问控制强制访问控制基于角色访问控制访问控制自主访问控控制DiscretionaryAccessControl概念基于对主体体或主体所所属的主体体组的识别别来限制对对客体的访访问，这种种控制是自自主的。自主指主体体能够自主主地将访问问权或访问问权的某个个子集授予予其他主体体。如用户A可将其对对目标O的的访问权限限传递给用用户B,从从而使不具具备对O访访问权限的的B可访问问O。缺点：信息在移动动过程中其其访问权限限关系会被被改变：安安全问题访问控制表表（AccessControlList）基于访问控控制矩阵列的自主访问问控制。每个客体都有一张ACL，用用于说明可可以访问该该客体的主主体及其访访问权限。。举例：客体目录ACL表o:Ownerr:Readw:Writee:Excuteoj表示客体j，si.rw表示示主体si具有rw属属性。oj问题：主体、客客体数量量大，影影响访问问效率。。解决：引入用户户组，用用户可以以属于多多个组。。主体标识识=主体体.组名名如Liu.INFO表表示INFO组组的liu用户户。*.INFO表表示所有有组中的的用户。。*.*表表示所有有用户。。liu.INFO.rw表示示对INFO组组的用户户liu具有rw权限限。*.INFO.rw表表示对INFO组的所所有用户户具有rw权限限。*.*.rw表示对所有有用户具有rw权限。oj访问能力表（（AccessCapabilitiesList））基于访问控制制矩阵行的自主访问控控制。为每个主体（（用户）建立立一张访问能能力表，用于于表示主体是是否可以访问问客体，以及及用什么方式式访问客体。。文件名客体(文件)File1File2File3o:Ownerr:Readw:Writee:Excute举例：权限用户A的目录用户B的目录访问能力表表强制访问控控制MandatoryAccessControl概念为所有主体体和客体指指定安全级级别，比如如绝密级、、机密级、、秘密级、、无秘级。。不同级别的的主体对不不同级别的的客体的访访问是在强强制的安全全策略下实实现的。只有安全管管理员才能能修改客体体访问权和和转移控制制权。（对对客体拥有有者也不例例外）MAC模型型绝密级机密级秘密级无秘级写写读读完整性保密性安全策略保障信息完完整性策略略级别低的主主体可以读读高级别客客体的信息息（不保密密），级别别低的主体体不能写高高级别的客客体（保障障信息完整整性）保障信息机机密性策略略级别低的主主体可以写写高级别客客体的信息息（不保障障信息完整整性），级级别低的主主体不可以以读高级别别的客体（（保密）举例：Security-EnhancedLinux(SELinux)forRedHatEnterpriseLinuxAppArmorforSUSELinuxandUbuntuTrustedBSDforFreeBSD基于于角角色色的的访访问问控控制制RoleBasedAccessControl概念起源于于UNIX系统或或别的的操作作系统统中组组的概概念（（基于于组的的自主主访问问控制制的变变体））每个角角色与与一组组用户户和有有关的的动作作相互互关联联，角角色中中所属属的用用户可可以有有权执执行这这些操操作角色与与组的的区别别组：一一组用用户的的集合合角色：：一组组用户户的集集合+一一组操操作权权限的的集合合RBAC模模型用户户角色色权限限访问控控制资源源1、认证证2、分派派3、请求求4、分派派5、访问问角色控控制优优势便于授授权管管理授权操操作：：n*m变成n*r+r*m=r*(n+m)便于角角色划划分便于赋赋予最最小特特权便于职职责分分担便于目目标分分级一个基基于角角色的的访问问控制制的实实例在银行行环境境中，，用户户角色色可以以定义义为出纳员员、分分行管管理者者、顾顾客、、系统统管理理者和和审计计员访问控控制策策略的的一个个例子子如下下：（1））允许许一个个出纳纳员修修改顾顾客的的帐号号记录录（包包括存存款和和取款款、转转帐等等），，并允允许查查询所所有帐帐号的的注册册项（2））允许许一个个分行行管理理者修修改顾顾客的的帐号号记录录（包包括存存款和和取款款，但但不包包括规规定的的资金金数目目的范范围））并允允许查查询所所有帐帐号的的注册册项，，也允允许创创建和和终止止帐号号（3））允许许一个个顾客客只询询问他他自己己的帐帐号的的注册册项（4））允许许系统统的管管理者者询问问系统统的注注册项项和开开关系系统，，但不不允许许读或或修改改用户户的帐帐号信信息（5））允许许一个个审计计员读读系统统中的的任何何数据据，但但不允允许修修改任任何事事情系统需需要添添加出出纳员员、分分行管管理者者、顾顾客、、系统统管理理者和和审计计员角角色所所对应应的用用户，，按照照角色色的权权限对对用于于进行行访问问控制制。常用用操操作作系系统统中中的的访访问问控控制制国际际安安全全标标准准1984年年，，美美国国国国防防部部发发布布了了《《可可信信计计算算机机系系统统评评估估标标准准》》（（TCSEC）），，即即桔桔皮皮书书。。TCSEC采采用用等等级级评评估估的的方方法法，，将将计计算算机机安安全全分分为为A、、B、、C、、D四四个个等等级级八八个个级级别别，，D等等安安全全级级别别最最低低，，A安安全全级级别别最最高高。。现在大多数通通用操作系统统（WindowsNT、Linux等）为C2级别，即即控制访问保保护级。WindowsNT(自主访问控控制)Windows安全模型型SecurityAccountManagerLocalSecurityAuthority(LSA)SecurityReferenceMonitor访问控制过程程组成部件：安全标识：帐帐号的唯一对对应。访问令牌：LSA为用户户构造的，包包括用户名、、所在组名、、安全标识等等。主体：操作和和令牌。对象、、资源源、共共享资资源安全描描述符符：为为共享享资源源创建建的一一组安安全属属性所有者者安全全标识识、组组安全全标识识、自主访访问控控制表表、系统统访问问控制制表、、访问问控制制项。。登录过过程服务器器为工工作站站返回回安全全标识识，服服务器器为本本次登登录生生成访访问令令牌用户创创建进进程P时，，用户户的访访问令令牌复复制为为进程程的访访问令令牌。。P进程访问问对象时，，SRM将将进程访问问令牌与对对象的自主主访问控制制表进行比比较，决定定是否有权权访问对象象。NTFS的访问控制制从文件中得得到安全描描述符（包包含自主访访问控制表表）；与访问令牌牌（包含安安全标识））一起由SRM进行行访问检查查Linux(自主主访问控制制)设备和目录录同样看作作文件。三种权限：：R:readW:writeX:excute权限表示：：字母表示：：rwx，不不具有相应应权限用-占位8进制数表表示：111，不具具有相应权权限相应位位记0四类用户：：root：：超级用户户所有者所属组其他用户文件属性：：drwxr-x--x2lucywork1024Jun2522:53text安全属性：：drwxr-x--x所有者，所所属组：lucy.work安全属性后后9个字母母规定了对对所有者、、所属组、、其他用户