计算机安全中的认证问题

计算机安全中的认证问题王成远19915040概要：认证是计算机网络安全中的重要问题，它是正常进行电子商务等活动的重要前提。为保证安全，人们对认证标准进行了很多讨论，本文对其中的一些问题进行了详细说明。关键词：网络安全认证标准一．可接受的认证度量在大范围网络系统中众所周知的一种认证技术是使用一条委托仲裁路径，网路上每个实体可认证该条路上的下一个。最近人们已发展这项技术使之支持多路认证，但面对交叉路径、证书歧义性和不同钥匙使用的互相依赖性，该技术的成功应用还不明朗。因此有人提议建立度量来评价多路认证的置信度。这里提出了一系列指导原则来设计这些度量，并说明以前的途径关于这些度量的不足及认证结果该是怎样的。然后提出建立满足这些原则的度量方向，只有这样才能建立满意的认证标准。1．1简介确定公钥的所有者或确定用户的公钥，是在任何大规模开放的系统中安全的进行事务处理的一个基本要素，由于在具有多种不同管理领域的系统中缺少一个单独的授权认证机构来提供这种信息服务，许多系统（如DSSA，SPX，PEM，PGP）求助于通过一条路或链的认证机构。在这种模型里，用户可查出一系列的认证机构来：(1)验证该路上第一个认证机构；（2）每个认证机构可以验证该路上下一个认证机构；（3）该路上最后的认证机构是目标人或感兴趣的关键所在。若用户相信该路上每一个认证机构，他会相信得到了一个正确的名字—钥匙关联。但这种认证方式有弱点：它依赖于该路上每个认证机构都是正确的，若该路上任何一个认证机构发生错误认证，用户会被误导。提高目标认证保证的一个自然方法是使用多条路，但多路提供的保证可能是不清楚的，特别是当存在共有的认证机构或认证机构互相关联的时候。结合认证机构的结论含糊性和看待谁在实际制造结论的含糊性，有置信度认证的完成会很困难。一些研究者因此提出度量多路提供置信度的尺度。例如：经过多路认证后返回一个数值：数值大则表明这些路支持的名字—公钥关联（对目标名字或公钥）有更高的置信度。在X.509证书中支持度量的扩充已被提出。基于不同度量的鉴定，这些度量的标准还没有广泛达成一致。一些认证度量(只关心名字—公钥关联的置信度)的设计规则：它们主要集中于三个领域，即度量输出值的意义、在何种程度上度量输出可被恶意行为操纵、在实际中有效使用度量的展望。1．2已提出的度量尺度概览先介绍两个概念：实体：它拥有并使用密/公钥对。如：一个人、认证服务器或认证机构；用户：他们应用度量来得到名字—钥匙的关联保证。几种度量方式：Beth-Borcherding-Klein：信任关系以有向图方式表达。图的节点是实体。图中有两种类型的边：一种是“直接边”（directedge），直接边A→B意思是A相信它可以验证（即含有B的公钥）B，另一种是“推荐边”（recommendationedge），推荐边A～B代表A相信B可以验证别的实体或推荐别的实体来验证或其它推荐事项。每一个推荐边或直接边以[0，1]之间的值相关联。A→B的情况下，该值表示A确实掌握B的正确公钥的概率，A～B的情况下，该值表示A作为推荐者相信B的概率，高值代表更高的信任程度。义Ma谨ur朝er擦：以锋有向席图作浅为输多入，根图的收节点组是实创体，浙同样肌有两尽种不裁同边犁——裹-直现接边浩和推压荐边肚。但遣此时竭A辩→姐B意产思是模：评抚价该巷度量挠的用枯户掌腔握由讽实体裂A发旧布和锅签名赚的带述有B随的公墙钥的漠证书祝，类染似的页，推予荐边燃A护～唐B意洁味着膊用户余拥有疑被A译签名怎的B赔的推懒荐。索每一缠个推同荐边饲或直责接边龙以[百0，毫1]素之间材的值逢相关饲联，渡称为阿确信旅参数阴，它足被产槽生边射的实龙体赋蒙值。施如果微用户逝A想都要用杜户B灶的公株钥，各该度夫量计认算该猾钥匙闯是B摔的公尼钥的捞置信浓度，大使用献指定音边的俯信任庙参数涨。烦Re米it璃er庸-S美tu蜘bb猫le乓bi械ne勤：以他有向缎图作乞为输随入，牺图的捷节点炒是公猛钥（塞实际签的公香钥，醒没有蛛对任和何实寨体的洲引用百），盒边K计1视→痛K使2婆代表滨评估喊该度夸量的昨用户债有一他个由巡密钥备K饰1垫签名逐（即备K柔1追可被遗用来切确认乌签名爽）所止对应欠的一药个证惊书，挣该证拐书分肤配属虎性给值K过2老，其昼中与划K草2炭关联沾的属狡性表勇明K旁2痒的所立有者斑，并霉作为事标志里包括诞在边寺K祸1究→先K位2隔。没贼有其垒它值库与边塘和节舌点关性联。具Re葡it远er悠和S塘tu延bb麻le准bi赖ne甜研究吃了两骗种有涨关的幻度量置，每烫个度每量输驴入上辟述有特向图自、用蜓户希冬望认轿证的本钥匙哑（目忧标钥摇匙）江、用丈户信血任的狼钥匙每（源杀钥匙倡，如闻他自狐己的固）和占考虑蓄路长槽度的沿范围坟b。抛第一到个度罗量返颂回从院源钥堂匙到辉目标绞钥匙拴最大卸长度泼为b恶的点嘴不相改交的鸭路的业最大瘦集合丰，第授二个介度量叫返回遮整数贷k和批从源灶钥匙笑到目框标钥荐匙的御一系敢列最夜大长夫度为液b的斯路的闹集合迅，其因特点油是k驳个节举点被杜移去代（破犯坏）权才能省破坏荒所有束的路穴，k窝是使交这样湿的路秃存在融的最舌大值瓣，称候为从冠源钥独匙到贝目标榆钥匙助的连扎通度浩。若宫坚持倒这些键度量日返回运数字泪输出政，则私在路趁不相言交的烫情况如下返申回不院相交化路的盒个数抽，其思它情然况下映返回显连通译度。推Zi登mm哥er插ma离nn侵：谨把Z运im被me魂rm撤an壳n作礼为度仪量归滋因于灭它使其用了乱PG同P庄——绝最流泽行的题公钥柄管理环系统犯之一怒，它束的有郊向图智类似瞎于R铅ei害te台r-音St仿ub健bl扭eb兵in护e的击图，古节点杠是公仇钥，白边K张1培→老K姜2花庆标有畜属性垃值，笔代表树关联约这些夕属性违到K攀2煌并被鸽K慰1应证实满的证痰书。仁不同美之处赏是用扯户赋岸以每张一节食点一滤个信是任值敞，分天别是值：不摩知道袖、不驱信任爆、部冷分信纪任、桑完全跃信任缎。荣PG邻P以箭下列炉方式透计算剂每个演节点惹的合驳法性鼠：首瓶先宣乒布合敲法节园点K略0现代表谦用户顷钥匙剪，任粘何节翠点K戏，使森得K齿0怕→随K植是图祝的边雄，然肥后重凡复下哥面的唤步骤康直到澡没有侨钥匙常能被辞确定星是合株法的蛮。如祥果有惩一些途节点奉K满峡足（证1）或从合轰法的观完全看信任殿的节落点有局一条腐边到春K或畜（2袜）从沈两个仙合法燃且部塔分信拾任的再节点急有一墨样标剖记的劫边到桃K，计则K庭被认林为是财合法帝的。仆需要跳从完症全或妹部分也信任堂的节嫂点引琴出的纽边的求数目疮可被养调节祝，但围一或黎两条蚕是缺练省的坊，分孝别的够。实讨际上雷，节窃点合查法性方的确若定被汤分派尘到节汇点的家信任玻值所亿交织艰，即招一个祝信任新值被土分派轧到一催个节盆点当储且仅生当它浆被确穗定是逗合法顽后，怀这样羡它的物所有基者被笛假定瞎知道码。副设计阴规则钻把规亡则分旧成三巩个范谱畴：挤度量帽结果竟的意袍义、胀度量长对实芝体错裕误行四为的鸽敏感倾性、裙度量箱的实术际成洲效。勇下面蛛分别泽叙述立这些韵规则农。渗1．饶3．胁1度个量结尖果的肤意义输规则取1：捆建立劝应用饲度量杂的模讽型应盲该不专要求搜用户吩推断吧钥匙店和它第们主哨人的捡关联贩，特钞别的姻：当肆描述勾模型萄中的斤证书推时，叨实体夜不要据对证叠书签誉名，清而由荒钥匙既做这仇件事渠；毛建立富该规痰则的裁动机钩一是退建立龙名字拌—裤钥匙贺的关恶联是存困难蛙和易皮错的看过程堡，否妥则就除不需城要度壁量了社；M肯au铁re皂r模各型达亩不到扑这一甲点。赢同样驱在B漠et呢h-帜Bo扔rc停he挽rd谣in栽g-增Kl躲ei耕n模图型里因，节枝点是法实体洗，用斤户为膨了安挨全的蹲对边警A告→脑B或愉边A衫~B婶赋值房，必族须验刺证该毒值从挂A而病来，菜假定翼认证腾秘密螺进行课，仍裙要求他用户扔能决稀定可低认证锄A的左钥匙舒。第梨二个司动机艺是建士立被弯单一移实体很签名偿的证描书隐即藏了暂实体轮用于牙签此摧证书筑的钥畜匙：润被同粪一实谜体所黎拥有肺的不目同私体钥签咐名的油不同勿证书隐会导咬致描诉述证通书时穷的模介糊性辩。卖规则葱二：劳模型妥参数钳的意另义应不该是尾非歧府义的挪，特获别是节将它喊们应脖用于贞模型咐中并堪使用摧它们贷的概万率意掏义和味信任肝值的星时候非；镰规则稀三：桂度量阳应该创考虑胆更多撒有关纺用户趁想要季做出郑的有雁关认度证决口定的宰信息耐；围规则电四：组度量谎输出碎应该盼直观他，应饥该能香用直秃观的从自然善语言垮描述握输出少含义观；看1．雨3．坟2么敏感看性屋伐下肝面讨爹论实驰体非拦正常藏操作鲜对度尾量灵甚敏度站的影愚响：倡非正粪常操匀作指拐一或欧多个屈实体应用欺趣骗手搅段来锹控制牧度量哪输出炕来提慎高用假户在岔认证摸中的育置信琴度。未如果扰攻击赏者能抬够增扑大度丧量输里出使悼之达致到应宗用可摇接受趴的认采证，矮则该宽度量蜜并没携有达思到服刚务目谊的（线会误术导用殿户）育。为嗓解释劫这一缺观点鉴，下影面说嗽明B郑et惑h-惹Bo焰rc叛he洗rd给in掠g-烂Kl尝ei子n对鼓非正肯常操肆作过负度敏赌感。殊实际瓜上，饭该度墓量的旅一个恳特性疲是单庄个非致正常唇操作淘的实果体能之够随桌心所稍欲的作提高唉或降播低度坐量的友结果冷。为赞说明篮这一旗点，喝有必侮要检回查一暂下计隙算B厅et宾h-涝Bo祸rc酱he禽rd该in压g-绕Kl雾ei调n度傲量的心规则短：假侵定实点体A帖想要米认证描B（你确定榆B的错公钥广），盾Be貌th梯，e房t急al沾提诞出并急证明或以下药规则杨用于沫计算斥A（抄基于敏连接防A和亩B的右边）扩认证罚B的靠总揪“蝴分数赞”变。扯如果联有路救A～府…判～C蜻带有务推荐青值V居1述，推负荐边保C已～习D带煌有值拦V表2临，那号么A孩～尸…刻～秀C毛～有D带违有推君荐值肚V袖1小*V菠2贿。慕如果庆有路锁A～州…虽～C卧带有竟推荐舞值V佩1伞，直齿接边档C果→织D带凤有值劣V呜2猜，那罪么A亿～将…嫂～渗C绍→呈D带借有直晋接信救任值窝1夫－轧（1蛋－条V岗2全）侧V1戒。歌若对价1虎≤坦i产≤携m，断有n护i终条不阀同的到路从传A到局B并储以边省C单i留→富B结呜束，潜带有钉直接辟值V纹i，摩1灵，遮…起，V爱i，认ni达，那坚么结黎合的蔑直接粉信任福值是河V萌co煤m廊（A拆，B击）=僵1乏-堡Π胀m提i=平1齿（错∏产ni假j=原1喝（多1-躁V释ij匪））仍1/赤ni版下面衬举例竿说明失上述桃规则毯会产避生前积述问龟题。午如图垒一：歇从怖规则轧1和碰2，开路径丹A陡～虽C庄～缝F颤→艰B，秃A艳～蜻D百～地G额→览B和竭A诱～姐E艇～棵G食→斗B得慌到直锡接信托任值兵0.距20迈4、容0.巩17阳3和搜0.颠76瑞5。穗结合行这些鼓并由决规则运三可慈得到乒V锻co屋m舞（A残，B敲）=盯0.拖64波9。袭现在掩考虑丙图二米，由公于D悠的非个正常赤操作浅，D宴产生胀另外链的路肉从A果到B销经过拜H、服I、打J，制这样快D产锣生可桨改变芦的度俗量输上出，曾从A报～末D为～汽H椒→阅B得急到0究.8女21膜，同探样对件于A手～抓D况～公I钩→泥B唱和A慎～辫D回～称J辨→寄B。笨由规毁则三温产生匙V敏co造m婚（A奇，B另）=精0.沟99佛8。廉这说丙明一句个非累正常至操作叙的节该点能临使输此出接辜近它帐选择扩的值桃，并些完全富影响何结果肯。昌阴慈辫图娃一沿略疲切逼取剖甲跑吐材碎留缎愉彩刃梳磁饿棒东图二枪由此势导出贞：苍规则祥五：诸度量董应被砖设计迟成有乱弹性全的以粱便控策制被耳非正铸常操菌作的盯实体耗，它两对不贞同形寸式非旺正常狸操作粥的灵夜敏度港影响健应该丸是清绪楚的趴；狡1．饼3．株3宾度量修的实夫际成阅效突规则厉六：他度量诊的可纹用性谣不应盼该依修赖于友隐藏终从用票户那喷里得掏来的颜和认阀证相投关的讨决定传；向规则踪七：李度量君应该色能被号有效传计算还；桥规则格八：叼度量文对部偏分信勇息的刺输出搞应该缺是有戏意义全的。抓更好隔的度恩量犯为满呜足上垦述规迎则，背提出颈一个已度量真，它俗基于琴名字硬--蓄--叼钥匙诊关联躁保险欠的概距念，场希望镇它能划适合障很多肤商业紫应用倡。该警模型辟仍是狭一个匙有向温图，符象Z赛im朝me幸rm穷an吨n和侧Re他it的er抚-S展tu话bb蚂le容bi搜ne矩度量剪那样壮，图孙的节傅点是灯公钥卫。边钩K带1不K灿2奔在模舱型中凉存在涝，如继果用细户拥贯有证劝书对华K济2床赋以蚊属性伶且其种签名策可用求K盒1称验证泳。每舟一边论用在猪证书诚中包伶括的瓶属性桃值标蜜记。轨每边意K嗓1胃K孔2貌也有姥数值粘标记忙代表坡K主1鲁的所电有者校为K展2狗的属宇性和惨行为胀保险续的金夹额。瞎即若甲在证数书中膝与K勉2影关联慨的属央性错筑误，潜或与寄K盾2饶对应丰的私麻钥被姨用来盒误导车用户赢，K夫1狸的所堤有者责将对候用户莲负责愿所付老的金屯额。筛特别苏的，劳如果废与K丘2药对应伐的私翁钥被驼损害妈并被付有敌遭意的换使用供，K踩1部的所停有者炉将负工责规跃定的堂金额巡。实诞际上燃，若棉基于编K烈1发验证累的证取书发行生对晒K暖2宝的错柄误认喜证，敌或K显2缝出现将错误够行为春，K绪1当的所夕有者握将会睡为用报户负辞赔偿扎损失蔬的负液责。疮边K壤1拼K肚2干的保窝险标鉴记必嚼须从薯K傻1末的所那有者奋处以主可靠萄的方挪式得虑到，窝因此祥很自展然该岂值将亲被存睁储在帆边K趴1详K释2浸代表隙的证泰书中才，注搅意到养没有狱要求袭用户班确定榆K火1敌的真库正所吓有者队，这见与定终律1校一致医，确艳定了温K练1偶没被雄破坏鼠。实践际上映，K估1均可能骆被破驳坏并势被用积来伪寺造K子1认K千2拍的证烟书，细包括璃它的端所有执属性杀和它朋包括够的保牵险数曲额。泡但在粘这种余情况栏下，蛛不管止谁为翠K陵1誉保证捆都将抱负责刷，这踢可沿肃任一衰条路基回溯屯，即挠从任画一个混可信宋任的背源钥惹匙到袭目标父钥匙牛的路监，若惹K头1息K罗2坏是该抖路上练第一理个有鼓责任吧的边枣，即款：第醉一条酬边其鸡上的姜属性棚值不王正确梅，证点明钥胜匙K圈2花非正悲常操惕作，寨则K掘1热的所丘有者顾将负度责任喘。在班实际霞中，锋确定糕哪条驾边是昂路上态第一刑条责孟任边膊的规轰则需模被建禽立，论假定这这样终的确碗定可勇被产侍生。为获得虚错误槽的针吴对目攀标钥狗匙的灭名字旺—备钥匙述关联香暗示奔每一低条从食源钥居匙到寒目标悟钥匙糟的路挂必须蛙有一尤个初焰始责歉任边孟，一冬旦这由些边委被标验识，杨产生棍这些因边的暖钥匙剑所有圆者将受要为仓它产竟生的亿每个壳有责棉任的榨边的辽保险筋金额牺负责辞，一戚个自泪然谨挨慎的沉度量持是目蔽标钥泛匙的宣名字术—偿钥匙型关联悼的最据小保别险额赤，即冰以所覆有可残能的形方式鞋选择迫从可仍信任谅的源兄钥匙圈到到疗目标捉钥匙状的有凝责任龄边的渗交织肝中，接用户奴期望齿赔偿尿的最诱小金剥额是盛多少蹦？启使用岸图论第中的祸工具米可以漏精确霜得到帜这一晌数值身。令敞Ks甘表示征可信临的源东钥匙头，K纤t表块示目欠标钥干匙，雀对每丙一边铸K纲K雄，令姿边的炭容量曾为c曲（K鸭，K乓），询它代僻表该拨边的腐保险瓶金额铃，对懒不存吓在的垄边K房K泄，令热c（等K，伶K禽）=爸0。捡一个锦Ks全，K纪t-挎cu戴t代淹表将更图的苍节点山分成拉两个族部分取A，沙B使炊得K揭s庆A且占Kt为B，腾Ks绪，K父t-蝶cu龟t（注A，朗B）日的容渐量表漆示为尿c（税A，衰B）逆，它骗只是揪从A更到B蔑的边葛的总杨容量冒即c摇（A付，B磨）=恩Σ罪K狗A，毯K舍B份c码（K跪，K舱），煎则K齿s，杏Kt妻-c纠ut由的最壁小容陪量是柱所有眠Ks抱，K弄t-造cu约ts过的最邪小容祥量的泰分割召。坑总之量，该惹度量挡用有逐向图冈表示柜，可语信任强的源森钥匙霸Ks酱和目拿标钥意匙K蕉t作砌为输载入，待返回葡名字弊—诉钥匙定关联晨的保很险数乞值，樱这通切过计禁算K仪s，丹Kt王-c罢ut忘的最艳小容葱量实嫌现。水以上哀是对征认证木度量史的一晒些简蜜单介罚绍。身二．部分布振式目害标系乐统的利认证窗体制速分布低式目硬标系节统的滚保护供问题洽非常撞重要改。这御里提挡出一帐个新斜的认捡证体汗制，限它基身于一蒜个中本央认葵证服慕务器衡和位滴于系荣统各阅个站魄点的孕安全雀内核惨的合网作；艺描述差了一渔个新男的信紫息流遇动权判限管曾理途侧径，惊它基物于新黄的信咳息流气动权燥限和港特权御授权屡体制警。这除种认说证体枪制适惰用于趟不同涛的安所全保巴险级左，包滚括诸系如B巩el滩l-症La棚Pa墓du驻la叼的多语级保详险。交介绍凝了针稀对分迅布式缝对象脱系统珠Be昂ll嚼-L送aP神ad级ul否a模圆型的胁扩充漆，并辞描述踩了安尊全体紫制的拒实现赞。环2．她1简炒介忙2．腿1．猫1分宋布式喝系统店的保驴护池于辣多数爽保护帽模型治基于塔主体赛和客静体：理主体诊是系日统中茧的主熟动实勤体，搜而客翁体是势被动珍实体阁，即鉴数据留容器女。主支体和庸客体丙之间站的交凤互用投监督脑程序忆控制哪，它色可以妹检查萄访问佳被批符准还杠是拒爽绝。薄分布锹式系巾统的位保护台很困届难，鉴因为秧在这感种系蹈统中巩没有嚼全局冠状态必，保村护分蛇布式嗓系统供中的涛每个鲜站点侵不等念于保萝护整撞个系危统。喷保护您分布群式系击统直曾接涉屡及到新信任航，即雷什么扁实体敢在系莫统中狠该被周信任预，根袜据这都种信厅任，添怎样会才能赌保护瑞整个级系统叮。下适面提差出两攻个通乘常的蒜保护匪分布亭式系描统的根途径斯并说叙明其包优缺浑点。徐集中心式保辛护：半慢富该途些径基愿于集哑中式挡监督暑程序沙，它助检查巧所有壁从主辱体到占客体卧的信举息流衔动。辣它倾袄向于关只相电信一阻个站务点，删每个攀从主烟体到徒客体阅的访召问都毒被它蔑控制妖，它咸可以钢批准赢或拒乐绝访姐问。跟这种购体制铺的成疗功实获现可滔从N煌ew碧ca清st蜡le碌C你on滑ne筐ct殃io辱n的挣安全卫文件仔服务内看到妥，在芦这个弟设计疗里，假每一佩个用江户可此从他默的终彩端通怨过安慧全文哭件管侨理器染访问郑他的夸文件胳，该处管理底器检夺查并宫管理扭所有端文件慎访问钓权限卸。判红皮鞠书途炸径却在这机种途搁径下着，系鸡统中房每个执站点很有一攻个置菜信计弊算库凡(T器CB虽：t挣ru步st精ed摆c专om要pu芬ti鹅ng吴b获as且e)互，并甘能根锈据N乏CS魔C橙数皮书趟（o京ra疾ng红e它bo窃ok乎）标宝准求卷值，块每个蜂TC介B不盆仅检狸查所讲有本米地访醋问而阵且检缸查所址有从轰远程补到本萌地和挑本地参到远更程间规的访渣问。盘此外储，在轰这种受途径伶下，防每个除TC戏B相延信系织统中竞所有猪其它岁TC羽Bs坦，这岂种T屑CB来s被界称为煤NT截CB祸（n催et竹wo练rk伸t甩ru侮st毙ed践c准om渗pu删ti里ng值b停as侨e）陡。乓虽然堂红皮晒书（劳re递d岂bo助ok援）途姐径没杜有瓶睁颈现源象，终但安足全保拥险前境后一尖致的鬼保持点比集览中式晋途径深更困气难，忠因为塌每个燃TC限B必输须知漠道系释统中毙的所认有主践体（您本地炕或远通程）自和它建们访桥问本召地客锈体的丧权限鸽，这酒样才授能实突现访植问控级制。五若系受统中案TC斜Bs宽中的陆任何休一个绘泄密欣，整绿个系浙统的求安全佛会被匀损害辽，因网为每辞个T胁CB赴相信坝所有草其它斩的T社CB锁s。衡下面秧提出拉一个职安全喝保护葬设计乔来改炭进上窜述两芝种途恩径中很的缺型点。阅2最枪小特隆权律京最小岭特权虎律在满大多泛数系传统中虏并没吼被遵床守，号如：堤·停Un奴ix骡进程渔总是融以它据的用润户的据所有汗特权腊来运镜行，略但大葡多数例情况秘下，肥他并状不需泰要所末有这竖些特鬼权。炼而且易，依挤靠S绿UI呜D位贿，用回户可于模仿非另外顷的用槽户来匪进行逃特别群操作义。如巷：用倒户改爬变它抚的密狸码时点拥有舟所有姐的根张特权侦，但感他只艘需要光更新配/e柜tc颈/p徒as茂sw饮d中拿的数共据。保·言通常循在大像多数票分布滩式系仆统中忙（如银Ke锣rb炎er伏os室、S秋ES售AM说E）寄授予寺特权外并不伪严格义实行倍最小跑特权牢律。肉在这忽些途距径里毫，当锋一个园主体侵S向刃另一况个主酷体S重ˊ驴授权自时，养S器ˊ幕进行脱的操洞作根放据书S事的身筒份进团行检价查。毅这意症味着本S搬不得牺不拥秘有相典应的翻权限栗虽然藏它并治不使陵用它绵们。贞界为谅严格端执行倾最小具特权便律，逼一个仁主体贴必须做能够管传送趁它不剑拥有就的特损权，老这样闻，访省问控身制必菠须根黑据实菌现访倡问的洪主体俯的身称份而动不是的根据于传送原特权债的客搜体的鼓身份骑进行耕。这庭里提董出的伴认证勿体制窄使用谎新的荣授权求体制普来严猴格实贤现最原小特板权律垮。衡2．折1．玉3修面向掀对象级系统矛的保谢护伯稻新歇的认斥证体葬制适盼应于却面向现对象扫的编咳程范美例。楼在该载范例伙中使忽用的技对象文，是脸由它耳的私驼有状巨态信滨息和纺一系吧列描技写对霞象接其口的伸操作票构成猫。每做个对顾象的哄状态浓由一挨系列妖变量犹描述屠。对签对象断的操鸽作被应称为遣方法联，外它是彩唯一兔修改翠对象盆状态留和得日到状逆态信特息的独手段舰。对愧方法返的调同用导缓致相宰应操批作的蔬进行毙。这工里对伸象的躬意义辱包括稻了主讨动和满被动谣实体叹（主利体和章客体缩）。润所有粗对对耻象的废访问予依赖烛于驱穿动信扶息流启的消毫息。熟释量下面妨只考统虑系猫统中配一个露对象鸟对另责一个相对象走的访忽问权体限。喉分布概式对插象系棵统中影包括坚很多须不同意种类妨的对茅象，辽一些竖是持夜久的导对象逮，其找它是除为完副成系换统中撑的部驾分操扛作的粥临时从对象筑。这肥里把俱对两摊种对竭象的扑保护吗分别马考虑绢。系非统中向执行昼的大当部分冻操作情是高榨级操永作，夜即操翠作的凉实现虎包括的不同式站点远对象摊间的少合作斧。如贼：向杨用户世发邮铅件包毅括邮怪件传蔽输代予理、睁邮件休交付透代理宋、文员件服赠务器砌和命隔令解蚀释程炉序。秧新的邮认证辣体制阿可以剩处理已高级手操作生。怀岭牛对象傅管理钢组织剩（O辩MG钻）提量出了很分布策式对屯象系洗统的译总体抚安全烤框架办。这姻里提剖出的努方案关可被阻看成港CO本RB寒A建孔议的福一个源特别雨实现膊。下咬面将恢描述链系统嫌的结读构，贼即实敢体间皮如何医协作坚来完呢成对娇整个伞系统拔的保澡护。迎并给友出基织于新往的访虎问控升制管绩理认答证协叠议的麦理论瞒，最额后介晴绍实疑现的鸽高级匀安全刺模型仰。永2．冻2两言级别兰的保尿护销坏舞对持两久对膊象以习集中滨式认致证服统务器插方式馅实现病，它蕉能管亩理系图统中纤高级辞操作弓的访背问权切限；专第二盐级保用护对酿系统康中每存个站雕点实鸽现：握安全版内核制负责店检查议对所为有本捷地对紧象的斗访问佳和管碍理本贱地所摧有临贯时对慰象的前访问蚂权限个。择2．管2．蜻1潜认貌证服维务器岁饿屋认证蚕服务欺器负煮责管杰理系猜统中回所有纠持久幸对象阻的访柏问权悟限，郑它决辨定对平系统惜中每帅个持亏久对专象的灯访问自是否杰被批创准或帜拒绝餐。为凝得到筒决定跨，认踏证服斥务器俭存储汇了一伶个款访问键矩阵警（里促面定级义了靠访问番持久庆对象毯的权毙限）请并管竖理一头些规炉则，材这些缘规则钟允许瑞建立也和交蜂付权波能到放被批织准访骄问持岛久对镜象的译对象眉。摸其为膏使认蝴证服供务器施容错庄和抵排抗入抵侵，证可应演用不湾同技削术如锣：F忍ra阔gm竿en割ta群ti所on妇-R易ed紧un蜻da焰nc党y-农Sc劳at骗te首ri拨ng伤t动ec钢hn佣iq毕ue踢等。绘为达贺到这伶一点竹，认盏证服垂务器副必须受由几证个安东全站股点构画成，储并且洁只有销其中冒的大屋部分蝶被相边信。览这意躲味着疯面对貌少数椒安全英站点听的故萝障或覆遭入拥侵，权整个误系统岔的安兼全不烤会损厅害。瓶所有彼非机鲜密数休据被是复制去到不稀同的齿安全首站点镜，机骆密数务据则抢分片抽散放咳在不串同的中安全洁站点硬上，啊所有索安全羽站点资执行叼多数悉投票割的方搭法来迅决定瓶认证恩服务凯器的粱每个酿决定惭。这耳样，蝴前节跌集中镰式管羞理中兵单点香失败让的弱再点得承到了诚解决器。剃隆亮揉握垂个鸟要研胃尽司潮寸虹奉认证线服务览器猎很含糠愚花谈勾杀纤少坊判图卫三彼认湿证服芝务器打和安第全内昆核幕2．适2．呢2原安全蔬内核解系统浮中的舟每个炊站点武都有玩一个那安全虾内核例，它蹲有两培个作孙用：听检查姜所有引对本喝地对跑象的拴访问白，不曲管是茫持久眨或临段时的铺；捐自动味管理绿本地腔临时脊对象律的所尊有访省问权栗限。找安全翅内核拣通过斜检查瓣是否稼每个痛请求摔携带田了授稻权访党问的丢权能察来控摸制所破有对严本地矿对象商的访友问，讯该权赌能可纠能被仿认证由服务严器交宵付，折如果狐访问杰是针蝶对持并久物恼体厚,营或被小安全娃内核抽本身壳交付泥，如稻果访独问是鹊针对渐本地兆临时义物体飘。安技全内变核总提能实处施强印制访扫问控尼制规荐则。饶每个抛安全劣内核病必须趟拥有法监督颗程序述的通援常性蛮质，机它必积须防写止篡网改，吨必须鸣总能披被调封用，禁必须迈足够绒小来抹分析板和测努试。偏这样色对每正个安轨全内猪核信尼任到棉一定纽程度肉：控载制任疏何一帐个安聚全内烤核是宴困难犹的，包但即节使入色侵者叮成功星控制鹿一个芝安全亩内核浊，整保个系违统的罩安全型也不位会被马损害呼。事盼实上尺，这沙意味铁着攻绣击者夫能够泡控制撞对本缝地对唉象的斩所有杨访问线但不敬准许蓝访问浑远程坦对象层，或炒模仿恭远程绢对象智。每岭个安山全内棵核或渐每个伤站点轨并不巴信任萍系统歌中的信其它黑安全冻内核互，它搁只相米信认糖证服捏务器俊。这烧意味填着红腰皮书慨中的淋弱点摧在这天种途营径下座被克谷服。赛2．盐2．瞧3总惩结扔由于队认证翁服务花器和谦不同顶安全巨内核陕的结蓝合，药可以瞒保护谁整个练网络兔资源能而不址必担战心单纪点失晶败（柏对认老证服壁务器塞应用捆容错替技术很消除袜这个乱弱点绞）也承不象暗红皮扭书中赛所说纱过度寇信任先每一稼个站仪点。置陵下文馒介绍券新的忆访问爹控制上管理疑途径船，使昼它既冰有效质又有颈适应死性。杯2．住3访第问权脏限管绢理减音追对临扰时对剑象的谋访问刻权限百管理翠非常且简单痛：每挑个安暮全内谦核负缩责产津生每宽个临码时对把象方达法的素权能诞，并邻递交犹这些遣权能呢到被界批准深调用臭这些陷方法跪的对眨象，库当这丙些方盘法被终调用似时检抢查这愁些权裳能即筒可。羞远住对认刊证服遮务器卸级的满访问被权限糟管理敬：其探目标梁是定揭义访扇问权搬限管船理的轰途径卸来允猛许以喊半自羞动化渴的方传式为蛾高级钥操作爱建立垒并传宣送特梯权。绢该途博径的裤关键挥是简易单适蛙用性啦。该恶模型锡基于罢符号创权限指和凭怠证的吊想法逼。艘2．引3．得1方岭法权包限和脑符号览权限怀一个汁对象完会独论立的蠢调用岛另一乌个对朝象的倦方法体，只相不过侧要执脱行一罩些它磨需要梅的准忽确操娇作，拔这种连访问执对应呀一种指基本挑的操斥作。太另一银方面陆，一耗些调疑用被宿某个元对象洞执行健是因撕为它守被包肥括在郊系统坏中高俯级操然作的连实现揭中。子例如娃：从殃用户轿U到穴用户梨U妹ˊ栽发邮脊件是夏高级惊操作培，它更包括穷对许继多对翅象的坛操作意如邮跟件传乡输代忽理、饭邮件凡交付窜代理拆、用霜户萍U老ˊ稻的邮讽箱等缠。当翼区别智这两骂种操族作时巩，也排要区还别关铅联到产这些桥操作顶的两区种访日问权侄限，缩即馒方法锦权限狮和符易号权炉限炮。方牌法权氏限是呜调用谋某个预物体吗的某渣个方梨法的韵权限夕。符腰号权袜限是舱用来地批准胶实现行高级多操作守的高撞级权笔限（承如在梦系统世中任竞何打友印机据上打糠印文乔件f盛是符哥号权而限）瑞。总鹊之，洗为批对准一垮个高兼级操境作的驴实现胳需要塌一些止符号暗权限涂。挑方法毒权限极和符箱号权条限存拌放在峰访问飞矩阵狸中。讨在该涉矩阵透里，诉行和帮列代梅表用能户，壤角色插，揭类勿或对见象。暑角色努代表戚一系僻列用丑户具茧有的兄同样阵职责焦，一棒个角其色是仓一个简用户饺属性堵，单软个用释户针脂对不尼同职仇责可杏有不写同角就色。睁角色赔用作唤矩阵企项而湾不是棒用户废标识随来减摄少访贱问矩使阵的墨大小幼并简桂化管棉理。粱实际玻上，兼访问吧某个旋对象腐或类畅的权话限常滔为一圆组用剃户而查不是京单个逆用户臭定义洽。角泡色是窑收集承管理辛用户情的灵稿活方像式。凑同样挪类的贺意义移是帮培助定鸦义访惑问一扛系列坛对象锅（所折有类乓的实麻例）恐的权剖限使蓬得访别问矩藏阵管除理简艳单。引实体盏e拥劳有对瞒另一眨个实恢体e醉ˊ优的访且问权抬限可昏在行士e以和列爷e声ˊ酱交叉监处找汗到。雨方法薪权限耐和符请号权犯限以探两种轮不同干方式任描述钥。捞实体湖e拥密有对恳另一惧个实井体e巴ˊ踢的方刺法权丢限以溪e的历相应持方法吼列表椒描述纱，如科：若班M伍e，廉e击ˊ扶=（菊f，上g）浸，则际e有核权力矛调用阁e捎ˊ议的方侄法f顽，g狗但不沸允许想调用症e稠ˊ盏的其抢它方末法。桥2．莲3．镜2符阀号权毒限规贴则士符号棉权限扬规则思描述刘了访江问矩娘阵中预必须驻有的配符号帅权限鞠集来陵批准馋高级蓝操作卧的实蹦现，孙这里纹只给姿出这上种规寒则的袄简单做例证惕:格料斯惨袋缩白定暑足C秤1昼,C非2雾,C耍3觉惰绩套免A(法re饱co迟rd疏er下sc塑en钓e)荒(e绕,r夸ec怪,c藏am积,t舒ap押e)欧这里巴：C口1泼=R膨S彩e,叔re腹c杏(r壮ec明,c瘦am讨,t熄ap臂e)场，陵C掠2元=R种S闸e,铁ca海m避(r宜ec福,c碍am和,t迈ap碍e)昌，碰C代3匹=R悟S惰e,咐ta什pe恶(r泻ec末,c丛am径,t拳ap箱e)涝。已A(忆re解co舰rd技er裁sc介en号e)枕(e葱,r收ec咸,c并am往,t聋ap削e)艘代表晓批准陵实体谷e实准现下顺面高忘级操桐作：你从电轿影摄篮影机丈ca管m用毕磁带马记录吵器r皱ec产在录勉像磁乔带t蜘ap偏上记隙录一李段场知景。数实体肿e被起批准营实现煮这个蹦操作雕当且求仅当衰在访薄问矩兔阵中茫能找浅到下勿列e送的符坛号权傅限：段-趋用磁骂带记芹录器萝re症c为受一系级列包靠括c属am喝的电连影摄匀像机杂和一躁系列再包括柄ta荒pe敢（R邮S绘e,鸟re伸c躲(r没ec永,c脉am郊,t亏ap劳e)跃）的曾磁带佳记录纤场景援的权雷限；仔-从恩电影选摄像泪机c允am视为一睛系列之包括遇re岔c的槐磁带车记录西器和年一系晓列包睛括t筹ap紧e（挎RS碌e,僻ca技m撒(r释ec荐,c牲am生,t樱ap惠e)质）的临磁带绵记录有场景严的权点限；富-在理磁带采ta宅pe爬上为宵一系压列包乘括r惕ec园的磁撒带记动录器雨和一若系列仍包括线ca调m（目RS煮e,荷ta如pe滤(r半ec犯,c现am粮,t数ap致e)脆）的呜电影博摄像话机记镰录场之景的天权限肯。在渗访问躺矩阵坟里用抚户U宿的符蹈号权勒限例躬子如刃下：持朝视r斥ec瓦啊c庆am锁t扬ap怀e穴…锡陶负U额午辞A谣显院权B虑鸡C赚…纵绸St邀af泰f留币挨A供折规撞B攀著C炭…坦…移…裕…兔…叼…怜这里祥：壶A托=疑RS桂(t吸hi佳s,未ca韵m,还ta抖pe墨)，腔B=黎R鸽S艺(r码ec桨,t庸hi杠s,魔ta信pe邀)，冲C=联R缩S队(r刷ec犁,c共am奖,t束hi砍s)女，t俘hi养s表哄示对愚应列屑放置菜权限驱的实拔体。评用户至U持ˊ旬也可厨被批裂准实疤现高弊级操欺作，距如果顿St程af细f是杀U闪ˊ顿的一赔个角乱色。匆2．巡3．烛3军权能呼产生妻规则纱杂胸当渡某个顾对象恶被批农准实康现某黎些特绸定操形作（陡要么骂访问街某个反对象贺的方衬法要摔么执垄行包窗括若抗干对芝象的葛操作陷）时郑，它袄必须论至少启拥有淘一个主权能东，权镇能产绝生规燃则阐苏明了爱怎样傍建立械这样括的权凭能。稠一个桥对象渣掌握刻的权斗能，屡最低呢限度撇是它勾的权烛力引杠用和状列表门。我须们必设须保恼证权蛙能不挪被伪炮造，牛不被踏回放占，只坦能用掌于权仿能产你生的府目的裤对象猫。凭证粗春枪权筑能包逮含可胳直接逗授予剥接受慧权能肯对象裙的访肝问权爹限，嫁也包嗓含称岗为凭术证的善非直镇接访单问权地限。尊凭证明是批释准某演个对管象将食要获论得的它访问乘权限赛，接诞受凭英证的船对象酸u把春凭证离传送歼给其播上含射有对哀象标凶识u驼ˊ通的对少象。拣u袜ˊ编收到菌凭证蹲后可液用它壮自己尺的标熟识执露行相害应操睛作。衡可见文，凭匙证与帐代理穴很相敏似，征代理厅是对跟象O速给与穷对象随O起ˊ足的访堡问权与限，卫使得物O地ˊ矩能代严表蜓O执鞭行任脏务（婶Ke诊rb腊er糟os糊V诉5，需SE子SA预ME口和C舅OR认BA醋）。效代理筹可以肌很好赚的实塞现最滑小特驳权律识。但氧为产繁生代集理，盗发出当授权具的对舅象必子须总板拥有蛾它希赖望赋讯予被浪授权解对象燥的访躲问权忌力，馒在凭圈证里煌这是配不必知要的绒。凭末证可院比代屿理更佳好的乱实现此最小蛮特权让律。扇而且饥，接汽受凭涉证的泛对象圈用它究自己漠的标亿识执傍行操圆作而爪不是班用发樱出授特权对立象的及标识毕，这驴和代惨理不夕同。俗在新沸的访桂问控你制协系议里炮，凭历证包仍括简帜单的悬权能健，也所包括拴执行傲高级偿操作蛋的权誉能。再它不戏会被为伪造嫩或回坏放。页权束能产症生规恋则的言定义颗哭基拣本操技作的往权能率产生矿规则俭如下像：捎衣C够ap置（蕉O,羞O症ˊ颜.m冒et惜ho枣d(切x狼1腥,傻…艳,x彼n岭)）歉::烈={者re提f_嫂O,仙re裳f峡O耳ˊ创.m跪et恩ho贯d袍,n翅on挽ce书,r句ef夕x1贺,股…杀,r丝ef案xn边}化染n咽on洞ce璃意思朴是只培用一抱次，勇以防缩止伪朵造和进回放挖攻击冰。O专代表杜被批美准访刺问态O石ˊ狠的方剂法的领对象帐，x捞1残,煎…荡,x背n瓶是参予数。外哈高墙级操背作的撤权能作产生阵规则谁如下岸：气测C傻ap轮（O营，o加p（绿ar挽g申1吗，浅…岁，a味rg讲n煮））冈：：架={趋li趁st光_o失f_矛ca育pa薄bi辛li堂ti稳es性，[加li舱st朴_o能f_普vo衰uc群he病rs抽]}狗亦凭红证或征者是讲其它剑对象遮O染ˊ牙的权桥能，绿或者夫是O睡ˊ建执行册高级弊操作培的权棚利。沃值得馆注意烂的是梁：系女统中渴每个差操作密都由防对象咽实现场，对巨象或裕用户抚都可惩为实贿现高颂级操给作提牺出认伴证。有在用价户情谈况下龟，认播证可肺通过通是因械为用打户本疑人或秤他的吸角色苦之一喇有相诚应权矮限。粒在对乡象情盖况下筒，认剖证被势批准祥是由哭于对锄象本雕身或慰它的持父类笛有相漆应的些权限累。但世在每子一种恶情况眯下，透操作龟都是超在对弹象的烧意义后上进帅行，碑因此只每个豪权能亿是为等对象烟产生洲。当客用户辨U被肚批准捧实现应高级移操作碍时，灿它通宪过接笨口对劣象操抱作（蓄如S光he遇ll梳），甲该接枕口对缺象首扒先接询受权灿能并露开始勺执行重任务嗽。霉2．弄3．刊4结而论漫粒新奸的访牧问权窜限管伞理和纸授权馆协议协有下天列优层点：采·牵符号叨权限匠和权拐能产炒生权瓣限比创只支扬持方台法权厕限的您全局允访问娃矩阵喷更容全易管仆理，养权能趟产生旨规则亭是一修般规辈律，讲当任亭一个晴高级肚操作态开始裤时它总都能扶被使艺用。梁每一气权能桂产生织规则尾只能梳声明婶一次近并当育相应灯高级梨操作蚀执行喝时做裤出示狼例。蹲对管暑理员焰来说赤，管蜻理这魂些符绘号权勒限和熟权能煌产生肿规则道是很叶容易课的。夜而且国，只慨要针胶对特吓别操统作的菊权能说产生辱规则霸正确兵产生挖，针践对这廊种操寿作的砍权能勒总会恐被正转确交盟付。头·斧授权哑协议碗严格非贯彻屑了最炒小特乎权律描。举犬例来膨说：友当对座象O百执行浮操作束时，担其访芽问控谁制根贡据O衔的标牺识实拌现，慌虽然斜O代某表另辫一个掘对象铜O馋ˊ等执行涛。妻2．亦4贤分布税式对扛象系鸣统的碑多级孕安全拦模型变2．痒4．京1模壳型意普图恶对于巧多级茅安全教，B排el展l-悠La诱Pa掩du雄la矛模型痒是参冷考模巷型。谅但其作主要呀缺点龙是*冻-p盒ro雁pe牌rt天y的抽严格秘限制虽。如荣：用庄户以掠SE依CR柴ET录登录矿，并惑读了粮CO吸NF泼ID卡EN火TI咱AL飘文件室，并霉拷贝熔了这搅份文忌件。遥*-铅pr胸op那er亿ty唉要求关用户美用至繁少是界安全址的分淘类产续生拷章贝，朱但显剥然拷付贝中高包含脸的信腰息分内类和爷原始孔文件灵的信南息分乱类一验样，咸这样员，*葬-p启ro丽pe巧rt货y要攻求用钱户产嫂生和揉它的丸内容势分类纺不对爬应的踏文件题标记挖。该碑例强苹调了减以下翠问题妈：系坦统中吵的信各息分割类将验单调讨递增坝，这界个增潮加导井致在魄可访俩问性塞方面撕的信织息降宾低。租这样斥的系战统需乐要可睡信对泊象的辞干预溜来定猎时性犁的解言密信迎息。散可信刷对象言是被钱相信踪不会朱损害盘安全脚的对煌象。验它们战在系掏统中常的操您作不问服从数访问却控制币规律乎，可极以解劳密信块息，快这根铁据模丧型里滔的访果问控仇制律器是不左合法度的。同总之辈，该酿模型阶主要则问题榨是丢它不恰允许嚷做的刘事窄，很签多事粱实上雪是安锐全的耀操作花在这巷个模墓型里餐不允男许。献这里扔提出访的新蹄模型捡象B寻el续l-俩La刚Pa滚du服la椒那样晋防止众了系种统中袭的不播合法皱的信祸息流如，但忧约束暴更少改，一届些在阴Be碍ll喘-L主aP剂ad逃ul骡a模岭型里摇不允冬许的规合法灿信息倒流在虫新模棚型里弱被允尚许。善新模醉型适虽于面叼向对只象的堤编程追范例碧。留2．山4．绳2安妄全实羽体旷新模扰型的弯重要楼特征奉之一况是区告别两垂种对痕象集理：无婚状态沟对象绵和有乐状态添对象师，任们何对味象都愧可存披放数洁据，峰但这盖些数碑据可阶被分贤成两躲个范柴畴：吴系统黎数据港和应辽用数爪据。井应用毒数据妙是从宣应用价角度甜构成胞对象尸状态挖的数饭据，爬即数芹据被牛程序叉员在室对象凶源代皱码中移说明卵。系赌统数栗据被朗系统掉增加亮到对户象中五来控太制对逼象的邻执行答（例亿如进孔程栈霞）。拉无状植态对症象是裂不存期储应销用数脂据的剖对象榜，它尽的状沟态在私每次蜻调用块时被所初始通化，碍在两尺个连慰续请腹求访处问某秆个无赌状态灭对象用的条表件下糊没有矿信息岂流动裹。无剖状态统对象准的意岁义和佣橙皮育书中折对象境重用萌的意掏义类似似。滨相反蝴的，皆有状蛋态对租象存例储应翻用数委据和漆读写她这些栋数据埋的方梅法。灰无状根态对闭象的摆例子堂在传残统的怎Un最ix冠系统暗中可宰以找今到很雹多，补例如折NF惨S服秧务器扑就是饺无状突态对根象。更此对踏象在霜内存膊中不喊保存植任何柳它收夹到的梢请求锄，它妙的状缺态在逃每次指调用蚁时初则始化粪。所凝有的纪对象芬管理寇器总列的说慕来是荣无状据态对泳象（竹如浏茶览器胖）。俊多级标安全路策略求的目觉标是兄防止土用户揉得到刷他们仿不清加楚访瞒问的鸡信息份。假煤定用含户在兼系统廊中实挑现的阀每个誉任务区是依驳靠行奴为，勺可通须过防途止行仇为间礼的非弯法信首息流沈来防述止用确户间念的非誉法信递息流台，这赏样必暴须确铁认高盏安全茧等级示的行长为不净能向挪比它句安全括等级灾低的惨行为板传送摔信息同，但椅两个催行为咐间可前通过肯访问茎同一长对象牺来交雨换信暗息，花一个年行为肾写对敢象而体另一事个行骆为读盲对象术。这典样在谊系统控中必模须控谊制所效有行鸣为和慨对象袖间的涉交互荐并控兔制访谋问对政象的菌每个语请求部。当为实拾现这革些访屈问控蚀制，这必须甚对模竿型中款实体咱赋以都不同歌的安尼全等三级，注可根污据对班用户败的许菜可赋段以相由应的波安全舞等级街。由移于对静象是姜系统摆的信豆息容期器，德必须宫根据升它们直的分仔类（凯无状争态对贪象或品有状壳态对小象）金赋以点相应巴的安狭全等兄级，请为控届制行窑为和管对象服间的翠交互览，必券须根州据不豆同需短要指舱定安锐全等蹲级。菌2．秧4．膨3魄不岩同的摸标记掏下面耀定义竿一个殃有限穿的关改于偏存序二由进关损系碑“糟”拾的安秋全等碍级集猜合，趋每个的安全功等级裂由一涉个分拐类和且一系咐列的浩范畴香构成槽，安唤全等段级如稿下次坚序：脏信息勾的安缸全等要级l峰（由净分类惭c和滴范畴阳C构跃成）轮被另辞一个诱信息昆的安闪全等狮级l复（由醋分类肿c绸和范百畴C苏构成坐）支咽配：和l完l享当切园仅当浅c粘c勺且C响C毅。下考文中抖谈及白“暴安全赢等级傍”圣时经洁常使狮用译“尺分类百”萌或和“谎许可煌”满。翼用户静:络权标遭记经梳常和统系统背中每爆个用某户建女立联客系，软该标腥记代喉表了解用户晓的许坝可。冤对象澡：锹以不劫同的游方式年标记趣无状嫩态对趣象和坡状态急对象福。标性记L受O毒和每疯个它有状督态对宣象限O联蔬系，亭标记愧是对膝象的哪分类鸦。它都代表宵了构沸成数变据状帜态的休数据支分类泊，分改类是岸固定遣的，袍在对琴象生书命期父内不摩会改着变。丘两个皂标记惑Ll杠ow蛇o和垄Lh鬼ig肢ho隙被关臣联到源每个挣无状豆态对潮象O学（L及lo挂wo库Lh柏ig赤ho虎）[他Ll杏ow戚o，卷Lh晕ig擦ho胳]是拼置信场度区竟间，笼它定俯义了那针对炎该对钻象的律信任劣。无敬状态灾对象搭不存徒储任姑何应绝用数爱据，惊这样拆不能军像有唤状态揭对象赛那样晨被指黄定抱一个帆分类秒，但睡每个完无状凭态对钥象能效像有谷状态勺对象迎那样菊被行前为访阵问。垒每个延行为习携带葵一个爬特定壁安全因级的室信息泉，每格个无宁状态糟对象散这样代可潜徐在的煌访问栋这些闹信息驾。我助们赋堡以无宿状态耗对象拿的标弟记代施表了维应赋政予该劲对象扬的信广任。祥高标借记代首表可泽被该筝对象鬼读取花的最枣高等百级的遮数据师，低粱标记认代表促了可挽被该慈对象吹写的申最低捡级别夸的数沟据。呼假定早：无鸽状态燕对象赠实际姿上是千一个停特洛台伊木叮马，堆它保炉持了剖对它啊访问班所有陷请求画所携悬带所哑有数套据的职本地裂拷贝朋，对宪该对斜象的恼低标吃记保良证拷县贝不蜂会产闻生低臂于该炮标记浮的标龟记。闯这意戏味着寄将来亲恶意镜行为奥需要车和该蜡低标拐记相掀等或拿稍大致的许粉可来雹读取至数据权。相啊反，蚕特洛扇伊木翠马不狸会读坡取并算存储斜比L俩hi俩gh就o更惨高的升数据券。假知定一牙个系否统管吩理员春决定筒使用临新的纲来自什匿名兵Ft狸p服建务器移的免背费软按件N内FS畜服务扣程序颤，然遭后他锹估计昂对该绘NF酱S服音务程倒序（子假定护为无尊状态子对象业）的窄信任厕程度贝，这网样指平定了逢代表完该信翼任的夸置信乏度区炼间。晨要求暴：冷对每壶个行望为a冒赋以吹两个桥标记殊：分羞别是弓Ll谁ow赔a和跌Lh田ig弯ha桃，它裁们可歉随被裕该行博为访漂问的扬对象码类型死和标原记浮付动，沙低标月记代巧表被言该行奖为携俗带的机信息寿分类轿，即步被该风行为督读过泽的最刃高级惧别的稠信息粪。高店标记察代表爸了实鱼体的松许可联，它扰被启脸动该芳行为妥的用理户初裤始化久。这疤样两爱标记缺可写舅成：含[分枝类，虹许可昨]，泥行为氧携带江的信宇息被询它访牢问对遇象间俘的不血同请尼求携甚带。辜为了夺在模楼型中替生成戏访问默控制娇，必受须标客记这惯些请箩求，永对每现个请夜求r之赋以浇一个隔固定委的双恐标记权，即如Ll扇ow熟r和何Lh啦ig株hr钓。假腿定行延为由逮n个蚂请求竹（r欣1瓣，r否2扎，文，r映n辨）构砌成。净第一派个请劣求r赴1谅访问表一个插对象姻是为纹了执茧行它院的一辨个方抽法，卸该执拾行导叉致一任个新榴消息来的发妄出，垮即r震2遭请求探。r访2致的双陕标记叨依赖横于的拌r避1闸的双肯标记塑和r倒1畜访问授对象共的类色型和趣标记堪。这销样，强不同旧请求括的双陵标记惨根据黑行为电访问守的不肯同对水象会暗有所茂不同咏。实卫体[刘Ll痛ow捞a，屡Lh你ig洲ha咏]（休浮动炸标记耀）的浩标记可依次良为：类[L进lo狡w醋r1边，L贸hi蜓gh劈r1匆]饼[L绳lo政w职rn躬，L纸hi哪gh怨rn底]。下系统潜中用截户的伞标记解被认病证服朽务器允维护床，而贿对象傲的标名记附蝴加在奏对象讽上，香请求眼消息俘携带滑行为退的双免标记枝，当其对应膜行为软访问售局部寿对象醒时可拥被安答全内毅核检嘴查。草2．铜4超．昼4席访问宗规则业认证稀协议卫基于养刚提斑出的泉不同么标记成的强警制性石访问链规则胞构成挖，这找些规笑则不稿能被蒙绕过鲁。故萝必须津精确糊理解纷术语璃读访蚂问和熔写访支问的联意义别。称市对一绳个有阅状态瓣对象繁O的里读访歉问为培任何弓O的伴方法陷的执街行引技起从歉O的报内部苍状态塞到执娇行该奶方法唐的行魔为的平信息唤流。兼相应寨的，僵称写楼访问义为任修何O比的方厦法的封执行者，它扭引起平从执均行该改方法唱的行刊为到结O的塌内部秘状态贝的信砍息流是。称脑读信—焰写访垃问任油何O狱的一鸽个方耐法的犯执行畏为激色起执糕行该趣方法眯的实凤体和赔O的雄状态迟之间匀的信脸息交曲换。窗对无土状态撕对象器的访候问：受出若倦请求描r被抛批准稿访问约无状鲁态对翅象O食（通勺过调石用它细的任谜何方复法）腊则，旺[L断lo篇wo扣，L暮hi使gh述o]企和[旦Ll祸ow金r，腰Lh咏ig斩hr雾]的螺交集习不为舒空。渔相反绝的，顷请求极r未处被批厘准访怖问无佣状态迎对象来O，僵如果超该对盐象的宅最大蚂信任喇度没船有支本配该火请求炒的分缓类，机或由陷于请潮求的蔽许可拔没有弦该对倚象的叨最小概确信淡度高醒。凭对有她状态巧对象乳的访太问：明俗至宏于有垄状态滨对象溪，安晴全策基略有筝以下锐规则配实施春：糟简单扒安全差状况嗓：傻若请辫求r花被批诱准读盲一个济有状询态对掏象O洲，则隐Lo岩Lh衡ig撒hr鱼。喂*-禁状态咸：如摔果请虾求r探被批贼准写贡一个念有状笑态对播象O群，则朋Ll凝ow举r煎Lo商。币为实价施这达些规滤则，堡每一唤个有姥状态柳对象摘的方陷法被吨指定快一个冷属性肥来指塞示哪漠种访笑问被愉该方禾法实挂现：座读、变写或爪读-册写。丑2．丙4．敢5绳标记给的演握变辅这里锐考虑即行为呜a的较当前闯请求巷r，桌它访陷问对嘱象O搜。柜若O绑是无亏状态钩对象帜：萍贿-参若L在lo窜wo冠Lh田ig幸hr跪或L想lo齿wr锦Lh黎ig滚ho介：访蒜问被忠拒绝乡。-搅--敲-（懂R1丛）兼奥-倒-若咱Ll居ow肥o里Lh尾ig拜hr梅并且脂Ll主ow泽r毛Lh词ig腔ho辉：访轻问被封有限咬制的件允许烘，[洋Ll对ow量a，我Lh麦ig拣ha怎]变喷为篮[M择ax售（L喉lo吨wa估，L洗lo注wo屈），碗Mi得n（驴Lh购ig貌ha书，L汉hi筐gh标o）挠]。旨--郑--猪-（权R2雷）鹿星狡该限康制意含味着合行为贱a的少下个谅请求员会被楚标记吊为[酬Ll掩ow含r怀，L冈hi杏gh咸r有]=寇[M容ax踏（L院lo光wr迁，L当lo达wo贩），奥Mi携n（票Lh租ig机hr课，L冻hi怀gh怖o）挽]。炉注意暗特别蔽情形码：若移[L急lo练wa纹，L烦hi组gh惜a]犹[L镰lo金wo吹，L碎hi炊gh寇o]蜓，则因访问属可被捉无限鸣制的撤批准亡：因僻为M货ax挨（L庄lo苦wa盛，L气lo劲wo劫）=遍Ll受ow俱a并巧且M累in旺（L宏hi于gh第a，贷Lh奉ig港ho奥）=平Lh安ig妨ha嚷。惭规则鸦R1独保证昌请求锻不会把访问淹对象睛除非辫请求牲的双滨标记蓬和对略象确冰信度嘴空间群的交真集不甩为空葛。规复则R义2描箩述行哗为通仇过请泡求r舅访问赠对象浙O的茂双标帆记进贼化，游当前耍行为身携带霜的信千息分三类根欣据赋码以对凳象的剪最小华确信描度改蛋变。稻行为沃的许传可根律据被评赋以贪该对荡象的成最高掉确信病度改旋变。六若O陆是一洒个有疏状态危对象哑：伤发--瘦若M峰是一娇个读智方法止并且令若L晶o吵Lh似ig足hr因，访密问被言拒绝遭。蛾--肝--炼（R旁3）蕉息--矛-若价M是常一个呈读方度法并掏且若李Lo锹Lh