数据安全保护技术之访问控制技术

数据安全保护技术之访问控制技术

数据作为信息的重要载体，其安全问题在信息安全中占有非常重

要的地位。数据的保密性、可用性、可控性和完好性是数据安全技术的

主要研讨内容。数据保密性的理论基础是密码学，而可用性、可控性和

完好性是数据安全的重要保障，没有后者提供技术保障，再强的加密算

法也难以保证数据的安全。与数据安全亲密相关的技术主要有以下几

种，每种相关但又有所不同。

1）访问掌握：该技术主要用于掌握用户可否进入系统以及进入系

统的用户能够读写的数据集；

2）数据流掌握：该技术和用户可访问数据集的分发有关，用于防

止数据从授权范围扩大到非授权范围；

3）推理掌握：该技术用于爱扩1可统计的数据库，以防止查询者通

过细心设计的查询序列推理出机密信息；

4）数据加密：该技术用于爱护机密信息在传输或存储时被非授权

暴露；

5）数据爱护：该技术主要用于防止数据遭到意外或恶意的破坏，

保证数据的可用性和完好性。

在上述技术中，访问掌握技术占有重要的地位，其中1）2）3）均

属于访问掌握范畴。访问掌握技术主要触及安全模型、掌握策略、掌握

1

策略的完成、授权与审计等。其中安全模型是访问掌握的理论基础，其

它技术是则完成安全模型的技术保障。本文侧重论述访问掌握技术，有

关数据爱护技术的其它方面，将渐渐在其它文章中进行探讨。

1.访问掌握

信息系统的安全目标是通过一组规章来掌握和管理主体对客体的

访问，这些访问掌握规章称为安全策略，安全策略反应信息系统对安全

的需求。安全模型是制定安全策略的依据，安全模型是指用形式化的方

法来精确地描述安仝的重要方面（机密性、完好性和可用性）及其与系

统行为的关系。建立安全模型的主要目的是提高对胜利完成关键安全

需求的理解层次，以及为机密性和完好性查找安全策略，安全模型是构

建系统爱护的重要依据，同时也是建立和评估安全操作系统的重要依

据。

自20世纪7020XX年X月起，Denning>Bell、Lapadula等人对信

息安全进行了大量的理论研讨，特别是1985年国防部公布可信计算机

评估标准《TCSEC》以来，系统安全模型得到了广泛的研讨，并在各种

系统中完成了多种安全模型。这些模型可以分为两大类：一种是信息流

模型；另一种是访问掌握模型。

信息流模型主要着眼于对客体之间信息传输过程的掌握，它是访

问掌握模型的一种变形。它不校验主体对客体的访问模式，而是试图掌

握从一个客体到另一个客体的信息流，强迫其依据两个客体的安全属

2

性确定访问操作是否进行。信息流模型和访问掌握模型之间差异很小，

但访问掌握模型不能帮忙系统发现隐藏通道，而信息流模型通过对信

息流向的分析可以发现系统中存在的隐藏通道并找到相应的防范对策。

信息流模型是一种基于大事或踪迹的模型，其焦点是系统用户可见的

行为。虽然信息流模型在信息安全的理论分析方面有着优势，但是迄今

为止，信息流模型对详细的完成只能提供较少的帮忙和指导。

访问掌握模型是从访问掌握的角度描述安全系统，主要针对系统

中主体对客体的访问及其安全掌握。访问掌握安全模型中一般包括主

体、客体，以及为辨认和验证这些实体的子系统和掌握实体间访问的参

考监视器。通常访问掌握可以分自主访问掌握（DAC）和强制访问掌握

（MAC）。自主访问掌握机制答应对象的属主来制定针对该对象的爱护

策略。通常DAC通过授权列表（或访问掌握列表ACL）来限定哪些主

体针对哪些客体可以执行什么操作。如此可以非常敏捷地对策略进行

调整。由于其易用性与可扩展性，自主访问掌握机制常常被用于商业系

统。

目前的主流操作系统，如UNIX.LinuX和Windows等操作系统都

提供自主访问掌握功能。自主访问掌握的一个最大问题是主体的权限

太大，无意间就可能泄露信息，而且不能防范特洛伊木马的攻击。强制

访问掌握系统给主体和客体分配不同的安全属性，而且这些安全属性

不像ACL那样容易被修改，系统通过比拟主体和客体的安全属性确定

3

主体是否能够访问客体。强制访问掌握可以防范特洛伊木马和用户滥

用权限，具有更高的安全性，但其完成的代价也更大，一般用在安全级

别要求比拟高的军事上。

伴着安全需求的不断发展和改变，自主访问掌握和强制访问掌握

已经不能完全满意需求，研讨者提出很多自主访问掌握和强制访问掌

握的替代模型，如基于栅格的访问掌握、基于规章的访问掌握、基于角

色的访问掌握模型和基于任务的访问掌握等。其中最引人瞩目的是基

于角色的访问掌握（RBAC）。其根本思想是：有一组用户集和角色集，

在特定的环境里，某一用户被指定为一个适宜的角色来访问系统资源；

在另外一种环境里，这个用户又可以被指定为另一个的角色来访问另

外的网络资源，每一个角色都具有其对应的权限，角色是安全掌握策略

的核心，可以分层，存在偏序、自反、传递、反对称等关系。与自主访

问掌握和强制访问掌握相比，基于角色的访问掌握具有显著长处：首先,

它事实上是一种策略无关的访问掌握技术。其次，基于角色的访问掌握

具有自管理的力量。

此外，基于角色的访问掌握还便于实施整个组织或单位的网络信

息系统的安全策略。目前，基于角色的访问掌握已在很多安全系统中完

成。例如，在亿赛通文档安全管理系统SmartSec（见“文档安全加密系

统的完成方式“一文）中，服务器端的用户管理就采纳了基于角色的访

问掌握方式，从而为用户管理、安全策略管理等提供了很大的便利。

4

伴着网络的深化发展，基于Host-Terminal环境的静态安全模型和

标准已无法完全反应分布式、动态改变、发展快速的Internet的安全问

题。针对日益严峻的网络安全问题和越来突出的安全需求，“可顺应网

络安全模型”和"动态安全模型”应运而生。基于闭环掌握的动态网络安

全理论模型在9020XX年X月开头渐渐形成并得到了快速发展，20XX

年12月国防部提出了信息安全的动态模型，即爱护（Protection）—检

测（Detection）—响应（Response）多环节保障体系，后来被通称为PDR

模型。伴着人们对PDR模型应用和研讨的深化，PDR模型中又融入了

策略（Policy）和恢复（Restore）两个组件，渐渐形成了以安全策略为

中心，集防护、检测、响应和恢复于一体的动态安全模型，PDR模型

是一种基于闭环掌握、主动防备的动态安全模型，在整体的安全策略掌

握和指导下，在综合运用防护工具（如防火墙、系统身份认证和加密等

手段）的同口寸，利用检测工具（如漏洞评估、入侵检测等系统）了解和

评估系统的安全状态，将系统调整到“最安全”和“风险最低''的状态。爱

护、检测、响应和恢复组成了一个完好的、动态的安全循环，在安全策

略的指导下保证信息的安全。

2.访问掌握策略

访问掌握策略也称安全策略，是用来掌握和管理主体对客体访问

的一系列规章，它反映信息系统对安全的需求。安全策略的制定和实施

5

是围绕主体、客体和安全掌握规章集三者之间的关系绽开的，在安全策

略的制定和实施中，要遵循以下原则：

1）最小特权原则：最小特权原则是指主体执行操作时，根据主体

所需权利的最小化原则分配给主体权力。最小特权原则的长处是最大

程度地限制了主体实施授权行为，可以防止来自突发大事、错误和未授

权运用主体的危险。

2）最小泄漏原则：最小泄漏原则是指主体执行任务时，根据主体

所需要明白的信息最小化的原则分配给主体权力。

3）多级安全策略：多级安全策略是指主体和客体间的数据流向和

权限掌握根据安全级别的绝密、秘密、机密、限制和无级别五级来划分。

多级安全策略的长处是防止敏感信息的扩大。具有安全级别的信息资

源，只有安全级别比他高的主体才能够访问。

访问掌握的安全策略有以下两种完成方式：基于身份的安全策略

和基于规章的安全策略。目前运用的两种安全策略，他们建立的基础都

是授权行为。就其形式而言，基于身份的安全策略等同于DAC安全策

略，基于规章的安全策略等同于MAC安全策略。

2.1.基于身份的安全策略

基于身份的安全策略（IDBACP：Identification-

basedAccessControlPolicies）的R的是过滤主体对数据或资源的访问，

6

只有能通过认证的那些主体才有可能正常运用客体资源。基于身份的

策略包括基于个人的策略和基于组的策略。基于身份的安全策略一般

采纳力量表或访问掌握列表进行完成。

基于个人的策略

基于个人的策略(INBACP：Individual-basedAccessControlPolicies)

是指以用户为中心建立的一种策略，这种策略由一组列表组成，这些列

表限定了针对特定的客体，哪些用户可以完成何种操作行为。

基于组的策略：

基于组的策略(GBACP：Group-basedAccessControlPolicies)是基

于个人的策略的扩充，指一些用户(构成安全组)被答应运用同样的访

问掌握规章访问同样的客体。

22基于规章的安全策略

基于规章的安全策略中的授权通常依靠于敏感性。在一个安全系

统中，数据或资源被标注安全标记(Token)。代表用户进行活动的进程

可以得到与其原发者相应的安全标记。基于规章的安全策略在完成上,

由系统通过比拟用户的安全级别和客体资源的安全级别来推断是否答

应用户可以进行访问。

3.访问掌握的完成

7

由于安全策略是由一系列规章组成的，因此如何表达和运用这些

规章是完成访问掌握的关键。由于规章的表达和运用有多种方式可供

选择，因此访问掌握的完成也有多种方式，每种方式均有其长处和缺点,

在详细实施中，可依据实际情况进行选择和处理。常用的访问掌握有以

下几种形式。

3.1.访问掌握表

访问掌握表(ACL：AccessControlList)是以文件为中心建立的访

问权限表，一般称作ACLo其主要长处在于完成简洁，对系统性能影

响小。

它是目前大多数操作系统(如Windows、LinuX等)采纳的访问掌

握方式。同时，它也是信息安全管理系统中常常采纳的访问掌握方式。

例如，在亿赛通文档安全管理系统SmartSec中，客户端提供的“文件访

问掌握''模块就是通过ACL方式进行完成的。

32访问掌握矩阵

访问掌握矩阵(ACM：AccessControlMatriX)是通过矩阵形式表示

访问掌握规章和授权用户权限的方法：也就是说，对每个主体而言，都

拥有对哪些客体的哪些访问权限；而对客体而言，有哪些主体可对它实

施访问；将这种关联关系加以描述，就形成了掌握矩阵。访问掌握矩阵

的完成很易于理解，但是查找和完成起来有肯定的难度，特别是当用户

8

和文件系统要管理的文件许多时，掌握矩阵将会呈几何级数增长，会占

用大量的系统资源，引起系统性能的下降。

33访问掌握力量列表

力量是访问掌握中的一个重要概念，它是指恳求访问的发起者所

拥有的一个有效标签(Ticket),它授权标签说明的持有者可以根据何种

访问方式访问特定的客体。与ACL以文件为中心不同，访问掌握力量

表(ACCL：AccessControlCapabilitiesList)是以用户为中心建立访问权

限表。

3.4.访问掌握安全标签列表

安全标签是限制和附属在主体或客体上的一组安全属性信息。安

全标签的含义比力量更为广泛和严格，由于它事实上还建立了一个严

格的安全等级集合。访问掌握标签列表(ACSLL：

AccessControlSecurityLabelsList)是限定用户对客体目标访问的安全属

性集合。

4.访问掌握与授权

授权是资源的全部者或掌握者准许他人访问这些资源，是完成访

问掌握的前提。对于简洁的个体和不太冗杂的群体，我们可以考虑基于

个人和组的授权，即便是这种完成，管理起来也有可能是困难的。当我

们面临的对象是一个大型跨地区、甚至跨国集团时，如何通过正确的授

9

权以便保证合法的用户运用公司公布的资源，而不合法的用户不能得

到访问掌握的权限，这是一个冗杂的问题。授权是指客体授予主体肯定

的权力，通过这种权力，主体可以对客体执行某种行为，例如登陆，查

看文件、修改数据、管理帐户等。

授权行为是指主体履行被客体授予权力的那些活动。因此，访问掌

握与授权密不行分。授权表示的是一种信任关系，一般需要建立一种模

型对这种关系