信息安全体系结构-3-域内保护-4-访问控制矩阵3

《信息安全体系结构-3-域内保护-4-访问控制矩阵3》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全体系结构何永忠北京交通大学计算机学院2009第二部分域内保护域内保护第4章、访问控制第5章、信息流控制第6章、恶意行为检测第7章、可信计算4.3访问控制矩阵访问控制策略的描述形式如何描述主体对客体的权限？访问控制矩阵是描述访问授权的一种直观的数据结构矩阵一行对应一个主体矩阵一列对应一个客体矩阵一个单元的值对应主体对客体的权限4.3访问控制矩阵4.3访问控制矩阵访问控制矩阵的改进访问控制矩阵是稀疏矩阵访问控制列表ACL<对象

2、{(主体，权限集)}>主体权能表Capability<主体

3、{(对象，权限集)}>4.3访问控制矩阵基于访问控制矩阵

4、的安全模型Harrison-Ruzzo-Ullman模型（HRU）HRU模型主体S={s1,…,sn}客体O={o1,…,om}，S是O的子集权限R={r1,…,rk}访问控制矩阵P命令集合C4.3访问控制矩阵六个原子命令,每个命令由原子命令组成enterRinto(S,O)deleteRfrom(S,O)createSubjectS’createObjectO’deleteSubjectS’deleteObjectO’4.3访问控制矩阵4.3访问控制矩阵操作命令的特点没有对权限的否定测试notrinP[s,o]实际系统一般都没有否定测试没有权限

5、的“或”但可用多个命令代替4.3访问控制矩阵常见操作命令commandCREATE(p,f)createobjectfenterowninto(p,f)end4.3访问控制矩阵常见操作命令commandCONFER(r,owner,friend,file)ifownin(onwer,file)thenenterrinto(friend,file)end4.3访问控制矩阵常见操作commandCONFER(r,owner,friend,file)ifownin(onwer,file)thenenterrinto(friend,file)end4.3

6、访问控制矩阵常见操作commandREMOVE(r,owner,exfriend,file)ifownin(onwer,file)thendeleterfrom(exfriend,file)end4.3访问控制矩阵其他操作例子Processpcreatesfilefwithrandwpermissioncommandcreate•file(p,f)createobjectf;enterownintoP[p,f];enterrintoP[p,f];enterwintoP[p,f];end4.3访问控制矩阵单操作命令只有一个原子操作使进程p成为文件g

7、的宿主commandmake•owner(p,g)enterownintoP[p,g];end4.3访问控制矩阵单条件操作只有一个条件Letpgiveqrrightsoverf,ifpownsfcommandgrant•read•file•1(p,f,q)ifowninP[p,f]thenenterrintoP[q,f];end4.3访问控制矩阵多条件操作p授予q对f权限r和w,如果p拥有f并且p对q有权限ccommandgrant•read•file•2(p,f,q)ifowninP[p,f]andcinP[p,q]thenenterrinto

8、P[q,f];enterwintoP[q,f];end4.3访问控制矩阵HRU模型模型状态:（S,O,P）模型状态转移关系:C4.3访问控制矩阵状态转移

9、–代表转移关系Qi

10、–Qi+1:在命令下状态Qi转移到Qi+1Qi

11、–*Qi+1:存在一个命令序列，将状态Qi转移到Qi+14.3访问控制矩阵(S,O,P)

12、–op(S’,O’,P’)4.3访问控制矩阵4.3访问控制矩阵问题如果在条件检查是成立，但是在执行时不成立，如何处理？比如，其中一个原子操作删除一个对象，后继的原子操作不能成功授予该对象权限。那么是整个操作都失效，还是凡是成功的原子操作

13、结果依然保留？4.3访问控制矩阵commandec(X,Y,Z)enterr1into(X,X)destroysubjectXenterr2into(Y,Z)end执行ec(x,x,z)，结果是什么？X被删除，最后一个原子命令不执行，所以整个命令都不执行4.3访问控制矩阵安全性未经对象宿主的许可，其他主体不可以有访问对象权限或者：权限不会授予非可信的主体？权限r泄漏存在一个操作序列，一个权限r出现在初始访问控制矩阵中的一个从未出现的单元4.3访问控制矩阵权限泄露概念的限制因为宿主将有权将权限r授予其他用户，因此不考虑包括宿主在内的所有可信主体的授

14、权r行为。4.3访问控制矩阵一般结论1、一般情况下HRU模型的安全性是不可判定的。2、单操作的系统是可以判定的。3、单条件的系统是可判定