第9讲 访问控制技术

《第9讲 访问控制技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第三章信息安全防护局域网局域网广域网路由器结点交换机本章主要内容访问控制防火墙虚拟专用网主机安全本章的教学目的理解信息安全防护的关键技术初步学习信息安全防护的实施第三章信息安全防护3.1访问控制本讲主要内容访问控制基本原理访问控制策略●自主访问控制●强制访问控制●基于角色的访问控制访问控制系统访问控制策略访问控制机制教学重点教学难点基于角色的访问策略3.1访问控制访问控制基本原理多用户的工作环境信息共享打开了方便之门信息是有价值的不同人对信息的需求是不一样的1.访问控制基本原理1.1为什么要访问控制访问控制：是指通过某种途径显式地准许或限制主体访问客体的访问能力及范围的方法及其实施过程，它是

2、针对越权使用资源的防御措施。1.访问控制基本原理1.2访问控制的概念访问控制的目标：防止非授权访问非授权访问：未经授权的使用、泄露、修改、销毁以及颁发指令等。1.访问控制基本原理主体（Subject）：发出访问操作、存取要求的主动方。如用户或进程。客体（Object）：被访问的对象，如被调用的程序、进程，要存取的数据、信息、要访问的文件、系统或设施等。访问控制策略（KS）：主体对客体的操作行为集和约束条件集。1.3访问控制的一般模型1.访问控制基本原理访问控制的三要素1.3访问控制的一般模型1.访问控制基本原理ADI：裁决信息主体客体ADF持有的ADI裁决请求AEF裁决结果访问请求ADI访问

3、控制策略客体ADI上下文情景信息主体ADI提交访问请求执行访问请求AEF：执行功能模块ADF：裁决功能模块1.4访问控制策略自主访问控制强制访问控制基于角色的访问控制1.访问控制技术基本原理}传统访问控制2.自主访问控制DiscretionaryAccessControl,DAC客体的拥有者（属主）全权管理有关该客体的访问授权，即允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及可执行的访问类型。又被称为基于拥有者的访问控制，或基于身份的访问控制（IBAC，IdentityBasedAccessControl）。2.自主访问控制2.1基本思想客体的属主可以按照自己的意愿指

4、定系统中的其他用户对其客体的访问权。具有授予某种访问权力的其他用户又能够自主地将访问权授予另外的用户。2.自主访问控制自主访问控制具有随意性和传递性。用于描述主体对客体的访问能力自主访问控制机制R,W,ORR,WBob允许浏览允许管理RWR,W,ORAlice允许浏览R,W,OR,WJohnNet2Net1File4File3File2File1主体客体权限2.自主访问控制主体客体主体、客体和访问控制策略构成了逻辑上的访问控制矩阵。自主访问控制可以分为：基于行的自主访问控制基于列的自主访问控制r,w2.自主访问控制r,wr,w每个主体上附加一个明细表，记录对客体的访问权限根据表中信息可以分为

5、两类：口令能力表2.2基于行的自主访问控制2自主访问控制(1)口令(Password)主体保存每个客体的访问口令File1.w：A2v*4)File1.r：*JGg$……File6.w：Sdz%缺点：权限可任意传递更改口令，等于废除了所有主体的权限口令有泄漏的危险2.自主访问控制2.2基于行的自主访问控制2.2基于行的自主访问控制2.自主访问控制2.2基于行的自主访问控制(2)能力表(CapabilitiesList)OwnRWFile1OwnRWFile3RFile1OwnRWFile2WFile3RFile4JohnAlice每个主体记录对客体的访问模式授权：客体拥有者(o)复制能力表项

6、给其他主体file1.rxfile5.rxwo……filen.rUSER1：file9.rcfile1.rxfile5.rxwo……filen.rUSER1：file9.rc……file5.rxcUSER3：……file5.rwUSER4：2.2基于行的自主访问控制2.自主访问控制授权传递：拥有授权能力(c)的主体将能力表项复制给其他用户file1.rxfile5.rxwo……filen.rUSER1：file9.rc……file5.rxcUSER3：file5.rUSER7：……2.2基于行的自主访问控制2.自主访问控制易于获得某个主体被授权访问的客体及其权限；但要获得对某一特定客体有特定

7、权限的所有主体比较困难；权力回收困难，难于控制；管理效率很低。特点：2.自主访问控制2.2基于行的自主访问控制每个客体上附加一个可访问它的主体明细表可以分为两类：保护位存取控制表2.3基于列的自主访问控制2.自主访问控制（1）保护位(ProtectionBits)每个客体上保存3组权限控制位rw-r--r--文件拥有者的权限拥有者同组用户的权限其他用户的权限rw-r--r--1rootgroup1397MAR