访问控制

访问控制：原理及实践

访问控制限制用户可直接进行的操作，以及代表用户的执行程序可进行的操作。通过这种方式访问控制可以阻止违反安全的活动。

Ravi S. Sandhu and Pierangela Samarati

摘要：访问控制的目的是为了限制一个合法的计算机系统用户可执行的活动和操作。访问控制限制用户可直接进行的操作，以及代表用户的执行程序可进行的操作。通过这种方式访问控制可以阻止违反安全的活动。这篇文章解释了访问控制及其与其它安全服务的关系，如身份认证、审计和管理等。然后讨论了访问矩阵模型并描述了在实际系统中实现这种访问矩阵的不同方法，最后讨论了在现行系统中普遍存在的访问控制策略以及对访问控制管理的简单思考。

访问控制和其它安全服务

在计算机系统中访问控制依靠并与其它安全服务共存。访问控制涉及限制合法用户的活动。用户或代表用户的执行程序通过请求监听器对系统中的主体执行访问控制，而监听器促进每一次访问。为了决定用户要进行的操作是否通过，请求监听器要向认证数据库发出请求。认证数据库是通过安全管理员管理和维护的。管理员在安全策略和组织的基础上设置这些认证。用户也可以修改认证数据库中的一些部分。例如，设置个人文件的访问权限、查询监听器和记录系统相关活动的日志。

图1是安全服务及其关系的逻辑图表。它不应该用字面的意思去解释。例如，后面将提到，对象经常是被请求监听器保护着存储在认证数据库中的，而不是被物理上分开的。图表对区别身份认证，访问控制，审计和管理服务的区分较为理想化，可能不如图表显示的明显。他们之间的区分被认为是必要的，但不是在每个系统中都表现得明显。

对认证和访问控制清楚区分开很重要。认证服务的责任是正确地建立用户的身份。访问控制则是假设用户的身份认证被成功核实后通过请求监听器执行访问控制。当一个合法用户通过身份认证并正确地接管了请求监听器时访问控制的作用就停止了。

读者肯定对通过提供一个认证密码登录计算机系统很熟悉。在一个网络环境中，身份认证因为许多原因而变得困难。为了冒充合法用户，只要攻击者能找到网络通道就能重放认证协议。同样，网络中的计算机需要互相认证。在此文中，我们假先设认证已成功通过，然后关注后面即将发生的。

要了解单靠访问控制也不是一个保证计算机系统安全的根本方案，这一点很重要的。审计必须贯穿于整个过程。审计控制涉及对系统中所有请求和活动的后续分析。审计要求对所有用户的登录请求和活动作后续的分析。审计控制作为阻隔入侵和分析查找可能存在的入侵行为是很有用的。最后，审计对于确定被审计者没有滥用特权也是很重要的。换句话说就是保持用户的行为是可审计的。注意，有效的审计要求有合适的身份认证。

在访问控制系统中用策略和机制来区分它们的不同。策略是决定访问的控制方式和的访问决定的产生的高层指导。机制则是执行策略的可配置的底层软硬件程序。安全研究员已经试图将访问控制机制大大地发展为独立于策略，以便可以被他们使用。为了重复使用可适合各种安全目标的机制，这是很可取的。同样的机制经常可以被用于支持安全性、完整性和可用性目标。从另一方面过来看，策略选择如此丰富以至系统执行者可以自主选择。

总之，不存在策略好坏的说法。确切的说，一改是策略提供的保护可能有多有少。不管如何，不是所有的系统都有同样的保护要求。一个系统的策略并不一定适合另外一个系统。例如，非常严格的访问控制策略在某些系统中至关重要，在一个需要灵活环境的系统中也许

就不合适了。访问控制策略的选择要看被保护的环境的特殊特性。

访问矩阵

为了进行访问控制，信息安全从业人员已发展出一大批抽象概念。也许最基本的实现就是所有被计算机系统控制的资源都能被数据存储对象（比如文件）所表示。于是对这些对象进行保护是必要的要求，这也相应地保护了计算机系统控制的其他资源。（当然，为了防止绕过计算机系统的访问控制，这些资源也应该物理上保护起来。）

系统中的活动是有所谓的主体发起的。主体典型地可理解为用户或代表用户的执行程序。用户可在不同的场合作为不同的主体登录进入系统。例如，同时做两个工程的用户可从一个工程切换到另外一个工程。这个时候我们有两个个符合用户的主体，它们依靠用户的工程。

一个经常被忽视的问题是，主体本身经常可以是对象。为了完成任务一个主体可以产生派生主体。子主体在各种网络计算机上也可执行。在适当的时候父主体也可以暂停或终止它的子主体。一个操作的发起者可以作为另外一个操作的目标时，主体就可以成为对象。（在网络用语中，主体有时也称作发起者，对象也称作目标。）

主对象区别是基于访问控制的。主体对对象发起动作或操作。这些动作通过建立在系统上的用户认证被通过或拒绝。用户认证表达为访问权限和访问模式。访问权限的方式依靠考虑中的对象。比如文件最典型的访问权限就是读、写、执行和属于。前三个是顾名思义的。属于关系涉及的是谁可以改变文件的访问权限。一个对象，比方说银行账户，有查询、存款、借款的访问权限。这些操作可通过应用程序执行，而操作系统可对文件进行典型的操作。

访问矩阵是一个概念上的模型，它描述每个对象过程对各个对象的权限。这个矩阵中每个对象为一行，每一个对象为一列。矩阵中每个节点描述了行中的主体到列中的对象的被授权访问。访问控制的任务是为了确保只有那些被访问矩阵授权的操作得到执行。这是通过请求监听器达到的，它对监听所有主体到对象的访问操作有监听作用。访问矩阵模型明确地把审计和身份认证的问题区分开来了，这是值得注意的。

访问矩阵的例子如图2所示。R和W分别代表读（read）和写（write）的权限。其它权限同理如上所述。这里主体是John，Alice和Bob。有四个文件和两个账户。这个矩阵描述了例如John是文件3的拥有者，并且能读和写这个文件。但是John没有文件2和文件4的访问权限。隶属关系的准确意义根据系统不同各有区别。通常一个文件的拥有者可以授权其他用户访问这个文件。同样也可以撤销访问。因为John拥有文件1，如图2 所示他可以赋予Alice R权限和Bob R和W权限。John 以后还可以随意撤销一个或多个这样的权限。

账户访问权限的例子阐述了访问是如何被应用程序的抽象操作所控制的。查询操作与读操作类似，它们检索信息但是不改变它。存款和取款操作则涉及到读出过去的账户余额，合理调整它的状态并最终写回。执行这些操作的程序要求对这个账户数据进行读写控制。然而，用户是不允许直接对这个账户对象进行读和写。他们只能通过执行存款和取款操作的应用程序间接地操控账户对象。

同样要注意没有拥有账户这一权限。例如银行账户对象没有真正有一个主人，能决定其他对象对这个账户是否有访问权。明显在银行建立账户的用户不能决定谁可以使用这个账户。在组织中只有银行里不同部门能基于工作职责访问账户。

执行方法

在一个大的系统中，访问矩阵也是巨大的，而大部分的节点都可能是空的。所以访问矩阵很少作为矩阵执行。我们讨论关于在实际系统中执行访问矩阵的一些普遍方法。

访问控制列表

执行访问矩阵的通常方法是通过访问控制列表（ACLs）。每一个对象都与一张标示出系统中每一个主体的ACL相互关联，主体在对象上访问是被授权的。这种方法相当于将矩阵

按列存储。ACLs相当于访问矩阵中的文件，如图2在图3中展示。文件1的访问矩阵列就是按文件1存储的，等等。

通过看一个对象的ACL很容易判断主体对对象授权的现行访问模式。换句话说，ACLs 对对象提供了一个方便的访问描述。通过把一个现存的ACL用空表代替就能简单地撤销对一个对象的所有访问。从另一面来看，要在一个基于ACL的系统中找到主体具有的所有访问。回顾主体的访问描述来检查系统中每个对象的ACL是必要的。同样地，如果主体的所有访问需要被撤销，需要逐个访问所有的ACLs。（在实际撤销所有主体的访问时，经常是通过删除用户账户。如果用户要离开这个组织这是可以理解的。然而，如果一个用户重新登录这个组织，为了反映用户改变了的工作，保留其账户和改变其特权将让这变得更加方便。）许多系统允许ACLs中存在一组名字。例如，一个名为ISSE.R的进入者可以授权ISSE 所有成员读一个文件。许多流行操作系统，例如UNIX和VMS，执行的是ACLs的简略形式，这种形势下ACL中只允许有少数、大部分只有一两个的组名字出现。稀有名字是不允许的。通过这种方法，ACL只需要一个很小的几个比特就能存储于文件中。在另外一些情况下，有许多访问控制包在ACLs中使用复杂的规定限制访问撤销的时间和方式。

作用功能

ACLs的作用是双重的。每一个主体都牵涉到一张列表（称为作用列表），它指出系统中的每一个对象和主体被授权对对象进行的访问。这种方法在矩阵中按行存储。图4是显示的是图2中的文件的作用列表。通过简单查询作用列表，浏览主体被授权的所有访问是很容易的。然而，查找能访问某个特定对象的所有主体需要查找每个主体作用列表的每一项。在70年代，大量基于作用列表的计算机系统被开发出来，但商业上是不成功的。现行操作系统基于典型的ACL方法。

有可能会把ACLs和作用列表混淆。获得了作用列表就足以让一个主体通过作用列表授权获得访问授权。在分布式系统中，这种方法的优点是不需要反复对主体进行认证。这可以让主体只认证一次就能获得它的能力，然后再从系统不同的服务器中获得各种服务。每种服务器将来还会用到ACLs以提供更好的访问控制。

授权关系

我们知道ACL和基于作用的方法都各有优劣点。访问矩阵的表示不能因为某一方面而有好恶。例如，访问矩阵可以被表示为授权关系或表，如表1。表中每一行或数组制定了一个主体对对象的访问权限。于是John对文件1的访问有三行。如果这个表是按主体存储的，我们就用功能列表。如果按对象存储，我们就用ACLs。关系数据库管理系统就是使用这种典型的描述。

访问控制策略

现在我们来讨论通常发生在计算机系统中的三种不同的控制策略如下：

1、古典的任意访问策略

2、古典的强制访问策略

3、新型的角色访问策略

前两种模型中的限定词“古典”，反应出了这个事实：这两种策略已经被研究人员和操作人员应用了很长时间。但是，近些年来，舆论越来越质疑这两种策略的合理性，这些导致了角色控制策略的兴起。

需要指出的是，各种访问控制策略间并不是不兼容的。各种不同的控制策略可以结合起

来如图5所示那样（每种圆代表的控制策略允许其他策略同它结合起来）以便提供给系统更适合的保护。当这些控制策略结合在一起后，只有同时满足它们才可能被访问。这种控制策略的结合体相对来说比较径直面向对象，但它必须解决如下冲突：当一种特殊的访问被某种策略允许但同时被另一种策略禁止。这种不同策略间的冲突需要恰当的管理协调予以解决。

古典的任意访问策略

任意访问控制策略基于用户的身份和权限的不同来管理访问，这些不同如下：对于系统中的每个用户（或一群用户）和每个对象，使用者所被允许的访问模式（例如：读取，写入或者执行）。当用户访问一个对象时，计算机会检查是否满足特定的授权。如果是，则访问可进行，否则就被禁止。

任意访问策略的灵活性使得它可适应一系列的系统和应用。因为这些原因，它被广泛应用于一系列设施中，特别是在商业和工业系统中。

然而，任意访问控制策略存在着缺陷：对于系统中信息的流动，它没能提供真正意义上的保障。使用者可以很容易的越过设定的访问权限。例如，一个用户可以将他所拥有的读取数据的权限提供给不拥有此种权限的用户。这是因为一旦用户接受了信息，此种控制策略在信息的使用上没能施加任何限制，例如，信息的传播没能被控制。与它相反的，在强制控制策略中，储存在系统中的信息是不被允许从高层对象传递给低层对象的。

基于明确的授权上的任意访问控制策略据说是封闭的：在涉及到的相关控制器的缺失上。与此相同的被称之为开放策略的策略，可以同样的应用于系统中，他们都是基于特定的否认而不是授权。在这种情况下，对于系统中的每个使用者和对象来说，用户所拥有的对对象的禁止访问授权是特定的。用户所请求的每个访问对于授权者来说是特定的，只有没有任何授权者否认它时用户才可以访问。积极和消极的访问权可以结合起来应用，每个特定的访问权可以同时被给予肯定的和否定。这种消极和积极结合起来的访问权限可以变得极端复杂。

古典的强制访问策略

强制访问策略基于系统中主体和对象的分类进行管理。系统中的每个主体和对象被给予一个安全级别。同对象相联系在一起的安全级别反映了课题中包含的信息的敏感性，例如潜在的损害可能是来自于未被授权的信息的泄露。一个用户所被授予的安全级别，也被称为区分性，反映了此用户不将敏感信息泄露给不拥有此级别的用户的可靠性。在最简单的情形下，安全级别是一系列分层次的有规律的集合。在军事和政府的办公系统中，这些层次通常被分为绝密，秘密，机密和非保密的，在级别上绝密>秘密>机密>非保密的。每个安全级别支配它自身和位于它之下的级别。

主体对于对象的访问权只有当某些条件被满足时（取决于访问的类型）（这些条件基于安全级别和主对象间的层级）。特别的，下述两个原则要求被遵守。

读取--一个主体的级别必须能支配它所读取的对象的安全级别。

写入--一个主体的级别必须能支配它所写入的对象的安全级别。

这些条件的满足组织了信息从高级别的对象向低级别的对象的流动。这个效果可从图6中看出。在这样的一个系统中信息只允许流向更高级别或同级别。

明白本文中使用者和主体间的关系是很重要的。我们现在来讨论，有个人类使用者简被权秘密级别，假设她总是以秘密级别的主体去访问系统。读取原则阻止简去阅读绝密级的对象。然而，写入原则表面上看起来有两个方面同期望是相反的。

首先，简的秘密主体可以写入一个绝密主体（即使他们不能读取它）。在极端情况下，他可以覆盖绝密主体的数据从而毁坏它。基于这个考虑，很多强制控制策略的系统不允许写入；但是允许向同级别有限制性的进行写入。同时，写入原则允许简的主体对绝密级对象发送邮件以便得到有益的反馈。

其次，简的秘密主体不能写入机密或是不涉密的主体。这就意味着，例如，简从来不能向机密或是不涉密的主体使用者发送电子邮件。这同现实世界所发生的是相反的，现实中秘密主体的使用者可以对机密或是不涉密的主体写入备忘录。这个看似的矛盾可以很轻易的被破解，简只需向系统申请作为机密或不涉密主体的合作者。通过这些她可以分别向两种主体发送电子邮件。

用另一种话说，一个使用者可以以任意级别向计算机提出申请，这个级别由使用者的权限决定。那么，我们为什么还要不胜繁琐的提出写入原则呢？这么做的主要原因是阻止软件蓄意的将秘密从机密级泄露给不涉密级。现实中使用者拥有这种信任，但在程序并没有继承相同程度的信任。举例来说，简以不能读取秘密级主体的级别向计算机提出申请，这么做的话她就不能把信息从秘密级泄露给不涉密级。写入原则也可以阻止使用者不经意的将信息从高层级泄露给低级别。

除了分层安全级别外，其他范畴（如秘密党员，北约，核武器）也可以同样将主体与对象联系起来。在这种情形下，将每个主题和对象联系起来的范畴标签包含了一系列安全级别和范畴。通用户相结合的范畴集合反应了用户操作的特定领域。同对象相结合起来的范畴集合反映了涉及到的对象所包含的信息。引入范畴的思路提供了一个更好的安全级别分类。在军事范畴中此种策略仅将主体执行它所承担的责任所需要了解的信息给予它它，其他的则予以限制。

强制访问控制也可以应用于对信息重要性的保护上。例如，信息的重要性层次分为极其重要，重要，和无关紧要。同对象联系在一起的重要性级别反映了信任的程度，这种程度可以被储存于对象所包含的信息中，潜在的伤害可以来自于未被授权的对信息的完善修改。同用户联系在一起的重要性级别反映了用户在这个级别上对于插入、完善和修改信息上的可信度。同保密性相类似的原则需要被遵守如下：

读取原则—主体所拥有的重要性级别由他所能支配的被读取的对象重要性级别决定。

写入原则--主体所拥有的重要性级别由他所能支配的被写入的对象重要性级别决定。

这些原则的满足阻止了储存在低层次对象里的信息（可信度较低）向高层次里流动，如图7。这种对于信息流动的控制是获取重要性的一个方面。通常性的重要性要求额外的在【4,5】中讨论的途径。

注意到图6和图7仅有的区别在于信息的流动方向上，前者从低层次向高层次流动，后者从高层次向低层次流动。用另一种话说，两种情况都只考虑单向信息流动。古典强制性控制的精髓在于在一系列安全标签中的单向信息流动。关于这个换话题可以从【6】中得到更多的讨论。

基于角色的控制策略

刚才讨论过的任意和强制性控制策略已经得到了官方的认可，尤其是所谓的美国国防部橙皮书认可。

在安全研究者和操作者中有一种很强的感觉，感觉到古典的任意和强制性控制没有覆盖很多方面。强制性控制主要源于严格的环境，例如军事。任意性控制来源于合作而又自治的需求，例如学术研究。没有任何一种需求满足大多数的商业企业。橙皮书上的任意性控制对于重要的信息资产的控制太过虚弱，与此同时橙皮书上的强制性控制主要是关于美国政府对于分类信息的机密性上。（在操作过程中军事系统发现橙皮书上的强制性控制过于严格从而经常推翻它）

几种可替代任意性和强制性控制的选择已经被提出来。这些策略允许用户对于对象向任意性控制那样授权，与此同时对于这些授权的使用和申请上向强制性控制那样给予限制。在这些不断提出的未来的策略中最有希望的一种是基于角色的访问控制策略。

角色控制策略是基于使用者在系统中的操作活动来安排使用者对于信息的访问。角色控

制策略要求在系统中对于角色的辨识。一个角色可以被定义为一系列具有特殊操作活动的行动和责任的集合。因此，代替那种每个用户所允许的所有的访问的授权，关于对象的访问策略主要在于角色上。用户被给予了采用角色的授权。最近NIST做的一项研究确认了角色控制对很多商业和政府机构来说是有效的方法。

用户可以操作一个角色被授予的所有访问操作权限。通常情况下一个用户对于不同的场合可采用不同的角色。同时同一个角色可被不同的用户使用，特别是相似的情况下。许多基于角色的访问控制建议此控制可允许一个用户在同一时间操作不同的角色，而其他的只允许用户在同一时间操作一个角色，或者允许一些角色可以合作工作而另一些角色必须彼此分开工作。然而，这个领域并没有一个共同的标准。所以在不同的系统中有可能会执行不同的方法。

基于角色的方法有许多优点。

授权管理

管理策略可以决定谁有权修改被允许的访问。这是访问控制中最重要也是最难以理解的方面。

在控制访问控制中，允许的访问仅仅基于主体和对象的安全分类。安全管理员有权颁布安全级别。对象的安全级别由创立他们的用户的安全级别。安全管理员是唯一可以改变主体和对象安全级别的人。于是这种管理策略是很简单的。

随机访问控制允许进行更广泛的的管理策略。他们将在下面得到叙述。

集散——单个授权者或授权群体允许颁布和撤销用户的证书。

分级——核心授权者要向其他管理员分配管理职能。管理员可颁布和撤销系统用户的访问证书。分级管理可用于诸如组织图表上。

合作——特定资源的特殊访问证书不能有单一授权者颁布，需要由多个授权者合作进行。

所有权—一个使用者被认为是他/她所创造出的对象的拥有者。拥有者可以授予或者取消其他用户对次对象的访问权限。

分散的—在分散的管理中一个对象的拥有者也可以给予其他使用者管理此对象权限的特权。

在这些中有很多可能的变动。

角色访问控制有一个类似的可能的管理策略的范围。在这种情形下角色也可以被用来管理和控制管理机构。

管理机构的授权是一个很重要的方面，然而现存的访问控制系统对此有很大缺陷。在一个大的分布式系统中对于访问权限的集约式管理是不可行的。许多现存的系统允许授权机构对于某个特定系列的对象的本该由中央安全管理者的授权操作由其他的安全管理者进行。例如，对于一个特定区域的管理对象的授权可以由此区域的安全管理者来进行。这样的话允许授权管理者在一系列经过选择的情况下进行授权操作。然而，在现存系统中该选择型的维度很大程度上被忽略了。例如，这样做也许更有利—-区域安全管理者被限制给予一些对象权限（这些对象由工作在此区域中的执行者负责）。对于区域管理者的控制可以是集中式管理，但它们可以在自己负责的区域中有一定程度的管理权。这种授权过程可以在每个区域重复进行，授予给子区域，不断进行。

总结

访问控制要求拥有保密性、完整性或者可用的对象。访问控制在计算机操作系统中有着

非常热门的前景，它可以将访问矩阵模型应用进来。一些系统近似估计访问控制的可行性，它们限制访问控制进入一个或两个用户体的程度。其他的系统允许一定程度上的复杂性。访问控制在一个基于全主体的访问浏想览和撤销上有缺点，但是在基于全对象的访问他们是很不错的。诸如授权表等更复杂的描述提供了更高级的访问权限管理，但只能通过数据库管理系统得到。在一个分布式系统中，一个粗放控制访问能力和无服务的细微控制的访问控制或者授权表的混合，是一个很好的组合。

过去对强制访问控制和任意访问控制的区别是行之有效的。这两种策略并不能解决一些特殊需求。基于角色的访问控制策略提供了一种可供替代的严格的额外强制控制，同时也能提供部分灵活的任意访问控制。有效的授权分散管理是一个可以进一步发展的领域。

最后，为了发展出一些正确的信息安全准则，将计算机和网络安全融合得更加紧密是很重要的。尽管这个进程在进行着，不过还有很多值得继续努力。

鸣谢

笔者对审核专家和编辑的意见表示感谢，它们大大地提高了本文的可读性。米兰大学的Giancarlo Martella 为本文提供了弥足珍贵的草稿素材。国家科学基金会也为Ravi Sandhu的工作提供了部分支持，并颁布了CCR-9202270，国家安全委员会订立了MDA904-92-C-5141。Ravi Sandhu对Dorothy Darnauer由衷感谢。