访问控制技术及发展趋势

马红红
信息安全2011级2班
一．访问控制技术
计算机系统的活动主要是在主体（进程、用户)和客体（资源、数据）之间进行的。

计算机安全的核心问题是确保主体对客体的访问的合法性，即通过对数据、程序读出、写入、修改、删除和执行等的管理，确保主体对客体的访问是授权的，并拒绝非授权的访问，以保证信息的机密性、完整性和可用性。

访问控制是对进入系统的控制，通常作为对资源访问处理的一部分，它的作用是对需要访问系统及其数据的人进行识别，并检查其合法身份。

1.访问控制主要有两种不同的类型：自由访问控制和强制访问控制
1)自主访问控制（又称任选访问控制）
自主访问控制是应用得很广泛的访问控制方法，用这种方法，资源的所有者（也往往是创建者）可任意规定谁可以访问他们的资源。

这样，用户或用户进程就可有选择的与其他用户共享资源，它是一种对单个用户执行访问控制的过程和措施。

①方法（是基于矩阵的行或列来表达访问控制信息）
a.基于行的自主访问控制：是在每个主体上都附加一个该主体可访问的客体的明细表。

按照表内信息的不同，可分为3种形式。

权利表（权能表），根据该表可决定用户是否可以对客体进行访问，以及可以进行何种访问；前缀表，包括受保护的客体名和主体对它的访问权；口令，主体对客体进行访问前，必须向操作系统提供该客体的口令。

b.基于列的自主访问控制：是对每个客体附加一份可访问它的主体的明细表，有两种形式。

保护位，它不能完备的表达访问控制矩阵，但可对所有主体、主体组以及该客体的拥有者指明一个访问模式集合，拥有者是唯一能够改变客体保护位的主体；访问控制表，每个客体都有一张访问控制表（ACL）记录该客体可被哪些主体访问以及访问的形式。

主体访问控制表可以决定任何一个特定的主体是否可对某一客体进行访问，它是利用在客体上附加一个主体明细表的方法来表示访问控制矩阵的，表中的每一项包括主体的身份和对该客体的访问权。

②类型
a.等级型：可将对修改客体访问控制表的能力的控制组织成等级型的。

优点是可通过选择值得信任的人担任各级领导，使得可用最可信的方式对客体实施控制，缺点是会同时有多个主体有能力修改它的访问控制表。

b.有主型：是对客体设置一个拥有者，它是唯一有权访问客体访问控制表的主体。

拥有者对其拥有的客体具有全部控制权，但无权将客体的控制权分配给其它主体。

c.自由型：一个客体的生成者可对任何一个主体分配对它拥有的客体的访问控制表的修改权，还可使其对其它主体具有分配这种权利的能力。

2) 强制访问控制（MAC)
在强制访问控制中，系统给主体和客体分配了不同的安全属性，用户不能改变自身或任何客体的安全属性，即不允许单个用户确定访问权限，只有系统管理员可确定用户和用户组的访问权限。

系统通过比较客体和主体的安全属性来决定主体是否可访问客体。

此外，强制访问控制不允许一个进程生成共享文件，从而防止进程通过共享文件将信息从一个进程传送到另一个进程。

MAC可通过使用敏感标号对所有用户和资源强制执行安全策略，即实现强制访问控制。

MAC可抵御特洛依木马和用户滥用职权等攻击，当敏感数据需在多种环境下受到保护时，就需要使用MAC。

强制访问控制是比自主访问控制功能更强的访问控制机制，但是这种机制也给合法用户带来许多不便。

例如，在用户共享数据方面不灵活且受到限制。

因此，一般在保护敏感信息时使用MAC，需对用户提供灵活的保护且更多的考虑共享信息时，使用MAC。

2.基于角色的访问控制（RBAC)
基于角色的访问控制根据常见的访问需求来分组用户。

你可以为一组执行同样的工作并且对资源的访问有着类似需要的用户分配一个角色。

通过简单的将多个用户分到某个组，然后根据访问控制的目的来为该组赋予相应的权限，基于角色的访问控制简化了用户访问权限的授予和撤销工作。

当存在大量员工调动或员工角色经常需要变更时这特别有用。

使用RBAC 的组织报告说，与使用传统的基于用户的访问系统相比，在分配新用户访问权限和提高改变、修改、终止用户权限的能力上，基于角色的访问控制在时间的花销上有了显著地降低。

RBAC 在机构快速调整方面也有很大的帮助，并能提高生产力和效率。

3.访问控制列表
访问控制列表（Access Control Lists,ACL)是关于用户信息的列表或文件，这些用户被授予访问系统或资源（数据库等）的权限。

这个文件保存用户的ID和与之相关的系统资源访问权限或权限集合。

这些权限通常是读（Read)、写（Write)、更新（Update)、删除（Delete)或重命名。

访问控制列表不但可以起到控制网络流量、流向的作用，而且在很大程度上起到保护网络设备、服务器的关键作用。

作为外网进入企业内网的第一道关卡，路由器上的访问控制列表成为保护内网安全的有效手段。

二．发展趋势
随着企业信息系统的建立及规模的不断扩大，存储在系统中的敏感数据和关键数据也越来越多，而这些数据都依赖于系统来进行处理、交换、传递。

因此，保护系统及其数据不被未经授权的非法访问显得越来越重要，访问控制作为网络安全防范和保护的主要策略，主要是要明确访问对象并确定授权。

包括以下几个方面：
（一）用户访问管理
为防止对计算机信息系统的未经授权的访问，建立一套对信息系统和服务的访问权限分配程序时必须的。

这些程序应当覆盖用户访问的每一个阶段，从新用户的注册到不再需要访问信息系统和服务的用户最终的注销。

通常，一个计算机信息系统是一个多用户的系统，为防止对信息系统的非法操作，需要一种正式的用户注册和注销的安全保护措施，用户和用户组被赋予一定的权限，体现为用户组可以访问哪些系统资源，当不再需要对信息系统访问时，又可以注销这些权限。

特权访问具有超越一般用户对系统访问的权限，而对系统特权的不当使用往往可能导致系统发生故障，故特权分配可参照因素有：根据系统资源及每个应用软件的实际需要确定分配、建立在需要与就事论事的基础上、系统升级或更新版本后，特权所赋予的限度应重新审核。

在计算机信息系统中，用户口令与账号的使用不仅能确定谁正在使用系统，是何时登录使用系统的，也能控制系统使用者在系统中可以做什么，因此，对口令和账号的管理是极其重要的。

为了保持对数据和信息服务存取的有效控制，对用户访问的权限应进行定期复查。

（二）网络访问控制
为保护网络服务，应控制对内部和外部网络服务的访问，这对于确保对网络和网络访问有访问权限的用户是完全必要的。

与网络服务的不安全连接会影响自身系统的安全性，因此应明确对用户提供哪些特权才可直接访问其服务。

网络服务使用策略应考虑到网络和网络服务的使用，具体应包括：允许访问的网络与网络服务、用于确定谁可访问那些网络和网络服务的授权、保护对网络连接和网络服务的访问管理措施等。

网络的最大特征是最大限度的资源共享和最大程度的路径自由选择，而这也可能为那些未经授权的访问创造了机会，成为信息系统安全的一种隐患。

故从终端用户到计算机服务器的路径必须受到控制。

例如，建立一条强制路径，从而达到降低安全风险的目的。

对于远程访问控制，需要进行远程访问用户认证，这需要对用户的身份加以确认和保护。

拨号访问和访问控制也要求对用户口令的识别和保护其安全。

网络在使用通信和信息的共享变得跟为容易的同时，其自身也更多的被曝露在损坏和毁坏的攻击之中，因而必须加强网络的安全管理。

（三）应用系统访问控制
应用系统，特别是敏感的或关键的业务应用系统，对一个企业或一个机构来说是一笔财富。

为确保应用系统的访问是经过授权的，其应当:控制用户对应用程序的访问，并要求对所制定的业务访问控制策略一致、对超越应用程序限制的任何一个实用程序和操作系统中的部
分软件提供保护，防止未经授权访问、不影响有共享信息资源的其它系统的安全、只能向所有权人及其他被指定和经授权者或确定的用户群提供访问权限。

为支持对信息访问的限制要求，可采用的管理措施有：提供菜单控制访问应用系统的功能；通过对用户文件的适当编辑，限制用户对未经授权访问的信息或应用系统功能的了解；控制用户对应用系统访问的权限，包括读、写、删除及执行等权限；含有敏感信息的应用系统的输出只包括与输出使用相关的信息，而且只送到得到授权的终端和地点。

敏感系统如果条件允许应使用专用（隔离的）计算环境，而且只同可信任的其他应用系统共享资源。

（四）数据库访问控制
数据库访问控制是对用户数据库各种资源，包括表、视窗、各种目录以及实用程序等的权利（包括创建、撤销、查询、增、删、改、执行等）的控制。

这是数据安全的基本手段。

对数据库进行访问控制，首先要正确识别用户，防止可能的假冒。

数据库用户在DBMS（数据库管理系统）注册时，给每一个用户标识。

用户标识是用户公开的标识，不能成为其鉴别用户的凭证。

鉴别用户身份，一般采用：利用只有用户知道的信息鉴别用户，如广泛使用的口令；利用只有用户知道的物品鉴别用户，如磁卡；利用用户的个人特征鉴别用户，如指纹、声音、签名等。

对一般数据库用户、具有支配部分数据库资源特权的数据库用户、具有DBA 特权的数据库用户要进行明确的区分，才能确保其合法授权。

参考文献
1．徐超汉，计算机信息安全管理，电子工业出版社，2006—4
2．中国信息安全产品测评认证中心，信息安全理论与技术，人民邮电出版社，2004—7
3．百度网站，
4．Mark Merkow Jim Breithaupt,信息安全原理与实践，清华大学出版社，2008—10。