访问控制模型简介
《网络与信息安全》8：访问控制-访问控制策略与模型
Chinese Wall模型
• 中国墙策略组合了商业的自主和法律上的强 制控制。其⺫标是阻止引起利益冲突的信息 流。业务服务员可以代表在同一个业务部⻔ 的几个客户，这将引起利益冲突。!
– Brewer and Nash (1989)
• BLP模型通常假设访问权限是静态的；中国 墙模型则对于每次访问操作主体的访问权限 是动态改变的。
– 干泛应用于军队、政府等对安全要求较高的组 织
– 标签
• 安全标签是限制在⺫标上的一组安全属性信息项， 可用于支持多级访问控制策略
9
访问控制策略
• 机密性模型!
– Bell-Lapadula机密性模型
• 完整性模型!
– Biba完整性模型 – Clark-Wilson模型
• 动态模型!
– Chinese Wall模型
– 访问控制列表机制最适合于有相对少的需要被 区分的用户，并且这些用户中的绝大多数是稳 定的情况。如果访问控制列表太大或经常改变， 维护访问控制列表会成为最主要的问题
– 不同于其它的机制，对于大范围的⺫标粒度访 问控制列表均适用，包括非常好的粒度
– 另一个优点是一个⺫标的拥有者或管理者可以 很容易地废除以前授予的许可
29
访问控制策略
• 基于角色的策略!
– 基于角色的访问控制是一个复合的规则，可以 被认为是基于身份策略和基于规则策略的变体
– 基本思路：管理员创建角色，给角色分配权限， 给角色分配用户，角色所属的用户可以执行相 应的权限
30
访问控制策略
• 基于角色的策略!
– 角色的定义
• 每个角色与一组用户和有关的动作相互关联，角色 中所属的用户可以有权执行这些操作
14
(完整版)访问控制
访问控制在计算机系统中，认证、访问控制和审计共同建立了保护系统安全的基础。
认证是用户进入系统的第一道防线，访问控制是鉴别用户的合法身份后，控制用户对数据信息的访问。
访问控制是在身份认证的基础上，依据授权对提出请求的资源访问请求加以控制。
访问控制是一种安全手段，既能够控制用户和其他系统和资源进行通信和交互，也能保证系统和资源未经授权的访问，并为成功认证的用户授权不同的访问等级。
访问控制包含的范围很广，它涵盖了几种不同的机制，因为访问控制是防范计算机系统和资源被未授权访问的第一道防线，具有重要地位。
提示用户输入用户名和密码才能使用该计算机的过程是基本的访问控制形式。
一旦用户登录之后需要访问文件时，文件应该有一个包含能够访问它的用户和组的列表。
不在这个表上的用户，访问将会遭到拒绝。
用户的访问权限主要基于其身份和访问等级，访问控制给予组织控制、限制、监控以及保护资源的可用性、完整性和机密性的能力。
访问控制模型是一种从访问控制的角度出发，描述安全系统并建立安全模型的方法。
主要描述了主体访问客体的一种框架，通过访问控制技术和安全机制来实现模型的规则和目标。
可信计算机系统评估准则（TCSEC）提出了访问控制在计算机安全系统中的重要作用，TCSEC要达到的一个主要目标就是阻止非授权用户对敏感信息的访问。
访问控制在准则中被分为两类：自主访问控制（DiscretionaryAccess Control,DAC ）和强制访问控制（Mandatory Access Control ，MAC ）。
近几年基于角色的访问控制（Role-based Access Control ，RBAC ）技术正得到广泛的研究与应用。
访问控制模型分类自主访问控制自主访问控制（DAC ），又称任意访问控制，是根据自主访问控制策略建立的一种模型。
允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体。
某些用户还可以自主地把自己拥有的客体的访问权限授予其他用户。
信息安全访问控制模型
保存位置 浏览访问权限 访问权限传递 访问权限回收
使用
ACL 客体 容易 困难 容易 集中式系统
CL 主体 困难 容易 困难 分布式系统
24
自主访问控制的特点
❖ 优点：
▪ 根据主体的身份和访问权限进行决策 ▪ 具有某种访问能力的主体能够自主地将访问权的某个
子集授予其它主体 ▪ 灵活性高，被大量采用
❖ 缺点：
▪ 信息在传递过程中其访问权限关系会被改变
25
知识域：访问控制模型
❖ 知识子域：强制访问控制模型
▪ 理解强制访问控制的分类和含义 ▪ 掌握典型强制访问控制模型：Bell-Lapudula模型、
6
授权
❖ 规定主体可以对客体执行的操作：
▪读 ▪写 ▪ 执行 ▪ 拒绝访ห้องสมุดไป่ตู้ ▪…
7
标识
❖ 标识是实体身份的一种计算机表达，每个实体与计算 机内部的一个身份表达绑定
❖ 标识的主要作用：访问控制和审计
▪ 访问控制：标识用于控制是否允许特定的操作 ▪ 审计：标识用于跟踪所有操作的参与者，参与者的任
何操作都能被明确地标识出来
8
主体标识的实例
❖ 主体的标识
▪ 在UNIX中，主体（用户）的身份标识为0-65535之 间的一个整数，称为用户身份号（UID）
▪ 常见的主体标识还包括用户名、卡、令牌等，也可 以是指纹、虹膜等生物特征
9
客体标识的实例
❖ 客体的标识
▪ 文件名 ▪ 文件描述符或句柄 ▪ 文件分配表的条目 ▪ UNIX中提供了四种不同的文件标识：
▪ 描述主体对客体所具有的访问权 ▪ 指明主体对客体可进行何种形式的特定访问操作：读/
写/运行
18
05访问控制
第五讲访问控制罗守山北京邮电大学计算机学院内容提要♦1. 概述♦2. 自主型安全（访问控制）模型♦3 强制访问控制模型♦4 基于角色的访问控制模型♦5 访问控制中的安全策略与信任机制♦访问控制是安全服务的一个重要组成部分。
–所谓访问控制，就是通过某种途径显式地准许或限制访问能力及范围，从而限制对关键资源的访问，防止非法用户的侵入或者合法用户的不慎操作造成破坏。
–国际标准化组织（ISO）在网络安全标准ISO7498-2中定义了5种层次型安全服务，即：身份认证服务、访问控制服务、数据保密服务、数据完整性服务和不可否认服务，因此，访问控制是信息安全的一个重要组成部分。
1.概述访问控制系统一般包括：1)主体(Subject)：是可以对其它实体施加动作的主动实体，简记为S。
有时我们也称为用户（User）或访问者（被授权使用计算机的人员），记为U。
主体的含义是广泛的，可以是用户所在的组织（称为用户组）、用户本身，也可是用户使用的计算机终端、卡机、手持终端（无线）等，甚至可以是应用服务程序程序或进程；2)客体(Object)：被调用的程序或欲存取的数据访问,是接受其他实体访问的被动实体, 简记为O。
客体的概念也很广泛，凡是可以被操作的信息、资源、对象都可以认为是客体。
在信息社会中，客体可以是信息、文件、记录等的集合体，也可以是网路上的硬件设施，无线通信中的终端，甚至一个客体可以包含另外一个客体；3)安全访问规则：用以确定一个主体是否对某个客体拥有访问权力。
是主体对客体的操作行为集和约束条件集, 简记为KS。
简单讲，控制策略是主体对客体的访问规则集，这个规则集直接定义了主体对可以的作用行为和客体对主体的条件约束。
访问策略体现了一种授权行为，也就是客体对主体的权限允许，这种允许不超越规则集，由其给出。
访问控制系统三个要素之间的行为关系见下图。
♦可以使用三元组（S，O，P）来表示，其中S表示主体，O表示客体，P表示许可。
基于角色的访问控制技术(RBAC)
RBAC(Role Based Access Control)访问控制是通过某种途径显示的准许或限制访问能力及范围，从而限制对目标资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏[2]。
目前流行的访问控制模型有自主访问控制模型(Discretionary Access Control,DAC)、强制访问控制模型(Mandatory Access Control, MAC)和基于角色的访问控制模型(Role-Based Access Control,RBAC)。
自主访问控制是访问控制技术中最常见的一种方法，允许资源的所有者自主地在系统中决定可存取其资源客体的主体，此模型灵活性很高，但安全级别相对较低；强制访问控制是主体的权限和客体的安全属性都是固定的，由管理员通过授权决定一个主体对某个客体能否进行访问。
无论是DAC 还是MAC 都是主体和访问权限直接发生关系，根据主体/客体的所属关系或主体/客体的安全级别来决定主体对客体的访问权，它的优点是管理集中，但其实现工作量大、不便于管理，不适用于主体或客体经常更新的应用环境。
RBAC是一种可扩展的访问控制模型，通过引入角色来对用户和权限进行解耦，简化了授权操作和安全管理，它是目前公认的解决大型企业的统一资源访问控制的有效访问方法，其 2 个特征是：(1) 由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，从而减小授权管理的复杂性，降低管理开销；(2)灵活地支持企业的安全策略，并对企业变化有很大的伸缩性。
2.2 RBAC 模型的基本思想在 RBAC 模型中，角色是实现访问控制策略的基本语义实体。
系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限并给用户分配角色，用户能够访问的权限由该用户拥有的角色权限集合决定，即把整个访问控制过程分成2步：访问权限与角色相关联，角色再与用户关联，从而实现用户与访问权限的逻辑分离。
RBAC 模型引入了Role的概念,目的是为了隔离User(即动作主体，Subject)与Pr ivilege(权限，表示对Resource的一个操作，即Operation+Resource)，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。
计算机安全基于角色访问控制(RBAC)模型
一、用户、角色、许可
图4.14用户、角色、许可的关系
图4.15角色继承的实例
二、角色继承
三、角色分配与授权
四、角色限制
五、角色激活
RBAC模型也存在着一定的缺陷，有待进一步的改善和提高，如角色等级的存在，上级角色可拥有下级角色的权限，简化管理，本身可以有效的降低维护的难度，这主要通过树型结构来表示。
但是这也使得我们在实施权限的验证时，要对角色层次结构进行遍历和查找，这会降低模型的工作效率，尤其是在树型结构复杂时更为明显，造成对系统整体性能的影响。
T-RBAC访问控制模型及其约束描述语言
１ Ｔ—ＲＢ Ｃ访 问控 制模 型 Ａ
相对 于传统 的 ＲＢ Ｃ和基 于角 色 的工 作 流安全 Ａ 模 型 而言 ， 的 Ｔ—Ｒ Ａ 新 Ｂ Ｃ模 型 最 大 的 不 同 在 于 它
改变 了 “ 户一 角 色一权 限 ” 三级 访 问 控制 结 构 ， 用 的 Ｔ—Ｒ Ａ Ｂ Ｃ模 型在 角色 与权 限之 间引入 任 务 的概念 ，
Ｒ Ｌ ００的基 础上扩充 了时 问特性和任务 的概 念 ， Ｃ ２０ 使新模型具备 了较完 整的约束描述能力 。 关键词 ： 问控制模 型 ； 访 工作流 ； 约束描述语言
中 图 分 类 号 ：Ｐ １． Ｔ ３７１ 文 献标 识 码 ： Ａ
随着 信 息时 代 的来 临 ， 算 机 系统 的安 全 问 题 计 尤 其是分 布式 计算 环境 下 的信 息安 全 问题 日益为 人 们 所 重视 。作 为计 算机 信息 安全 技术 之 一 的访 问控 制技 术在 近几 年也 得 到 了较 大 的发 展 ， 生 了像 强 产 制访 问控 制 模 型 Ｍ Ｃ、 于 角 色 的访 问控 制 模 型 Ａ 基 Ｒ Ａ 基于 任务 的访 问控 制模 型 Ｔ Ａ Ｂ Ｃ、 Ｂ Ｃ等 一些 新 型 访 问控制 模 型 ， 中 Ｒ Ａ 其 Ｂ Ｃ模 型是 当前 研 究 的一 个 热 点 ¨ ３。这是 一 种 基 于 “ 户一 角 色一 权 限 ” －］ 用 三 级访 问控 制结 构 的访 问控 制 模 型 ， 核 心 思 想 在 于 其
的能 力 。
⑩ 一⑩
一⑩
图１ ＲＡ Ｂ Ｃ简 化 模 型 示 意 图
相对 于 传统 的 自主和 强制访 问控制 模 型 ， Ｂ Ｃ ＲＡ 模 型 的这种访 问控 制 结构对 于 静态 权 限控制 系统 能 带 来诸 如便 于授权 管 理 、 策略 中立 、 支持 权 责分离 等 优 点 ， 由于传统 Ｒ Ａ 但 Ｂ Ｃ访 问 控 制模 型没 有 引 入 任 务 的概 念 ， 导致 其不 适 用 于 采 用 动 态权 限控 制 机 制 的工 作 流 环 境 。 针 对 Ｒ Ａ 模 型 的 这 个 缺 陷 ， ＢＣ
访问控制模型
访问控制模型
访问控制模型分类
访问策略规则、访问主体和访问客体三者是访问控制系统的基本条件。
访问主体：在信息环境中，对目标信息的获取通常是由访问主体发起的，访问主体需要遵循相应的规则，从而可以访问一定的客体。
通常访问主体是用户开发和使用的应用程度。
访问客体：在信息系统中，客体可以被主体进行一定的访问行为操作。
通常访问客体是用户文件、数据库等。
安全访问策略：是为了保护信息安全性而制定的策略规则，规定了主体是否可以访问客体以及可以使用何种方式对客体进行访问。
自主访问控制
访问控制矩阵 访问控制模型自主访问控制模型（DAC ）强制访问控制模型（MAC ）基于角色访问控制模型（RBAC ）保密性模型访问控制列表（ACL ）
权能列表（Capacity List ）
访问矩阵模型混合策略模型
完整性模型Bell-Lapudula 模型
Biba 模型Clark-Wilson 模型
Chinese Wall 模型
访问控制列表
强制访问控制Bell-Lapudula 模型
基于角色的访问控制。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
四、RBAC模型
Role Based Access Control(RBAC)基于角色 的访问控制 管理员定义一系列角色（roles）并把它们赋 予主体。系统进程和普通用户可能有不同的 角色。设置对象为某个类型，主体具有相应 的角色就可以访问它。这样就把管理员从定 义每个用户的许可权限的繁冗工作中解放出 来
Discretionary Access Control（DAC）自主访问控 制模型 自主访问控制模型是根据自主访问控制策略建立的一 种模型，允许合法用户以用户或用户组的身份访问策 略规定的客体，同时阻止非授权用户访问客体，某些 用户还可以自主地把自己所拥有的客体的访问权限授 予其他用户
——DAC模型特点
谢 谢！
——MAC的安全级别
强制访问策略将每个用户及文件赋于一个访问级 别，如，最高秘密级，秘密级，机密级及无级别 级。其级别为依次降低，系统根据主体和客体的 敏感标记来决定访问模式。访问模式包括： 下读：用户级别大于文件级别的读操作； 上写：用户级别小于文件级别的写操作； 下写：用户级别等于文件级别的写操作； 上读：用户级别小于文加一个它可以访问的主体的明细表。
三、MAC模型
Mandatory Access Control（MAC）强制访问 控制 在MAC这种模型里，管理员管理访问控制。管 理员制定策略，用户不能改变它。策略定义了 哪个主体能访问哪个对象。这种访问控制模型 可以增加安全级别，因为它基于策略，任何没 有被显式授权的操作都不能执行
——MAC特点
强制访问控制（MAC）的主要特征是对所有主 体及其所控制的客体（例如：进程、文件、段、 设备）实施强制访问控制。为这些主体及客体 指定敏感标记，这些标记是等级分类和非等级 类别的组合，它们是实施强制访问控制的依据 系统通过比较主体和客体的敏感标记来决定一 个主体是否能够访问某个客体。用户的程序不 能改变他自己及任何其它客体的敏感标记，从 而系统可以防止特洛伊木马的攻击
——RBAC特点
RBAC模型是20世纪90年代研究出来的一种新 模型，从本质上讲，这种模型是对前面描述 的访问矩阵模型的扩展。这种模型的基本概 念是把许可权（Permission）与角色（Role） 联系在一起，用户通过充当合适角色的成员 而获得该角色的许可权
五、LBAC模型
现有的基于层次的访问控制模型（LBAC）就是基 于工作流视角的。它通常被用于由多个工作流管 理系统实现的组织间（inter-organizational） 工作流。原因是LBAC采用了一个独立的访问层 （Access Layer，AC），它封装了该组织的访问 控制系统。由访问层将组织内的工作流转化为组 织间的工作流，而采用同样的方式对组织内和组 织间的工作流的访问控制问题进行处理。概括说 来，所谓工作流视角的LBAC，就是指把整个访问 控制过程看作是层次化的工作流的实现
访问控制模型简介
2012年3月21日
主要内容
一、什么是访问控制 二、DAC模型 三、MAC模型 四、RBAC模型 五、LBAC模型
一、什么是访问控制
访问控制是指控制对一台计算机或一个网络中的 某个资源的访问
有了访问控制，用户在获取实际访问资源或进行 操作之前，必须通过识别、验证、授权。
二、DAC模型
自主访问控制模型的特点是授权的实施主体 （可以授权的主体、管理授权的客体、授权 组）自主负责赋予和回收其他主体对客体资 源的访问权限。DAC模型一般采用访问控制矩 阵和访问控制列表来存放不同主体的访问控 制信息，从而达到对主体访问权限限制的目 的。
——访问控制矩阵
按列看是访问控制表内容
按行看是访问能力表内容