访问控制

访问控制列表ACL
优点：实现简单、实用，大多数PC、服务器和主机 都使用ACL作为访问控制的实现机制。 适用情况：系统需要区分的用户相对较少，并且这 些用户大都比较稳定。 缺点：如访问控制列表太大或经常改变，那么维护 访问控制列表就成为一个问题。

访问控制能力列表ACCL
能力指访问请求者所拥有的一个有效标签，它授权 标签的持有者可以按照何种访问方式访问特定的客 体。 访问控制能力列表以用户为中心建立访问权限表， 是常用的基于行的自主访问控制；它为每个主体附 加一个该主体能够访问的客体的明细表。

访问控制能力列表ACCL
例如，前面访问控制矩阵实例对应的访问控
制能力表如下所示：
cap (Bob）= { (Bob.doc, {拥有})，(, {读、写})， (John.exe, {执行})} cap (Alice）= { (Bob.doc, {写})，(, {拥有}) , (John.exe, {执行}) } cap (John）= { (Bob.doc, {读、写}), (John.exe, {拥有})}
第四章 访问控制
信息安全系 jlsxm@
问题提出


老问题 1、作为老师的我，如果在上课的教室丢了一个存有“信息 安全技术基础”课程试卷的U盘，那后果。。。 2、大方地把自己的电脑、手机或其他电子设备借给朋友， 却不希望朋友看到其中一些关乎个人隐私的文件或资料，该 怎么办？ 新需求 例1：学校的教务管理系统全校师生都可以使用，但是只有 老师可以输入考试成绩，只有学生可以对教学质量进行评 价。。。 例2：作为QQ用户，执行同样的登录操作，为什么QQ服务器 可以识别出有的用户花了钱晋升为QQ会员，有的用户开通了 各种钻，更多的只是普通的QQ用户呢？ 例3：论坛规定，发贴或跟贴必须要先注册并登录，而且只 有管理员可以删贴，甚至封贴。
优点：灵活性高，被大量采用（尤其在商业
和工业环境的应用上）。
例如：用户可以自由传递权限，使得没有访问某个文件
权限的用户U1可以从有该文件访问权限的用户Un那里得到 访问权限或是直接拷贝该文件。 缺点：不易控制权限传递，容易被非法用户
绕过而获得访问。
例如：用户A可将其对目标O的访问权限传递给用户B,从
而使不具备对O访问权限的B可访问O。
自主访问控制的实现机制
DAC一般采用以下三种机制来存放不同主
体的访问控制权限，从而完成对主体访问 权限的限制： 1、访问控制矩阵 2、访问控制列表 3、访问控制能力列表
访问控制矩阵ACM
从概念上来说，访问控制可以通过使用和维护一个访 问控制矩阵（Access Control Matrix)来实现。 访问控制矩阵是通过二维矩阵形式表示访问控制规则 和授权用户权限的方法；包含三个元素：主体、客体 和访问权限。 访问控制矩阵的行对应于主体，列对应于客体；第i行 第j列的元素是访问权限的集合，列出了允许主体si对 客体oj进行访问的权限。

访问控制的最基本概念
访问控制系统要素之间的行为关系参见下图：
访问控制过程
访问控制由两个重要过程组成
1、通过认证来检验主体的合法身份； 2、通过授权（Authorization）来限制用户 对资源的访问级别。 在认证和授权后，访问控制机制将根据预先 设定的规则对用户访问的资源进行控制，只 有规则允许的资源才能访问。

Windows NT访问控制列表实例

Windows NT目录的普通权限分为以下几类：
no access，主体不能访问该目录；
read，主体能读或执行该目录中的文件； list，主体能列出该目录中的内容，并且也可转入该目录


下的子目录； add，主体能在该目录下创建文件或子目录； add and read，是普通权限add和read的结合； change，主体能创建、读、执行或写该目录下的文件， 也能删除子目录； full control，主体拥有该目录下的文件及其子目录的所 有权限； special access，允许分配任意权限的组合。
Windows NT访问控制列表实例

访问控制决策： 当用户访问文件时，Windows NT首先检查文 件的ACL。 如果该用户没有出现在ACL中，并且不是ACL 所列组中的一员，则访问被拒绝。 否则： 如果任一ACL条目拒绝用户的访问，系 统就拒绝访问（显示拒绝）； 如果访问不被显示拒绝，而用户又在 ACL中出现，则该用户的权限集就是所有指定 此用户的ACL条目中权限集的并集。
主要内容
访问控制概述
访问控制策略
访问控制的最基本概念
实体（entity）
从数据处理的角度看，现实世界中的客观事物称
为实体，它是现实世界中任何可区分、可识别的 事物。 在计算机信息系统中，实体指计算机资源（物理 设备、数据文件、内存或进程）或一个合法用户。 实体又可以分为主体和客体。
访问控制列表ACL
访问控制列表（Access control List）是以文件 为中心建立访问权限表。 对于每个资源，访问控制列表中列出可能的用户和 用户的访问权限。


访问控制列表是基于访问控制矩阵中列的自主访问 控制区，它在一个客体上附加一个主体明细表来表 示各个主体对这个客体的访问权限；明细表中的每 一项都包括主体的身份和主体对这个客体的访问权 限。
访问控制的最基本概念

主体（subject）
一个提出请求或要求的实体，是动作的发起者（不一定
是动作的执行者），有时也称为用户或访问者（如被授 权使用计算机的人）； 主体含义广泛，可以是用户、用户组、计算机终端、外 设卡、手持终端设备、一个数据文件甚至是应用服务程 序或进程。

客体（object）
自主访问控制（Discretionary
Access Control）根据主体的身份及允许访问的权限 进行决策，也称自由访问控制。 Linux、UNIX、Windows NT/SERVER版本的操 作系统都提供自主访问控制功能。 具体实现上，首先要对用户的身份进行鉴别； 然后就可以按照访问控制列表所赋予用户的 权限允许和限制用户使用客体的资源。
强制访问控制MAC

安全级别一般有五级：绝密级（Top Secret，T）、秘密级 （Secret，S）、机密级（Confidential，C）、限制级 （Restricted，R）和无密级（Unclassified，U），其中 T＞S＞C＞R＞U。
客体1 导弹计划 级别：绝密 读取？ 拒绝 主体：Jack 级别：秘密 读取？ 允许 客体2 电话簿 级别：限制
任，而访问控制则假定在通过监控器实施访 问控制前，用户的身份就已经得到了验证； 因而，访问控制的有效性取决于用户的正确 识别，同时也取决于监控器正确的控制。
主要内容
访问控制概述
访问控制策略
访问控制策略
主要有三类： 自主访问控制 强制访问控制 基于角色的访问控制
自主访问控制（DAC）

强制访问控制（MAC）
强制访问控制（Mandatory
Access Control） 是比DAC更为严格的访问控制策略。 具体实现时，每个用户及文件都被赋予一定的 安全级别，用户不能改变自身或任何客体的安 全级别，只有系统管理员可以确定用户和组的 访问权限。系统通过比较用户和访问的文件的 安全级别来决定用户是否可以访问该文件。
强制访问控制MAC
接受其他实体访问的被动实体，凡是可以被操作的信息、
资源、对象都可以作为客体； 通常包括文件和文件系统、磁盘和磁带卷标、远程终端、 信息管理系统的事务处理及其应用、数据库中的数据、 应用资源等。
访问控制的最基本概念

访问（access）
使信息在主体和客体之间流动的一种交互方式。
对文件客体来说，典型的访问就是读、写、执行和所有；
访问控制能力列表ACCL
访问控制能力表在时间效率和空间效率上都优于访 问控制矩阵。 缺点：对于一个给定的客体，要确定所有有权访问 它的主体、用户生成一个新的客体并对其授权、或 删除一个客体时都比较复杂。

Windows NT访问控制列表实例
Windows NT中共享对象（即客体）的访问权限由 对象所有者决定。 如果用户想共享某个对象，首先要为该对象选择唯 一的名字，然后为其他用户和组分配访问权限。 Windows NT允许用户或组对文件或目录进行以下 6种操作：读、写、执行、删除、改变许可和获取 拥有权限（均称为普通权限）。
自主访问控制DACБайду номын сангаас
自主访问控制规定客体的创建者为其所有者，
可以完全控制该客体；客体所有者有权将该 客体的访问权授予别人。 自主访问控制的特点是授权的实施主体自主 负责赋予和回收其他主体对客体资源的访问 权限。 自主是指具有某种访问能力的主体能够自主 地将访问权的某个子集授予其它主体。
自主访问控制DAC

访问控制矩阵

访问控制矩阵实例如下图所示：
客体 Bob.doc 拥有 写 读、写 读、写 拥有 John.exe 执行 执行 拥有
主体 Bob
Alice John
访问控制矩阵

访问控制的任务就是确保系统的操作是按照访问控制 矩阵授权的访问来执行。 优点：清晰地实现认证与访问控制的相互分离 。 缺点：在较大系统中，如果用户和资源都非常多，那 么访问控制矩阵非常巨大；而且每个用户可能访问的 资源有限，矩阵中许多格可能都为空，浪费存储空间； 因此较少使用。 简单的解决方法：将访问控制矩阵按行或按列进行划 分。如果按行划分，得到访问控制能力表；如果按列 划分，得到广泛应用的访问控制列表。
访问控制列表ACL

例如，前面访问控制矩阵实例对应的访问控制列表 如下所示：