计算机网络安全体系(1)

u A： 验证安全保护类 要求用形式化的方法证明系统的安全型 A1：验证设计级保护＝B3+设计安全性证明 A2：验证实现级保护, 无法提出具体要求
计算机网络安全体系(1)
我国的等级评测标准（GB17859-99）
u 第一级用户自主保护级 身份认证，自主型访问控制
u 第二级系统审计保护级 认证、自主型访问控制、审计
计算机网络安全体系(1)
提纲
u 安全体系结构 u 安全模型 什么是安全模型 安全模型的种类及举例 ：访问控制模型 BLP模型 ；完
整性模型（ Biba ） u 安全评估标准
计算机网络安全体系(1)
什么是安全模型？
u 安全模型是一个系统安全政策的形式化描述（数学描 述）
一个系统是安全的，当切仅当它所有的状态都满足安全政 策的规定。
u 安全模型的意义 TCSEC的提出使安全模型引起了更多的关注 安全模型能够精确地表达系统对安全性的需求，增强对系
统安全性的理解； 有助于系统实现 有助于系统安全性的证明或验证
计算机网络安全体系(1)
常见的安全模型
u 访问控制模型（Access Control Model） u 完整性模型(integrity model) u 信息流模型(Information flow )
、密码强度等 。 u 用户 —消费者：可以用评估结果决定一个已评估的产品和系
计算机网络安全体系(1)
u 安全体系结构 u 安全模型 u 安全等级评估
提纲
计算机网络安全体系(1)
安全等级评估
u 安全等级评估的意义 计算机和网络的应用环境不同 对安全性的要求也不同 安全等级评估可以为用户选择计算机系统提供指导、依
据或参考
计算机网络安全体系(1)
安全等级评估标准的发展历程
计算机网络安全体系(1)
计算机网络安全体系(1)
安全机制
u 访问控制机制 ——实体必须经过认证 ——访问控制可以基于以下手段：
集中的授权信息库 ;主体的能力表； 客体的访问 控制链表 ;主体和客体的安全标签或安全级别 ;路 由、时间、位置等 ——可以用在源点、中间、或目的
计算机网络安全体系(1)
安全机制
u 数据完整性机制 单个数据单元 ； 数据单元序列 ：序列号 ，时间戳 u 认证交换机制（Authentication Exchange） （1）用于认证交换的技术
计算机网络安全体系(1)
安全服务、安全机制、安全技术
安全服务 安全服务 安全服务
计算机网络安全体系(1)
OSI 安全体系结构（ISO 7498-2）
u 开放式系统互联安全体系结构主要内容： 相关概念的定义：安全服务、安全机制 定义了五种安全服务（安全功能） 定义了九种安全机制 安全服务和安全机制之间的关系 安全服务在功能层上的配置 安全管理
用性的要求
计算机网络安全体系(1)
BLP 模型
u BLP模型基于有限状态自动机的概念
计算机网络安全体系(1)
BLP 模型
u 安全特性(Security property) Simple security property (no read up)reading of information by a
安全服务和安全机制的关系
计算机网络安全体系(1)
安全服务与协议层中的位置
计算机网络安全体系(1)
OSI的安全管理
u OSI安全管理与这样一些操作有关, 它们不 是正常的通 信情况但却为支持与控制这些通信的安全所必需
u 安全的管理 u 管理的安全
被管理对象 操作
报告
计算机网络安全体系(1)
OSI安全管理的分类
计算机网络安全体系(1)
五类安全服务（2）
u 数据完整性（Integrity） 连接的完整性 无连接的完整性 选择字段的完整性 带恢复的完整性 u 抗抵赖（Non-Repudation） 数据原发抗抵赖 数据交付抗抵赖
计算机网络安全体系(1)
安全机制
u 加密机制（密码机制） 可以支持数据保密性、完整性等多种安全服务 算法可以是可逆的，也可以是不可逆的 u 数字签名机制 签名：使用签名者独有的私有信息 验证：使用公开的信息和规程；
计算机网络安全体系(1)
什么是安全体系结构
u 体系结构(Architecture) Architecture = Components + Connection + Constraints 体系结构＝部件＋关系＋约束 u 网络安全体系结构
部件：安全服务、安全机制、功能层 关系：安全服务与安全机制、安全服务与功能层 约束：安全政策(Security Policy) Security policy is the set of criteria for provision of security services
安全机制
u 普遍性安全机制 可信功能度(trusted functionality) 安全标签（security Labels） 事件检测(Event Detection) 审计跟踪(security audit Trail) 安全恢复(security recovery)
计算机网络安全体系(1)
带有某些安全标记的数据可能被安全策略禁止通 过某 些子网、中继或链路。连接的发起者(或无连接数 据 单元的发送者)可以指定路由选择说明,由它请求回 避 某些特定的子网络、链路或中继。
计算机网络安全体系(1)
安全机制
u 公证机制 有关在两个或多个实体之间通信的数据的性质, 如
它 的完整性、原发、时间和目的地等能够借助公证机 制 而得到确保。
认证信息，如口令； 密码技术 ；被认证实体的 特征 。 （2）为防止重放攻击，常与以下技术结合使用 时间戳， 两次或三次握手 ，数字签名
计算机网络安全体系(1)
安全机制
u 通信业务流填充 u 路由控制
路由能动态地或预定地选取, 以便只使用物理上安 全 的子网、中继站或链路。
在检测到持续的操作攻击时, 端系统可希望指示网 络 服务的提供者经不同的路由建立连接。
安全等级评估
u 美国： –Trusted Computer System Evaluation Criteria(TCSEC) –Trusted Network Interpretation (TNI) –Trusted NTDI u 欧洲： ITSEC u 加拿大：CTCPEC u ISO : CC( Common Criteria for Information Technology Security
u 系统安全管理 系统安全管理涉及总的OSI环境安全方面的管理。 u 安全服务管理 u 安全机制管理 密钥管理；加密管理；数字签名管理；访问控制管理；数
据完整性管理；鉴别管理；通信业务填充管理；路由选 择控制管理；公证管理
计算机网络安全体系(1)
TCP/IP安全机制
u 认证、保密、完整性、访问控制
计算机网络安全体系(1)
TCSEC 四类、七个级别
u D ： 最小保护类，D级 u C：自主保护类 —安全措施：自主访问控制，审计跟踪 —C1：自主安全保护 u 用户与数据隔离 —C2：可控的安全保护
唯一标识 审计记录 可追查责任
计算机网络安全体系(1)
TCSEC 四类、七个级别
u B： 强制安全保护类 要求实行强制型访问控制政策 B1 ：标记安全保护 B2： 结构安全保护 B3： 安全区域级保护
subject at a lower sensitivity level from an object at highersensitivity level is not permitted. *(star) security property (no write down) writing of information by a subject a a higher level of sensitivity to an object at a lower level of sensitivity is not permitted
计算机网络安全体系(1)
BLP 模型
计算机网络安全体系(1)
BLP 模型
u BLP 模型的信息流
计算机网络安全体系(1)
BLP 模型
计算机网络安全体系(1)
BLP 模型
计算机网络安全体系(1)
计算机网络安全体系(1)
计算机网络安全体系(1)
完整性模型
u Biba 模型 安全政策需求：完整性 规则：no read down , no write up
计算机网络安全体系(1)
TCSEC 相关概念
u 自主型访问控制（Discretionary Access Control） 客体的所有者可以将访问权限自主的分配个其他主
体 灵活; u 强制型访问控制（Mandatory AccessControl）
由安全管理员决定主体和客体的属性 由操作系统规 则根据属性决定访问控制权限。
计算机网络安全体系(1)
访问控制模型
u 控制主体对客体的访问 一次访问可以描述为一个三元组：<S，A ,O >
u 访问控制政策是一组规则，决定一个特定 的主体 是否有权限访问一个客体 F(s, a, o) à{True, False}
计算机网络安全体系(1)
访问控制矩阵
u 按列看是客体的访问控制列表（accesscontrol list） u 按行看是主体的访问能力表(capability list)
计算机网络安全体系(1)
12/8
计算机网络安全体系(1)
提纲
u 安全体系结构 u 安全模型 u 安全评估标准
计算机网络安全体系(1)
提纲
u 安全体系结构 什么是安全体系结构 安全体系结构 五种安全服务 九种安全机制 安全服务与安全机制的关系 安全服务在功能层上的配置 安全管理 u 安全模型 u 安全评估标准