授权与访问控制

4.2 访问控制策略
访问控制 自主 访问控制 强制 访问控制
基于角色 访问控制
访问控制模型是用于规定如何作出访问决定的模型。传统的访 问控制模型包括一组由操作规则定义的基本操作状态。典型的状态 包含一组主体（S）、一组对象（O）、一组访问权(A［S，O］)包括 读、写、执行和拥有。 访问控制模型涵盖对象、 主体和操作， 访问控制模型涵盖对象 、 主体和操作， 通过对访问者的控制达 到保护重要资源的目的。 到保护重要资源的目的。 对象包括终端、文本和文件，系统用户和 程序被定义为主体。操作是主体和对象的交互。访问控制模型除了 提供机密性和完整性外还提供记帐性。记帐性是通过审计访问记录 实现的，访问记录包括主体访问了什么对象和进行了什么操作。
4.2.3 基于角色的访问控制
3.基于角色的访问控制 3.基于角色的访问控制 是对自主控制和强制控制机制的改进，它基于用户在 系统中所起的作用来规定其访问权限。这个作用（即角色 rule）可被定义为与一个特定活动相关联的一组动作和责 任。角色包括职务特征、任务、责任、义务和资格。一个 用户可以扮演多个角色，一个角色也可以包含多个用户。 角色通常由系统管理员定义，也就是说，只有系统管 理员有权定义和分配角色，而且这种授权是强行给予用户 的，用户不能决定自己的权限，也不可以把得到的权限转 让给他人。
4.1 概念原理
设计访问控制的原则： ⑴访问控制的有效性：每次对任何资源的访问都必须是受控制的，并且 要能够实施必要的、严格的监督检查。 ⑵访问控制的可靠性：对目标的访问权限最好能依赖某个条件，并且要 防止主体通过已得到授权的访问路径去隐蔽地实现某些越权的访问，系 统还可以抵挡可能出现的各种攻击。 ⑶实体权限的时效性：是指实体所拥有的权限不能永远不变。 ⑷共享访问最小化 ⑸经济性：在保证安全有效性的前提下，应该是最小型、最简单化的。 ⑹方便性
客体 主体 张三 李四 王五 赵六 读、写 执行 No 读、写、删 No 读 No 读、执行 执行 写 读 读、写 目标1 目标2 目标3
…… …… …… …… …… ……
……
……
……
……
4.2.4 访问控制实现技术
访问控制矩阵的原理简单，实现起来并不难，但当用 户和文件都很多时，就需要占用大量的存储空间。 例如：如果系统有5000个用户和30000个文件，二 维存取控制矩阵就要有5000*30000个表项，将占用大 量的存储空间。 如果用户和文件系统要管理的文件有所增加，那么控 制矩阵将会成几何级数增长，对于增长的矩阵而言， 会有大量的空余空间。另外，查找这样大的表不仅不 方便，而且还浪费大量的CPU时间。所以在实际应用 时，常常要采用另外的变通方式来实现。
4.2.2 强制访问控制
2.强制访问控制 2.强制访问控制 强制访问控制（MAC-Mandatory Access Control） 强制访问控制是一种不允许主体干涉的访问控制类型。它是基于 安全标识和信息分级等信息敏感性的访问控制。 由一个授权机构为主体和客体分别定义固定的访问属性，且这些 访问权限不能通过用户来修改。B类计算机采用这种方法，常用于军 队和政府机构。 例如将数据分成绝密、机密、秘密和一般等几类。用户的访问权 限也类似定义，即拥有相应权限的用户可以访问对应安全级别的数据 ，从而避免了自主访问控制方法中出现的访问传递问题。这种方法具 有层次性的特点，高级别的权限可访问低级别的数据。
4.1 概念原理
授权是访问控制的核心，即控制不用户对各 种资源的访问权限，对授权控制的要求有： ⑴一致性——对资源的控制没有不一致性，各种定义
之间不冲突
⑵统一性——对所有资源进行管理控制时，安全策略
统一贯彻
⑶可审计性——对所有授权都要有记录可审查
4.1 概念原理
一般的访问控制系统至少包括以下实体和概念： 主体（Subject）是指发出访问操作、存取操作的主动方，造成了 主体 信息的流动和系统状态的改变，主体通常包括用户、进程和设备。 客体（Object）是指被访问的对象，一般可以是被调用的程序、进 客体 程、要存取的数据、信息、要访问的文件、系统设备、网络设备等资 源。 访问（Access）是使信息在主体和客体 访问（ ） 主体和客体间流动的一种交互方式。 访问许可（Access Permissions）指对所申请访问的批准。 访问许可 访问控制策略（Policy）由一整套严密的规则所组成，是实施访问 访问控制策略 控制的依据，依从于整个系统的安全要求。 访问控制的目的是为了限制访问主体对访问客体的访问权限，能访 问系统的何种资源以及如何使用这些资源。
RBAC模型
4.2.4 访问控制实现技术
访问控制实质上是对资源使用的限制，它决定主体是否被授权对 客体执行某种操作它依赖于鉴别使主体合法化，并将成员关系和 特权与主体联系起来。只有经授权的用户，才允许访问特定的网 络资源。 授权的权限是用来控制用户对目录、文件、设备的访问。 访问权限一般有8种：系统管理员权限、读权限、写权限、创建 权限、删除权限、修改权限、文件查找权限和访问控制权限。 八种访问权限的有效组合可以让用户有效地完成工作，同时又能 有效地控制用户对系统资源的访问。 访问控制的实现方法有很多种，这里介绍几种常用的方法。
4.2.4 访问控制实现技术
3.访问控制矩阵 3.访问控制矩阵（Access Control Matrix）
访问控制矩阵是上述两种方法的综合。访问控制矩阵模型是用状 态和状态转换进行定义的，系统和状态用矩阵表示，状态的转换则用 命令来进行描述。由系统中的全部用户（即主体）和系统中的所有存 取目标（即客体）组成的一个二维矩阵，如图：
4.1 概念原理
在实际中存在这样两种可能： ①身份认证被骗过或者被绕过，非法用户进入 了信息系统。 ②内部合法用户企图进行非法操作或者无意识 的误操作。
4.1 概念原理
在这样的情况下，如果没有保护措施的话，后 果将是不堪设想的。而授权与访问控制正是在 这种情况下起到了进一步的保护作用。就是说， 即使你能进入到系统中，如果你没有得到相应 的权限的话，你还是什么也不能做。
李四
客体1：W
客体2：W
客体i：D
客体j：R
客体n：R
王五
客体1：E
客体2：R
客体i：R
客体j：E
客体n：W
4.2.4 访问控制实现技术
目录表的优点：
非常自然直观，实现起来比较容易，能访问的客体及权限一目 了然，依照目录表实施监督也很方便。
目录表的缺点：
系统开销和浪费较大这是由于每个用户都有一张表，如果某个 客体允许所有用户访问，则将给每个用户逐一填写文件目录表， 造成系统重复性的额外开销。另外，由于这种机制允许客体属主 用户对访问权限实施传递转移并可多次进行，造成同一个文件可 能有多个属主的情形，各属主每次传递的权限也难以相同，甚至 可能会把客体改用别名，因此使得越权访问的用户大量存在，在 管理上极易出错，造成系统混乱，甚至崩溃。
基于角色的访问控制特点： (1)提供了三种授权管理的控制途径： ·改变客体的访问权限； ·改变角色的访问权限； ·改变主体所担任的角色。
对象1 授权 用户1 角色1 用户2 对象3 角色2 用户3 对象4 对象2
角色、用户、权限、授权管理之间的关系
4.2.3 基于角色的访问控制
角色3
角色4
包含
权限
4.2.4 访问控制实现技术
3.授权关系方案 3.授权关系方案
授权关系(Authorization relations) 使用关系来表示访问矩阵。 每个关系表示一个主体对一个客体的访问权限，并使用关系式数据库 来存放这个访问矩阵 访问矩阵，实现效率比较高。 访问矩阵
用户A 用户 UserA UserA UserA UserA
4.2.1 自主访问控制
1.自主访问控制 1.自主访问控制 自主访问控制（DAC-discretionary Access Control） 自主访问控制是由客体自主地确定各个主体对它的直接访问权限 （又称访问模式）。 这种方法能够控制主体对客体的直接访问，但不能控制主体对客 体的间接访问(利用访问的传递性，即A可访问B，B可访问C，于是A可 访问C)。 目前常用的操作系统中的文件系统，使用的是自主访问控制方式 ，因为这比较适合操作系统的资源的管理特性 。 自主访问控制经常通过访问控制列表实现，访问控制列表难于集 中进行访问控制和访问权力的管理。
Object1 User A Own R W O User B R O User C R W O
4.2.4 访问控制实现技术
访问控制表ACL是目前操作系统中使用最多的一种访问控制方式。 优点：相对直观、易于理解和方便实现，能较好地解决多个主体 访问一个客体的问题，不会像目录表那样因授权混乱而越权访问。 缺点：表项占用存储空间较多，并由于客体长度不同而出现存放 空间碎片造成浪费，每个客体被访问时都需要对访问控制列表从头至 尾扫描一遍，影响运行速度，浪费了存储空间。
4.2.4 访问控制实现技术
2.访问控制表方案 访问控制表方案 这是一种传统的授控机制，用访问矩阵表示，以客 体为索引。即每一个访问控制列表（ACL-Access Control List） 是客体（目标对象）的属性表，它给定每个主体（用户） 对给定的目标的访问权限，即一系列实体及其对资源的 访问权限的列表。
权限 R W W R
目标 Obj1 Obj1 Obj2 Obj2
4.3 Windows NT的安全访问控制 NT的安全访问控制
Windows NT的安全级别被列为TCSEC的C2级，是C类级别的最高级， 它的访问控制安全策略为自主访问控制DAC，它有以下几项重要指标： ①因为采用了自主访问控制（DAC），所以资源的属主必须能够控 制对资源的访问。 ②保护对象的重用（Object Reuse），操作系统必须能够保护对象在 完成使命后，不能再被其他对象所利用。比如，被释放的内存以及被 删除的文件不能被其他程序或进程再次读取。 ③强制的用户标识和认证，所有的用户都必须以唯一的登录标识 （ID）和密码来鉴别自身，而且只有授权的用户才能访问相应的资源。 ④可审计性和可记录性，系统管理员必须能够审核与安全性相关的 事件，并对其进行记录。时间的审核记录必须能够阻止非授权用户的 访问，对审核数据的访问必须只限于经过授权的管理员。