3-2 传统的访问控制

into into into
A[p, f]; A[p, f]; A[p, f];
访问矩阵模型是在实际系统中实现保护策略和机制的抽象表 示。因此，它提供了一个帮助理解和描述保护系统的辅助概 念，一个便于比较不同保护系统的共同框架和一个研究保护 11 系统固有特性的形式模型
矩阵是动态增大的 创建一个客体就增加一个列 进来一个主体就增加一个行
zn
P1
{Own, r,e,w,a,d}
21
文件F的授权表-授权表的另一个例子
用户ID
文件目录 F
权限 {Own, r, e, w} {r, w} {r, Nhomakorabeae} {r}
A B C D
文件F
图 2.3 文件 F的 授权表
22
在实际应用中，如果对某客体可以访问的主 体很多，那么授权表会变得很长，占据较大 的存储空间，并且在监控程序作判别时，也 将花费较多的CPU时间。为此，可利用分组 与通配符对授权表进行简化
26
在客体o的授权表中，o的拥有者可以通 过删除某个主体在授权表中的项目来撤销该 主体对o的访问权限，或通过增加某个主体在 授权表中的项目来授予该主体对o的访问权限
27
访问控制矩阵

按列看是授权表内容

按行看是能力表内容
目标 用户 用户a 用户b 目标x R、W、Own R、W、Own 目标y 目标z R、W、Own

INTO T1 (column_4) VALUES ('Explicit value')
INSERT
INTO T1 (column_2,column_4) VALUES ('Explicit value', 'Explicit value')
2
每张表及数据项均可看作为一个客体
姓名 性别 年龄 班级 宿舍号码
它们可被访问、修改或删除 如网络节点、内存段(类似房间）
3
4.访问权限 (访问模式)
是指主体对客体可进行的特定访问操作 读(r) 写(w) 添加(a) 执行(e) 删除(d) c 控制权 o 拥有权:决定别的主体能否访问这个客体的 权限 以上表为例插入记录，其他信息看不见
30
例 在数据库中，对关系表的访问权限包括： READ 读表中的行，利用关系查询，定义基于关 系的视图 INSERT 行 DELETE 行 UPDATE 列 DROP 删除表
31
创建数据库表的一个例子
CREATE
TABLE publishers
(
pub_id char(4) NOT NULL CONSTRAINT UPKCL_pubind PRIMARY KEY CLUSTERED CHECK (pub_id IN ('1389', '0736', '0877', '1622', '1756') OR pub_id LIKE '99[0-9][0-9]'), pub_name varchar(40) NULL, city varchar(20) NULL, state char(2) NULL, country varchar(30) NULL DEFAULT('USA') )
第二讲 传统的访问控制
访问控制的基本任务是：防止非 法用户进入系统及合法用户对系 统资源的非法使用，它保证主体 对客体的所有直接访问都是经过 授权的。
1
一 基本概念
1 . 访问控制 不考虑身份鉴别的话，其内容主要包括 非法用户禁止访问合法数据 2.客体 是一种能够从其它客体或主体接收信息的实体 3.主体 是一种可以使信息在客体之间流动的实体
14
基于能力表的自主访问控制
能力（x, y）是一个许可证，持有者可 对客体x进行y中所允许的访问。在系统中， 为每一个主体分配一个能力表，主体s的能 力表由访问控制矩阵中s所对应的行中所有 非空项所组成。表长n≥0，其中xi表示客体， yi是访问矩阵A中A[s, xi]项所给出的权力
15
表2.2能力表 客体 权限
C
o
U
决定其它客体的被访问权
4
5．自主访问控制
是指对某个客体具有拥有权（或控制权）的主 体能够将对该客体的一种访问权或多种访问权 自主地授予其它主体，并在随后的任何时刻将 这些权限回收。
6．强制访问控制
系统根据主体被信任的程度和客体所包含的信 息的机密性来决定主体对客体的访问权，这种 控制往往可以通过对主体和客体赋以安全标记 来实现。
23
在一个实际的多用户系统中，用户往往可按 其所属部门或工作性质进行分类，将属于同 一部门或工作性质相同的人（例如，所有的 外科医生，或所有的内科医生）归为一个组。 一般来说，他们访问的客体以及访问客体的 方式基本上是相同的。这时，我们为每个组 分配一个组名，访问判决时可以按组名进行， 在授权表中相应地设置一个通配符“*”，它 可以替代任何组名或主体标识符
24
这时授权表中的主体用如下形式标识： 主体标识=ID.GN 其中，ID为主体标识符，GN表示该主体所属 的组名。例如，Alpha的授权如下：
表2.6 客体Alpha的授权表 主体标识 权限
小张.Crypto
*.Crypto 小李.* *.*
r, e, w
r, e r n
25
由授权表可以看出，属于Crypto组的所有主 体(*.Crypto)对客体都具有读与运行权， Crypto组的小张不仅对Alpha具有读和运行权， 还具有写权，无论哪个组的小李对Alpha只可 进行读访问。对于其它任何主体，无论属于 哪个组（*.*），对该客体都不具有任何模式 的访问权，通过这样简化，授权表可大大缩 小
用户c
用户d
R
R
R、W
R、W
28
3.授权的管理方式
⑴集中式管理 一个主体si在创建某个客体oj后，该主体就获得了对 这一客体的c权和其它所有可能权限。c权意味着 可以将它对oj所有其它（除c权以外）的访问权限 授予系统中任何一个主休，也可以撤销系统中任 何主体对oj的其它访问权限。其它主体因为对oj 不具有c权，因此即使他们对oj具有某些访问权限， 但它们也无权将这些权限转授给别的主体、或撤 销别的主体对oj的任何访问权限——在这种管理 模式下，对于任一客体oj，哪些主体可以对其进 行访问，可以进行什么样的访问，完全由oj的拥 有者决定。
s =1 A s2
{r, w,e} {r}
{r}
{r,w,e}
{c,r,w}
{c, r,e}

7
我们称（S, O, A）为系统的保护状态。系统的保护状态是变化的， 其变化是由一些命令引起的，这些命令则由改变访问矩阵的 一些基本操作的序列所组成，这些基本操作是：
.enter r into A[s, o] .delete r from A[s, o] .create Subject s' .create Object o' .destroy Subject s' .destroy Object o'
17
例：2.1
M1 P1 P2
{r,w,e} {r,a}
M2
F1
{r,w,a,d,e}
F2
P1
P2
{r,w,a,d}
18
图2.2给出的能力表，它提供了对过程A的代 码的读权和执行权，对数据对象B、C的读 权和对数据对象D的读权与写权
过程代码 数 据 数 据 数 据 图2.2 能力表的例子
19
A B C D
5
例：教务处查分。但要在学校的规定下进行。班 主任可以看，不能给学生看。必须有一些条件 限制。
会计和出纳规定不能由同一个人担任。
一个机构，即使一个文件是你起草的，但这 个文件有一个较高的密级，不具备资格或权限 看的人亦不能给他看。
6
二 自主访问控制
1.自主访问控制的矩阵模型
系统状态用一个有序三元组表示Q=(S,O,A)， 其中 S——主体的集合 O——客体的集合 A——访问矩阵，行对应于主体，列对应客体 设S={s1,s2},O={m1,m2,f1,f2,s1,s2} m1 m2 f1 f2 s1 s2
9

op enter r into A[si, oj]
条件 si∈S oj∈O
新状态 S'=S O'=O A'[si, oj]= A[si, oj]∪{r} A'[sk, ol]= A[sk, ol] 当(sk, ol)≠( si, oj)
delete r from A[si, oj]
si∈S oj∈O
对于任一客体oj，完全由oj的拥有者决定
29
⑵分散式管理
在分散式管理模式下，客体的拥有者不但可将 对该客体的访问权授予其它客体，而且可同时授 予他们对该客体相应访问权的控制权（或相应访 问权的授予权）。 （1）允许传递授权 （2）当一个主体撤销它所授予的对某个客体 的某种访问权限时，必须将由于这一授权而 引起的所有授权都予以撤销。

32
显示居住在加利福尼亚州且姓名不为 McBadden 的作者列。
SELECT au_fname, au_lname, phone AS Telephone FROM authors WHERE state = 'CA' and au_lname <> 'McBadden'

33
INSERT
客体 A B C D
权限 {r, e} {r } {r} {r, w}
访问控制表(ACL)
Obj1
userA Own
userB