访问控制技术研究简介共30页文档
访问控制技术研究及应用
访问控制技术研究及应用访问控制技术是计算机安全领域的一个重要研究方向，其主要目标是确保只有授权的用户或实体能够访问系统资源。
访问控制技术在各种应用中被广泛应用，如操作系统、数据库管理系统、网络安全等领域。
本文将介绍访问控制技术的基本原理、主要分类、研究进展和应用情况。
一、访问控制技术的基本原理1.身份识别和认证：确定用户或实体的身份，常用的身份验证方式有密码、指纹、虹膜等生物特征识别技术。
2.权限授权：根据用户或实体的身份和权限进行授权，确定其能够访问的资源，常用的权限授权策略有访问控制列表（ACL）、角色基于访问控制（RBAC）等。
3.安全策略：定义系统的安全策略，包括资源的保护级别、访问控制策略、访问审计等。
二、访问控制技术的主要分类根据实现方式和策略的不同，访问控制技术可以分为以下几类：1.逻辑访问控制：基于用户或实体的身份和权限来控制对系统资源的访问，常用的技术有身份认证、访问控制列表等。
2.物理访问控制：通过物理手段来限制对资源的访问，如门禁系统、安全门等。
3.操作系统级访问控制：主要包括基于角色的访问控制、强制访问控制（MAC）等技术，用于保护操作系统资源。
4.数据库访问控制：用于限制对数据库中数据的访问权限，常用的技术有基于角色的访问控制、行级访问控制等。
5.网络访问控制：主要包括防火墙、入侵检测系统等技术，用于保护网络资源免受未经授权的访问。
三、访问控制技术的研究进展1.基于属性访问控制（ABAC）：ABAC是一种新兴的访问控制模型，它通过基于属性的访问策略来控制对资源的访问，相比传统的基于身份和权限的访问控制更加灵活和精细。
2.基于机器学习的访问控制：利用机器学习技术来进行访问控制决策，通过分析大量的历史数据和行为模式来识别异常访问行为，提高对未知攻击的检测和预防能力。
3.云计算访问控制：由于云计算环境中的资源共享性和虚拟化特性，访问控制变得更加复杂和关键。
因此，研究人员提出了基于角色的云访问控制、多租户访问控制等技术，以应对云环境下的安全挑战。
访问控制技术研究简介
2020/1/16
访问控制技术研究简介
12
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于风险的访问控制
(Risk Based Access Control）
将风险作为访问控制策略的基本属性，使得访问控制 策略能够基于风险建立偏序关系，通过对用户权限的 优化配置，控制高风险的授权和权限委托行为，从而 提高系统的安全性
将访问权限与任务相结合,每个任务的执行都被看作是 主体使用相关访问权限访问客体的过程。
系统授予给用户的访问权限,不仅仅与主体、客体有关, 还与主体当前执行的任务、任务的状态有关。
2020/1/16
访问控制技术研究简介
10
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于任务的访问控制（续）
满足职责分离约束的最大跨域访问问题，
寻找最小集合的管理员（证明为NPC问题） 寻找满足约束的最大跨域访问集合（证明为NPC问题） 最小权限问题
Zhuo Tang：Request-Driven Role Mapping Framework for Secure Interoperation in Multi-Domain Environments）
UCON 模型为研究下一代访问控制提供了一种新方法,被称 作下一代访问控制模型.
2020/1/16
访问控制技术研究简介
16
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
多自治域互操作访问控制技术
多自治域环境中的访问控制策略是保证各自治 域间进行安全互操作的关键技术。
IEC系列标准简介中
)
实
origin
(
谁发出服务
)
第19页/共143页
报告
1、BRCB将(数据变化，品质变化，数据刷新引起的)内部事件立刻或缓冲后发送，不会因为通讯中断而丢失。BRCB提供SOE功能。2、URCB将(数据变化，品质变化，数据刷新引起的)内部事件尽可能立刻发送，如果关联不存在或者通道阻塞，事件将被丢弃。
第20页/共143页
报告
报告模型允许向多个客户发送报告，对于URCB，有两种实现方法：1、服务器创建多个URCB的实例，用下标(1..n)来区分每一个实例名。所有客户都可以访问这些实例。客户可配置成直接使用特定实例，或者自己浏览并找到一个可用的实例。若URCB为一个客户保留，所有其它客户不得存取其参数。2、服务器根据客户连接或认证视窗来控制对URCB实例的访问。实例名对每个客户都是相同的，服务器将管理各实例的分离。使用这些实例的客户数目受服务器的资源限制。
第3页/共143页
Client/Server 服务
第4页/共143页
服务模型通用服务数据集(DATA-SET)关联(Application association)报告控制块 (REPORT-CONTROL-BLOCK)控制(CONTROL)定值组控制块(SETTING-GROUP-CONTROL-BLOCK) 通用变电站事件 (Generic substion even)取代模型(Substitution)时间和时间同步模型(Time & time-synchronization)日志控制块 (LOG-CONTROL-BLOCK)
数据交换模型
IED
智能电子设备
具有可访问的数据模型
WHAT
交换什么
访问控制技术研究简介-资料
2019/10/17
访问控制技术研究简介
8
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于角色的访问控制（续）
RBAC时态约束模型
为满足用户－角色关系以及角色之间的关系的动态性 要求，Bertino等人于2000年提出Temporal-RBAC模 型。该模型支持角色的周期使能和角色激活的时序依 赖关系
属性的易变性(mutable)和控制的连续性（continuity） 是UCON 模型与其他访问控制模型的最大差别。
2019/10/17
访问控制技术研究简介
14
使用控制模型
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
UCON现有研究分类：
UCONABC核心模型 授权策略语言、语法和框架 安全性分析 网格计算环境 授权框架 协作环境授权框架 面向普适计算环境 面向移动自组网 面向网络服务 面向数字版权管理 多自治域环境授权
访问控制技术研究简介
9
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于任务的访问控制
(task-based access control,简称TBAC)
TBAC模型是一种基于任务、采用动态授权的主动安 全模型。它从应用和企业的角度来解决安全问题。它 采用面向任务的观点,从任务的角度来建立安全模型和 实现安全机制,在任务处理的过程中提供实时的安全管 理。 TBAC的基本思想：
现有的风险等级划分方法：
抽取风险因素 授予风险因素权重 简单累加得出风险等级
Jame BD 准备下一步将风险引入到访问控制中。
2019/10/17
访问控制技术研究简介
13
访问控制技术研究简介
2019/11/20
访问控制技术研究简介
20
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
访问控制技术应用环境
网格(grid)
目前常用的有3 种网格计算环境:Condor,Legion 和Globus。 网格计算中的访问控制一般是通过身份证书和本地审计来
起源：20 世纪70 年代,当时是为了满足管理大型主机系统 上共享数据授权访问的需要。
发展：访问控制作为系统安全的关键技术,既是一个古老 的内容又面临着挑战。随着计算机技术和应用的发展,特 别是网络应用的发展,这一技术的思想和方法迅速应用于 信息系统的各个领域。对网络安全的研究成为当前的研究 热点。
映射机制（主体映射，客体映射，角色映射，属性 映射）
委托机制 指定机制 安全联盟机制 信任管理机制 等等
2019/11/20
访问控制技术研究简介
17
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
多自治域互操作访问控制技术
互操作代表性模型
IRBAC2000(角色映射，适用于具有可信任的控制 中心环境)
DRBAC（角色委托，使用于动态结盟环境） Trust Management（信任管理）
2019/11/20
访问控制技术研究简介
18
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
多自治域互操作访问控制技术
互操作研究分类：
1.构建跨域授权框架或体系结构
Purdue大学的Shafiq等人提出了一套集中式的建立多域互操 作关系框架
它利用上读/下写来保证数据的完整性,利用下读/上写 来保证数据的保密性。
MAC是由美国政府和军方联合研究出的一种控制技术, 目的是为了实现比DAC 更为严格的访问控制策略。
课件15：第6-45节自主与强制访问控制
特别是增加与删除用户这两个进程内部包含检 验功能，可以检查调用者（即主体）是否有权 进行这种操作。
面向对象技术与抽象数据类型都要求数据隐蔽 功能，即数据隐藏在模块内部，这些数据中有 的局部于模块内，外界永远不得访问；有的虽 然允许外界访问，但必须通过模块接口才能完 成。面向过程的保护机制可以实现这种信息隐 蔽要求，但要付出执行效率的代价
8
访问控制矩阵示意
O1 O2 O3 O4 O5 S1 S2 S3 S4
S1 rw or wx
rr
S2
rw
c c
S3 r rw rw
c
S4 rw r rw rw
x
xo
9
一、 基于行的访问控制机制
这种机制是把每个主体对所在行上的有 关客体（即非空矩阵元素所对应的那些 客体）的访问控制信息以表的形式附加 给该主体，根据表中的内容不同又分为 不同的具体实现机制。
1、系统不知谁访问了客体。对客体访问 的口令是手工分发的，不需要系统参与
2、安全性脆弱。需要把该客体的口令写 在程序中，这样很容易造成口令的泄露。
3、使用不方便。每个用户需要记忆许多 需要访问的客体的口令，很不友好。
4、管理麻烦。撤消某用户对某客体的访 问权，只能改变该客体的口令，必须通 知新口令给其他用户。
22
三、 面向过程的访问控制
面向过程的访问控制是指在主体访问客 体的过程中对主体的访问操作进行监视 与限制。例如，对于只有读权的主体， 就要控制它不能对客体进行修改。要实 现面向过程的访问控制就要建立一个对 客体访问进行控制的过程，该过程能够 自己进行用户认证，以此加强操作系统 的基本认证能力。
28
四、 访问许可权与访问操作权
在DAC策略下，访问许可（access permission）权和访问操作权是两个有区 别的概念。
深信服零信任访问控制系统 aTrust 用户手册说明书
深信服零信任访问控制系统aTrust 用户手册产品版本 2.1.17文档版本05发布日期2022-05-17深信服科技股份有限公司版权声明版权所有© 深信服科技股份有限公司2022。
保留一切权利（包括但不限于修订、最终解释权）。
除非深信服科技股份有限公司（以下简称“深信服公司”）另行声明或授权，否则本文件及本文件的相关内容所包含或涉及的文字、图像、图片、照片、音频、视频、图表、色彩、版面设计等的所有知识产权（包括但不限于版权、商标权、专利权、商业秘密等）及相关权利，均归深信服公司或其关联公司所有。
未经深信服公司书面许可，任何人不得擅自对本文件及其内容进行使用（包括但不限于复制、转载、摘编、修改、或以其他方式展示、传播等）。
特别提示您购买的产品、服务或特性等应受深信服科技股份有限公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。
除非合同另有约定，深信服科技股份有限公司对本文档内容不做任何明示或默示的声明或保证。
由于产品版本升级或其他原因，本文档内容会不定期进行更新，如有变更，恕不另行通知。
除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保，深信服科技股份有限公司不对本文档中的遗漏、变更及错误所导致的损失和损害承担任何责任。
联系我们售前咨询热线：400-806-6868售后服务热线：400-630-6430 （中国大陆）您也可以访问深信服科技官方网站：获得最新技术和产品信息7*24小时智能客服，排障咨询好帮手：https:///plugin.php?id=common_plug:online&ref=文档深信服零信任访问控制系统aTrust用户手册前言修订记录修订记录累积了每次文档更新的说明。
最新版本的文档包含以前所有文档版本的更新内容。
符号说明在本文中可能出现下列标志，它们所代表的含义如下。
访问控制技术研究综述
访问控制起源于20世纪60年代，是一种重要的信息安全技术。
所谓访问控制，就是通过某种途径显式地准许或限制访问能力及范围，从而限制对关键资源的访问，防止非法用户侵入或者合法用户的不慎操作造成破坏。
访问控制一般包括主体、客体和安全访问规则3个元素。
主体是指发出访问操作、存取要求的主动方，通常指用户或某个进程；客体是一种信息实体，指系统中的信息和资源，可以是文件、数据、页面、程序等；访问规则规定了哪些主体能够访问相应的客体，访问权限有多大。
1访问控制一般原理在访问控制中，访问可以对一个系统或在一个系统内部进行。
在访问控制框架内主要涉及请求访问、通知访问结果以及提交访问信息。
访问控制的一般模型见图1。
该模型包含了主体、客体、访问控制实施模块和访问控制决策模块。
实施模块执行访问控制机制，根据主体提出的访问请求和决策规则对访问请求进行分析处理，在授权范围内，允许主体对客体进行有限的访问；决策模块表示一组访问控制规则和策略，它控制着主体的访问许可，限制其在什么条件下可以访问哪些客体。
2传统访问控制早期的访问控制安全模型有自主访问控制（Discretionary Access Control,DAC ）模型和强制访问控制（M andatory Access Control,M AC ）模型，这两种模型在20世纪80年代以前占据着主导地位。
DAC 模型是根据自主访问策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体。
DAC 模型的主要特点是授权灵活，系统中的主体可以将其拥有的权限自主地授予其他用户；缺点是权限很容易因传递而出现失控，进而导致信息泄漏。
M AC 模型是一种多级访问控制策略模型，它的主要特点是系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
引言 访问控制代表性模型
【DAC，MAC，RBAC，TBAC，LBAC，Risk-BAC,UCON】
多自治域互操作访问控制技术 访问控制技术应用环境 我目前的研究
16.05.2020
访问控制技术研究简介
1
引言
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
它利用上读/下写来保证数据的完整性,利用下读/上写 来保证数据的保密性。
MAC是由美国政府和军方联合研究出的一种控制技术, 目的是为了实现比DAC 更为严格的访问控制策略。
16.05.2020
访问控制技术研究简介
4
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于角色的访问控制
(role-based access control,简称RBAC)
16.05.2020
访问控制技术研究简介
6
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于角色的访问控制（续）
RBAC管理模型 ARBAC97由George Mason University的R. Sandhu
于99年提出，基本思想是在RBAC模型内部实现对各 部分元素的管理，管理包括：用户角色管理，权限角 色管理，角色层次关系管理，限制管理等。 针对ARBAC97模型的完整性和实用性等方面的不足， Crampton等人提出了RHA系列基于角色的管理模型 。 Koch等人用图论的方法将SARBAC模型进一步模型 化
将访问权限与任务相结合,每个任务的执行都被看作是 主体使用相关访问权限访问客体的过程。
系统授予给用户的访问权限,不仅仅与主体、客体有关, 还与主体当前执行的任务、任务的状态有关。
16.05.2020
访问控制技术研究简介
9
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于任务的访问控制（续）
1992年Ferraiolo等人最早提出了基于角色的访问控制这一概 念。
2019年Sandhu等人按模型的复杂程度，将RBAC模型分为四 类，分别是基本的基于角色的访问控制模型（RBAC0）、具 有角色层次的访问控制模型（RBAC1）、具有约束的RBAC 模型（RBAC2）和统一角色层次和约束的RBAC模型 （RBAC3），统称为RBAC的参考模型。
TBAC的特点： 不能很好的适应复杂的企业环境。 TBAC中并没有将角色与任务清楚地分离开来,
也不支持角色的层次等级; 访问控制并非都是主动的,也有属于被动形式
16.05.2020
访问控制技术研究简介
7
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于角色的访问控制（续）
RBAC时态约束模型
为满足用户－角色关系以及角色之间的关系的动态性 要求，Bertino等人于2000年提出Temporal-RBAC模 型。该模型支持角色的周期使能和角色激活的时序依 赖关系
2019年Ferraiolo等人对RBAC模型的各种描述方法进行了总 结，并结合基于角色的RBAC模型的管理，提出了NIST的标 准草案。
2019年，ANSI提出RBAC标准对RBAC模型及其管理模型中 的函数等进行了规范说明
16.05.2020
访问控制技术研究简介
5
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
16.05.2020
访问控制技术研学计算机学院智能与分布式计算机实验室（IDC）
(discretionary access control, 简称DAC)
1971年由Lampson 针对当时多用户计算机系统的数 据保护而提出。
DAC 根据主体的身份和授权来决定访问模式，但信 息在移动过程中主体可能会将访问权限传递给其他主 体，使访问权限关系发生改变。
基于角色的访问控制（续）
起因：Intranet的广泛应用使网上信息的完整性要求超过 了机密性, 而传统的DAC和MAC策略难以提供这方面的支 持，于是基于角色的访问控制被提出并被广泛接受。
驱动：RBAC 发展的动力是在简化安全策略管理的同时, 允许灵活地定义安全策略
应用：目前,RBAC 被应用在各个企业领域,包括操作系统、 数据库管理系统、PKI、工作流管理系统和Web 服务等领 域
DAC策略在安全性要求不高的系统中应用比较普遍， 在安全性要求较高的情况下，则需要采取其他的访问 控制策略。
16.05.2020
访问控制技术研究简介
3
强制访问控制
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
(mandatory access control,简称MAC)
MAC 根据主体和客体的安全级别标记来决定访问模 式，实现信息的单向流动，但它过于强调保密性，对 系统的授权管理不便，不够灵活。
定义：访问控制(Access Control)是实施允许被授权的主 体对某些客体的访问，同时拒绝向非授权的主体提供服务 的策略。
起源：20 世纪70 年代,当时是为了满足管理大型主机系统 上共享数据授权访问的需要。
发展：访问控制作为系统安全的关键技术,既是一个古老 的内容又面临着挑战。随着计算机技术和应用的发展,特 别是网络应用的发展,这一技术的思想和方法迅速应用于 信息系统的各个领域。对网络安全的研究成为当前的研究 热点。
2019年Joshi等人[16]提出了通用的时态RBAC模型 （Generalized Temporal Role-based Access Control Model）。较之TRBAC，该模型支持更加广泛的时态 约束，能够表达角色之间、用户－角色关系和角色－ 权限关系上周期性、持续性的关系。
16.05.2020
访问控制技术研究简介
8
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于任务的访问控制
(task-based access control,简称TBAC)
TBAC模型是一种基于任务、采用动态授权的主动安 全模型。它从应用和企业的角度来解决安全问题。它 采用面向任务的观点,从任务的角度来建立安全模型和 实现安全机制,在任务处理的过程中提供实时的安全管 理。 TBAC的基本思想：