《信息系统安全机制-访问控制演示教学.ppt》由会员分享，可在线阅读，更多相关《信息系统安全机制-访问控制演示教学.ppt（42页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、访问控制技术(jsh)孙建伟计算机网络攻防对抗(dukng)技术实验室北京理工大学第一页，共42页。内容(nirng)概要n访问控制原理n自主访问控制n强制(qingzh)访问控制n基于角色的访问控制n常用操作系统中的访问控制第二页，共42页。概念(ginin)n通常(tngchng)应用在信息系统的安全设计上。n定义：在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。n目的：为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用；它决定用户能做什么，也决定代表一定用户身份的进程能做什么。n未授权的访问包括：未经授权的使用、泄露、修改、销毁信息以及颁发指令等。n非法用
2、户进入系统。n合法用户对系统资源的非法使用。第三页，共42页。n客体（Object）：规定需要保护的资源，又称作目标（target)。n主体（Subject）：或称为发起者(Initiator)，是一个主动(zhdng)的实体，规定可以访问该资源的实体，（通常指用户或代表用户执行的程序）。n授权（Authorization)：规定可对该资源执行的动作（例如读、写、执行或拒绝访问）。第四页，共42页。访问控制模型基本(jbn)组成第五页，共42页。任务(rn wu)n识别和确认访问系统的用户。n认证(rnzhng)n鉴权n决定该用户可以对某一系统资源进行何种类型的访问。n授权n审计第六页，共42
3、页。访问控制与其他安全服务的关系(gun x)模型 引用引用(ynyng)监监 控器控器身份身份(shn fen)认证认证访问控制访问控制授权数据库授权数据库用户用户目目标标目目标标目目标标目目标标目目标标审审 计计安全管理员安全管理员访问控访问控制决策制决策单元单元第七页，共42页。访问控制的一般实现访问控制的一般实现(shxin)机机制和方法制和方法一般实现机制一般实现机制 基于访问控制属性基于访问控制属性 访问控制表访问控制表/矩阵矩阵 基于用户基于用户(yngh)和资源分档（和资源分档（“安全标签安全标签”）多级访问控制多级访问控制常见实现方法常见实现方法 访问控制表（访问控制表（AC
4、L)访问能力表（访问能力表（Capabilities)授权关系表授权关系表第八页，共42页。访问(fngwn)矩阵n定义(dngy)客体(kt)(O)主体(S)权限(A)读读(R)写写(W)拥有拥有(Own)执行执行(E)更改更改(C)第九页，共42页。n举例(j l)MEM1 MEM2 File1File2File3 File4User1r,w,eo,r,eUser2r,w,eo,r,e问题：稀疏矩阵，浪费(lngfi)空间。第十页，共42页。访问控制类型(lixng)自主(zzh)访问控制强制(qingzh)访问控制基于角色访问控制访问控制第十一页，共42页。自主(zzh)访问控制Disc
5、retionary Access Control第十二页，共42页。概念(ginin)n基于对主体或主体所属的主体组的识别来限制对客体的访问，这种控制(kngzh)是自主的。n自主指主体能够自主地将访问权或访问权的某个子集授予其他主体。n如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问O。n缺点：n 信息在移动过程中其访问权限关系会被改变：安全问题第十三页，共42页。访问控制表（Access Control List）n基于访问控制矩阵列的自主访问控制。n每个客体(kt)都有一张ACL，用于说明可以访问该客体(kt)的主体及其访问权限。第十四页，共42页。n举例
6、(j l)：File1File2File3File4客体(kt)目录User1 o,r,wUser2 rUser3 r,wACL表User1 eUser2 o,eUser3 rUser4 eUser2 rUser3 ro:Ownerr:Readw:Writee:Excute第十五页，共42页。noj表示客体(kt)j，si.rw表示主体si具有rw属性。s0.rs1.es2.rwoj第十六页，共42页。n问题：n主体、客体数量(shling)大，影响访问效率。n解决：n引入用户组，用户可以属于多个组。n主体标识=主体.组名n如Liu.INFO表示INFO组的liu用户。n*.INFO表示所有组
7、中的用户。n*.*表示所有用户。第十七页，共42页。liu.INFO.rw表示(biosh)对INFO组的用户liu具有rw权限。*.INFO.rw表示(biosh)对INFO组的所有用户具有rw权限。*.*.rw表示(biosh)对所有用户具有rw权限。Liu.INFO.r*.INFO.e*.*.rwoj第十八页，共42页。访问(fngwn)能力表（Access Capabilities List）n基于访问控制矩阵(j zhn)行的自主访问控制。n为每个主体（用户）建立一张访问能力表，用于表示主体是否可以访问客体，以及用什么方式访问客体。第十九页，共42页。File1o,r,wFile2r
8、File3r,w文件名File2o,eFile3r客体(kt)(文件)File1File2File3o:Ownerr:Readw:Writee:Excuten举例(j l)：权限(qunxin)用户A的目录用户B的目录访问能力表第二十页，共42页。强制(qingzh)访问控制Mandatory Access Control第二十一页，共42页。概念(ginin)n为所有主体和客体指定安全级别，比如绝密级、机密级、秘密级、无秘级。n不同级别的主体对不同级别的客体的访问是在强制的安全策略下实现的。n只有(zhyu)安全管理员才能修改客体访问权和转移控制权。（对客体拥有者也不例外）第二十二页，共42
9、页。MAC模型(mxng)绝密级机密(jm)级秘密(mm)级无秘级写写读读完整性保密性第二十三页，共42页。n安全策略n保障信息完整性策略n级别低的主体可以读高级别客体(kt)的信息（不保密），级别低的主体不能写高级别的客体(kt)（保障信息完整性）n保障信息机密性策略n级别低的主体可以写高级别客体(kt)的信息（不保障信息完整性），级别低的主体不可以读高级别的客体(kt)（保密）第二十四页，共42页。n举例(j l)：nSecurity-Enhanced Linux(SELinux)for Red Hat Enterprise LinuxnAppArmor for SUSE Linux an
10、d UbuntunTrustedBSD for FreeBSD第二十五页，共42页。基于(jy)角色的访问控制Role Based Access Control第二十六页，共42页。概念(ginin)n起源于UNIX系统或别的操作系统中组的概念（基于组的自主访问控制的变体）n每个角色与一组用户和有关的动作相互(xingh)关联，角色中所属的用户可以有权执行这些操作n角色与组的区别n组：一组用户的集合n角色：一组用户的集合+一组操作权限的集合第二十七页，共42页。RBAC模型(mxng)用用 户户角角 色色权权 限限访问控制访问控制资资 源源1、认证、认证(rnzhng)2、分派、分派(fnpi
11、)3、请求、请求4、分派、分派5、访问、访问第二十八页，共42页。角色角色(ju s)(ju s)控制控制优势优势便于授权管理便于授权管理 授权操作：授权操作：n*m n*m 变成变成 n*r+r*m=r*(n+m)n*r+r*m=r*(n+m)便于角色划分便于角色划分便于赋予最小特权便于赋予最小特权(tqun)(tqun)便于职责分担便于职责分担便于目标分级便于目标分级第二十九页，共42页。一个(y)基于角色的访问控制的实例n在银行环境中，用户角色可以定义为出纳员、分行管理者、顾客、系统管理者和审计员n访问控制策略的一个例子如下(rxi)：n（1）允许一个出纳员修改顾客的帐号记录（包括存款和
12、取款、转帐等），并允许查询所有帐号的注册项n（2）允许一个分行管理者修改顾客的帐号记录（包括存款和取款，但不包括规定的资金数目的范围）并允许查询所有帐号的注册项，也允许创建和终止帐号第三十页，共42页。（3）允许一个顾客只询问他自己的帐号的注册项（4）允许系统的管理者询问系统的注册项和开关系统，但不允许读或修改用户的帐号信息（5）允许一个审计员读系统中的任何数据，但不允许修改任何事情系统需要添加出纳员、分行(fn xn)管理者、顾客、系统管理者和审计员角色所对应的用户，按照角色的权限对用于进行访问控制。第三十一页，共42页。常用(chn yn)操作系统中的访问控制第三十二页，共42页。国际安全
13、(nqun)标准n1984年，美国国防部发布了可信计算机系统评估标准（TCSEC），即桔皮书。nTCSEC采用等级评估的方法，将计算机安全分为A、B、C、D四个等级八个级别，D等安全级别最低，A安全级别最高。n现在大多数通用(tngyng)操作系统（WindowsNT、Linux等）为C2级别，即控制访问保护级。第三十三页，共42页。WindowsNT(自主(zzh)访问控制)nWindows安全(nqun)模型Security Account ManagerLocal Security Authority(LSA)Security Reference Monitor第三十四页，共42页。访问
14、控制过程组成部件：安全标识：帐号的唯一对应。访问令牌：LSA为用户(yngh)构造的，包括用户(yngh)名、所在组名、安全标识等。主体：操作和令牌。对象、资源、共享资源安全描述符：为共享资源创建的一组安全属性所有者安全标识、组安全标识、自主访问控制表、系统访问控制表、访问控制项。第三十五页，共42页。n登录(dn l)过程n服务器为工作站返回安全标识，服务器为本次登录(dn l)生成访问令牌n用户创建进程P时，用户的访问令牌复制为进程的访问令牌。nP进程访问对象时，SRM将进程访问令牌与对象的自主访问控制表进行比较，决定是否有权访问对象。第三十六页，共42页。nNTFS的访问控制n从文件中得
15、到安全描述符（包含自主访问控制表）；n与访问令牌（包含安全标识）一起由SRM进行(jnxng)访问检查第三十七页，共42页。Linux(自主(zzh)访问控制)n设备和目录同样看作文件。n三种权限：nR:readnW:writenX:excuten权限表示：n字母(zm)表示：rwx，不具有相应权限用-占位n8进制数表示：111，不具有相应权限相应位记0第三十八页，共42页。n四类(s li)用户：nroot：超级用户n所有者n所属组n其他用户第三十九页，共42页。n文件属性：ndrwxr-x-x 2 lucy work 1024 Jun 25 22:53 textn安全(nqun)属性：dr
16、wxr-x-x n所有者，所属组：lucy.workn安全(nqun)属性后9个字母规定了对所有者、所属组、其他用户的权限（各3位）。lucy.work.rwx*.work.x*.*.xtext第四十页，共42页。思考题n 了解数据库系统(xtng)的访问控制机制n 在一个IT系统(xtng)中如何对整个IT系统(xtng)的资源做统一的访问控制？第四十一页，共42页。作业(zuy)2 论文：Web Service架构下的授权(shuqun)与访问控制技术综述Web Service架构授权(shuqun)与访问控制原理WS-Security协议框架，基于SAML协议的访问控制实现框架Web Service的相关开发环境PPT格式第四十二页，共42页。