澳门永利5454a传统的访 问控制模型包括一组由操作规则定义的基本操作状态

当前位置:澳门永利5454a > 澳门永利5454a > 澳门永利5454a传统的访 问控制模型包括一组由操作规则定义的基本操作状态
作者: 澳门永利5454a|来源: http://www.aaddhimagan.com|栏目:澳门永利5454a

文章关键词:澳门永利5454a,访问授权

  第四章 授权与访问控制 4.1 概念原理 4.2 访问控制策略 4.3 Windows NT的安全访问控制 本章学习目标 本章重点介绍访问控制技术基本概念、作用、分 类、基本原理以及基本实现技术等。 通过本章的学习,我们应该掌握以下内容: 理解访问控制技术的定义、分类、手段、模型; 了解Windows NT的安全访问控制。 信息系统的授权(Authorization)与访问控制(Access Control)是信息安全保障系统防范和保护的主要策略, 它的主要任务是保证信息系统的计算机及网络资源不 被内部、外部人员非法使用和非正常访问,它是维护 安全的重要手段,各种安全策略必须相互配合才能真 正起到保护作用。 授权是资源的所有者或者控制者授予其他人访问此资 源的权限。访问控制是一种加强授权的方法。资源包 括信息资源、处理资源、通信资源和物理资源。 4.1 概念原理 在实际中存在这样两种可能: ①身份认证被骗过或者被绕过,非法用户进入 了信息系统。 ②内部合法用户企图进行非法操作或者无意识 的误操作。 4.1 概念原理 在这样的情况下,如果没有保护措施的话,后 果将是不堪设想的。而授权与访问控制正是在 这种情况下起到了进一步的保护作用。就是说, 即使你能进入到系统中,如果你没有得到相应 的权限的话,你还是什么也不能做。 4.1 概念原理 授权是访问控制的核心,即控制不同用户对各 种资源的访问权限,对授权控制的要求有: ⑴一致性——对资源的控制没有不一致性,各种定义 之间不冲突 ⑵统一性——对所有资源进行管理控制时,安全策略 统一贯彻 ⑶可审计性——对所有授权都要有记录可审查 4.1 概念原理 一般的访问控制系统至少包括以下实体和概念: 主体(Subject)是指发出访问操作、存取操作的主动方,造成了 主体 信息的流动和系统状态的改变,主体通常包括用户、进程和设备。 客体(Object)是指被访问的对象,一般可以是被调用的程序、进 客体 程、要存取的数据、信息、要访问的文件、系统设备、网络设备等资 源。 访问(Access)是使信息在主体和客体 访问( ) 主体和客体间流动的一种交互方式。 访问许可(Access Permissions)指对所申请访问的批准。 访问许可 访问控制策略(Policy)由一整套严密的规则所组成,是实施访问 访问控制策略 控制的依据,依从于整个系统的安全要求。 访问控制的目的是为了限制访问主体对访问客体的访问权限,能访 问系统的何种资源以及如何使用这些资源。 4.1 概念原理 设计访问控制的原则: ⑴访问控制的有效性:每次对任何资源的访问都必须是受控制的,并且 要能够实施必要的、严格的监督检查。 ⑵访问控制的可靠性:对目标的访问权限最好能依赖某个条件,并且要 防止主体通过已得到授权的访问路径去隐蔽地实现某些越权的访问,系 统还可以抵挡可能出现的各种攻击。 ⑶实体权限的时效性:是指实体所拥有的权限不能永远不变。 ⑷共享访问最小化 ⑸经济性:在保证安全有效性的前提下,应该是最小型、最简单化的。 ⑹方便性 4.2 访问控制策略 访问控制 自主 访问控制 强制 访问控制 基于角色 访问控制 访问控制模型是用于规定如何作出访问决定的模型。传统的访 问控制模型包括一组由操作规则定义的基本操作状态。典型的状态 包含一组主体(S)、一组对象(O)、一组访问权(A[S,O])包括 读、写、执行和拥有。 访问控制模型涵盖对象、 主体和操作, 访问控制模型涵盖对象 、 主体和操作, 通过对访问者的控制达 到保护重要资源的目的。 到保护重要资源的目的。 对象包括终端、文本和文件,系统用户和 程序被定义为主体。操作是主体和对象的交互。访问控制模型除了 提供机密性和完整性外还提供记帐性。记帐性是通过审计访问记录 实现的,访问记录包括主体访问了什么对象和进行了什么操作。 4.2.1 自主访问控制 1.自主访问控制 1.自主访问控制 自主访问控制(DAC-discretionary Access Control) 自主访问控制是由客体自主地确定各个主体对它的直接访问权限 (又称访问模式)。 这种方法能够控制主体对客体的直接访问,但不能控制主体对客 体的间接访问(利用访问的传递性,即A可访问B,B可访问C,于是A可 访问C)。 目前常用的操作系统中的文件系统,使用的是自主访问控制方式 ,因为这比较适合操作系统的资源的管理特性 。 自主访问控制经常通过访问控制列表实现,访问控制列表难于集 中进行访问控制和访问权力的管理。 4.2.2 强制访问控制 2.强制访问控制 2.强制访问控制 强制访问控制(MAC-Mandatory Access Control) 强制访问控制是一种不允许主体干涉的访问控制类型。它是基于 安全标识和信息分级等信息敏感性的访问控制。 由一个授权机构为主体和客体分别定义固定的访问属性,且这些 访问权限不能通过用户来修改。B类计算机采用这种方法,常用于军 队和政府机构。 例如将数据分成绝密、机密、秘密和一般等几类。用户的访问权 限也类似定义,即拥有相应权限的用户可以访问对应安全级别的数据 ,从而避免了自主访问控制方法中出现的访问传递问题。这种方法具 有层次性的特点,高级别的权限可访问低级别的数据。 4.2.3 基于角色的访问控制 3.基于角色的访问控制 3.基于角色的访问控制 是对自主控制和强制控制机制的改进,它基于用户在 系统中所起的作用来规定其访问权限。这个作用(即角色 rule)可被定义为与一个特定活动相关联的一组动作和责 任。角色包括职务特征、任务、责任、义务和资格。一个 用户可以扮演多个角色,一个角色也可以包含多个用户。 角色通常由系统管理员定义,也就是说,只有系统管 理员有权定义和分配角色,而且这种授权是强行给予用户 的,用户不能决定自己的权限,也不可以把得到的权限转 让给他人。 基于角色的访问控制特点: (1)提供了三种授权管理的控制途径: ·改变客体的访问权限; ·改变角色的访问权限; ·改变主体所担任的角色。 对象1 授权 用户1 角色1 用户2 对象3 角色2 用户3 对象4 对象2 角色、用户、权限、授权管理之间的关系 4.2.3 基于角色的访问控制 角色3 角色4 包含 权限 大 (2) 提 供 了 层 次 化 的 管理结构,由于访问权限 是客体的属性,所以角色 的定义可以用面向对象的 方法来表达,并可用类和 继承等概念来表示角色之 间的关系。 包含 角色2 包含 小 角色1 4.2.3 基于角色的访问控制 (3)具有提供最小权限的能力,由于可以按照角色的具体要求来定 义对客体的访问权限,因此具有针对性,不出现多余的访问权限,从 而降低了不安全性。 (4)具有责任分离的能力,不同角色的访问权限可相互制约,即 定义角色的人不一定能担任这个角色。因此具有更高的安全性。 非任意访问控制(non-discretionary access control)是为满 足安全策略和目标而采用的一系列集中管理的控制手段。访问控制是 由访问者在机构中的角色决定的。角色包括职务特征、任务、责任、 义务和资格。访问者在系统中的角色有管理者赋予或吊销。 RBAC模型 4.2.4 访问控制实现技术 访问控制实质上是对资源使用的限制,它决定主体是否被授权对 客体执行某种操作它依赖于鉴别使主体合法化,并将成员关系和 特权与主体联系起来。只有经授权的用户,才允许访问特定的网 络资源。 授权的权限是用来控制用户对目录、文件、设备的访问。 访问权限一般有8种:系统管理员权限、读权限、写权限、创建 权限、删除权限、修改权限、文件查找权限和访问控制权限。 八种访问权限的有效组合可以让用户有效地完成工作,同时又能 有效地控制用户对系统资源的访问。 访问控制的实现方法有很多种,这里介绍几种常用的方法。 4.2.4 访问控制实现技术 1. 目录表 目录表是一种非常自然的访问控制方法,它借用了操作系统中对文件目 录的管理机制,为每一个想要实施访问操作的主体建立一个能被其访问 的“客体目录表(文件目录表)”。当然,客体目录表的修改只能由该 客体的合法属主确定,其他任何用户不允许在客体目录表中进行写操作, 否则将出现对访问权限的伪造。目录表的形式如图: 客体1:R 张三 客体2:W 客体i:O 客体j:E 客体n:D 李四 客体1:W 客体2:W 客体i:D 客体j:R 客体n:R 王五 客体1:E 客体2:R 客体i:R 客体j:E 客体n:W 4.2.4 访问控制实现技术 目录表的优点: 非常自然直观,实现起来比较容易,能访问的客体及权限一目 了然,依照目录表实施监督也很方便。 目录表的缺点: 系统开销和浪费较大这是由于每个用户都有一张表,如果某个 客体允许所有用户访问,则将给每个用户逐一填写文件目录表, 造成系统重复性的额外开销。另外,由于这种机制允许客体属主 用户对访问权限实施传递转移并可多次进行,造成同一个文件可 能有多个属主的情形,各属主每次传递的权限也难以相同,甚至 可能会把客体改用别名,因此使得越权访问的用户大量存在,在 管理上极易出错,造成系统混乱,甚至崩溃。 4.2.4 访问控制实现技术 2.访问控制表方案 访问控制表方案 这是一种传统的授控机制,用访问矩阵表示,以客 体为索引。即每一个访问控制列表(ACL-Access Control List) 是客体(目标对象)的属性表,它给定每个主体(用户) 对给定的目标的访问权限,即一系列实体及其对资源的 访问权限的列表。 Object1 User A Own R W O User B R O User C R W O 4.2.4 访问控制实现技术 访问控制表ACL是目前操作系统中使用最多的一种访问控制方式。 优点:相对直观、易于理解和方便实现,能较好地解决多个主体 访问一个客体的问题,不会像目录表那样因授权混乱而越权访问。 缺点:表项占用存储空间较多,并由于客体长度不同而出现存放 空间碎片造成浪费,每个客体被访问时都需要对访问控制列表从头至 尾扫描一遍,影响运行速度,浪费了存储空间。 4.2.4 访问控制实现技术 3.访问控制矩阵 3.访问控制矩阵(Access Control Matrix) 访问控制矩阵是上述两种方法的综合。访问控制矩阵模型是用状 态和状态转换进行定义的,系统和状态用矩阵表示,状态的转换则用 命令来进行描述。由系统中的全部用户(即主体)和系统中的所有存 取目标(即客体)组成的一个二维矩阵,如图: 客体 主体 张三 李四 王五 赵六 读、写 执行 No 读、写、删 No 读 No 读、执行 执行 写 读 读、写 目标1 目标2 目标3 …… …… …… …… …… …… …… …… …… …… 4.2.4 访问控制实现技术 访问控制矩阵的原理简单,实现起来并不难,但当用 户和文件都很多时,就需要占用大量的存储空间。 例如:如果系统有5000个用户和30000个文件,二 维存取控制矩阵就要有5000*30000个表项,将占用大 量的存储空间。 如果用户和文件系统要管理的文件有所增加,那么控 制矩阵将会成几何级数增长,对于增长的矩阵而言, 会有大量的空余空间。另外,查找这样大的表不仅不 方便,而且还浪费大量的CPU时间。所以在实际应用 时,常常要采用另外的变通方式来实现。 4.2.4 访问控制实现技术 3.授权关系方案 3.授权关系方案 授权关系(Authorization relations) 使用关系来表示访问矩阵。 每个关系表示一个主体对一个客体的访问权限,并使用关系式数据库 来存放这个访问矩阵 访问矩阵,实现效率比较高。 访问矩阵 用户A 用户 UserA UserA UserA UserA 权限 R W W R 目标 Obj1 Obj1 Obj2 Obj2 4.3 Windows NT的安全访问控制 NT的安全访问控制 Windows NT的安全级别被列为TCSEC的C2级,是C类级别的最高级, 它的访问控制安全策略为自主访问控制DAC,它有以下几项重要指标: ①因为采用了自主访问控制(DAC),所以资源的属主必须能够控 制对资源的访问。 ②保护对象的重用(Object Reuse),操作系统必须能够保护对象在 完成使命后,不能再被其他对象所利用。比如,被释放的内存以及被 删除的文件不能被其他程序或进程再次读取。 ③强制的用户标识和认证,所有的用户都必须以唯一的登录标识 (ID)和密码来鉴别自身,而且只有授权的用户才能访问相应的资源。 ④可审计性和可记录性,系统管理员必须能够审核与安全性相关的 事件,并对其进行记录。时间的审核记录必须能够阻止非授权用户的 访问,对审核数据的访问必须只限于经过授权的管理员。 4.3.1 NTFS文件系统 NTFS(NT File System)建立在保护文件和目录数据基础上,比 FAT文件系统功能更强大,适合更大的磁盘和分区,支持安全性, 是更为完善和灵活的文件系统。 特点: ①文件角度:在NTFS分区上支持随机访问控制和拥有权,对共享 文件夹可以指定权限,以免受到本地访问或者远程访问的影响。 ②用户角度:对于所有可操作文件的用户,包括共享文件夹的访 问用户,都可以指定权限。 ③NTFS使用事务日志自动记录所有文件夹和文件更新,可以利用 日志文件重做或者恢复为成功的操作。 在一个格式化为NTFS的分区,每个文件或者文件夹都可以被 单独地分配一个权限,这些权限使得这些资源具备更高级别的安 全性。用户无论是在本机还是通过远程网络访问这些资源,都必 须具备访问这些资源的权限。 4.3.2 NTFS的用户和用户组 Windows NT管理用户时使用本地用户账户、本地组账户和全局组 账户。当第一次将系统安装成工作站或独立服务器时,Windows NT会默认创建一批内置的本地用户和本地组账户,存放在本地计 算机的SAM数据库中。 Windows NT默认创建两个账户:Administrator和Guest。其中,澳门永利5454a Administrator由管理员使用,通过它可以管理安全性策略,创建、 修改、删除用户和组,修改系统软件,创建管理公共目录,安装 连接打印机和格式化硬盘等;Guest用于临时登录的一次性用户, 默认是禁止的,所有使用该账户登录的用户会获得相同的桌面设 置。这两个默认账户均可以改名,但不能删除。 除了用户账户外, Windows NT还提供组账户。在Windows NT系统 中,具有相似工作或相似资源要求的用户可以组成一个工作组 (又称用户组)。把对资源的存取权限许可分配给某个工作组, 就是同时分配了该组中的所有成员,这样可以简化管理维护工作。 Windows NT提供了如下几种工具来管理用户账户和组账户: ①添加用户账户向导 ②用户管理器 ③域用户管理器 ④一组命令行工具 其中使用最多的管理工具是“用户管理器”和“域用户管理器”。 “用户管理器(MUSRMGR.EXE)”和“域用户管理器 ( USRMGR.EXE )”则是通过Windows NT域管理账户的Windows NT Server工具。 通过“用户管理器”和“域用户管理器”创建的用户和组账户可 以有不同的作用域,即本地作用域和全局作用域。如果账户(包 括用户帐户和用户组帐户)仅在创建它的工作站上有效,那么就 称该账户具有本地作用域;如果该账户在当前选定的整个域中都 有效,则称该账户具有全局作用域。 账户管理工具和账户作用域的对应关系 工具 用户管理器 (Windows NT Workstation) 域用户管理器 ( Windows NT Server) 账户类型 用户 组 用户 本地组 全局组 作用域 本地 本地 全局 本地 全局 4.3.3 文件系统的访问权限 对文件系统的访问控制,仅适用于采用了NTFS的磁盘分区。可以 在设置文件或目录权限的对话框中对作用于文件或文件夹的访问 控制表(ACL)进行设置。ACL中的每项ACE(Access Control Entries)都会为用户或用户组分配一个或多个访问文件或目录的 权限级别。对文件来说,可以设置的权限级别为“无(No Access)”。“读(Read)”、“更改(Change)”和“完全控 制(Full Control)”。 Windows NT允许用户利用“特殊权限”方式按照特殊的组合方 式分配基本权限。 Windows NT也支持全面的目录访问权限。目录是容器对象,除 了其自身的权限外,还有目录内创建的子目录和文件(即容器对 象)所继承的权限。子目录总是从父目录继承所有的权限。 4.3.4 注册表的访问控制 标准的注册表键值权限设置对话框只提供了 “读取(Read)”、“完全控制(Full Control)”和特殊访问(Special Access) 这三个选项。同样地,在注册表键下面创建 的子键也将会自动继承其权限,当上一级键 的访问权限被修改时,其子键的权限也将被 重置。 4.3.5 打印机的访问控制 从某种程度上来说,打印机也是系统中重要的 对象。与文件系统、注册表一样也受到访问控制列 表的保护。打印机的访问权限是通过打印机属性对 话框进行设置的,其中权限设置对话框显示了用户 和用户组访问特定打印机的设置。有以下4中权限 可供设置:“无(No Access)”、“打印 (Print)”、“管理文档(Management Documents)” 和“完全控制(Full Control)”。

网友评论

我的2016年度评论盘点
还没有评论,快来抢沙发吧!