Ch认证技术与访问控制.ppt

网络与信息安全 Ch07 认证技术与访问控制 1 概述 认证（Authentication）就是对于证据的辨认、核实、鉴别，以建立某种信任关系。 两类认证： 报文认证 身份认证 报文认证，包括报文源、报文内容和报文时间性的认证； 2 身份认证 身份认证的概念： 证实用户的真实身份与其所声称的身份是否相符的过程 包括：识别、验证 身份认证系统三部分： 认证服务器 认证系统用户端 认证设备 身份认证协议 双向、单向、其它协议（略） 3 常见的身份认证技术 生物特征 指纹、虹膜和视网膜、DNA 零知识证明 交互式、非交互式 指纹的细节特征 DNA识别 脱氧核糖核酸，生物的全部遗传信息都储存于DNA分子中； 遗传基因只占DNA全长的3%-10%； 随机检查两人的DNA图谱，其完全相同的概率仅为三千亿分之一； 也许是未来的主流？不确定 身份认证的应用： PPP中的认证 定义 提供两种可选的认证方法 PAP,CHAP EAP是机制 AAA认证体系及其应用 AAA的含义：认证、授权、审计 优点 1 概述 1.1 什么是访问控制 1.2 访问控制与其他安全措施的关系 1.3 主体与客体 1.4 访问权限 1.1 什么是访问控制 访问控制（Access Control）是对信息系统资源的访问范围以及方式进行限制的策略。简单地说，就是防止合法用户的非法操作。 身份认证解决了访问者是否合法者，但并非身份合法就什么都可以做，还要根据不同的访问者，访问控制规定他们分别可以访问哪些资源，以及对这些可以访问的资源可以用什么方式（读？写？执行？删除？等）访问。 2 访问控制模型 2.1 自主访问控制 2.2 强制访问控制 2.3 基于角色的访问控制 2.4 基于任务的访问控制 2.1 自主访问控制 自主访问控制模型（DAC Model，Discretionary Access Control Model） 定义：基于对主体或主体所属的主体组的识别来限制对客体的访问，这种控制是自主的。 自主：主体能够自主地按自己的意愿对系统的参数做适当地修改，以决定哪个用户可以访问它的文件。 访问控制矩阵 缺点：访问权的授予是可以传递的。 2.2 强制访问控制 强制访问控制模型（MAC Model：Mandatory Access Control Model） MAC是一种多级访问控制策略，数据所有者无权决定文件的访问权限，权限由操作系统决定，可能覆盖所有者 基于安全属性实现：事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。 MAC对访问主体和受控对象标识两个安全标记：一个是具有偏序关系的安全等级标记；另一个是非等级分类标记。BLP模型是一个例子。 强制访问控制(MAC)中，系统包含主体集S和客体集O，每个S中的主体s及客体集中的客体o，都属于一固定的安全类SC，安全类SC=L,C包括两个部分：有层次的安全级别和无层次的安全范畴。构成一偏序关系≤。 Bell-LaPadula：保证保密性 简单安全特性(无上读)：仅当SC(o)≤SC(s)时，s可以读取o *-特性(无下写): 仅当SC(s) ≤SC(o)时，s可以修改o Biba：保证完整性 同(上)相反,Biba模型用偏序关系可以表示为： 当且仅当SC(s) ≤SC(o)，允许读操作 当且仅当SC(s) ≥SC(o)，允许写操作 自主访问控制 配置的粒度小 配置的工作量大，效率低 强制访问控制 配置的粒度大 缺乏灵活性 2.3 基于角色的访问控制 基于角色的访问控制模型（RBAC Model，Role-based Access Control Model）： RBAC模型的基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。 在很多实际应用中，用户并不是可以访问的客体信息资源的所有者（这些信息属于企业或公司） 访问控制是由各个用户在部门中所担任的角色来确定的 例如，一个学校可以有教工、老师、学生和其他管理人员等角色。 角色可以看作是一组操作的集合，不同的角色具有不同的操作集，这些操作集由系统管理员分配给角色。比如： 我们假设Tch1，Tch2，Tch3……Tchi是对应的教师，Stud1，Stud 2，Stud3 …Studj是相应的学生，Mng1，Mng 2，Mng 3…Mngk是教务处管理人员 老师的权限为TchMN={查询成绩、上传所教课程的成绩}；学生的权限为Stud MN={查询成绩、反映意见}；教务管理人员的权限为MngMN={查询、修改成绩、打印成绩清单} 依据角色的不同，每个主体只能执行自己所制定的访问功能。用户在一定的部门中具有一定的角色，