计算机系统安全 zl第3章 访问控制策略..ppt

第3章 访问控制策略 3.1 访问控制 3.2 访问控制策略 3.3 安全核与引用监控器 3.4 访问矩阵模型 习题 访问控制的基本任务： 防止非法用户进入系统及合法用户对系统资源的非法使用，保证对客体的所有直接访问都是被认可的。 访问控制需采取两种措施： 识别和确认访问系统的用户； 决定该用户对某一资源可进行何种类型的访问; 3.1 访问控制 访问控制的有效性建立在两个前提上： 第一是：用户鉴别与确认（每个用户仅能行使自己的访问权，二不能获得别认的访问权）； 第二是说明每一个用户或程序的访问权信息是受保护的（是通过访问控制来获得的）； 计算机系统是个庞然大物，要对这样的复杂系统的某些问题进行研究，最有效的方法是建立数学模型，即通过模型研究系统的形态。 3.2 访问控制策略 安全策略（也称保护策略）是关于信息系统安全性的最高层次的指导原则， 是根据用户的需求、 设备情况、 单位章程和法律约束等要求选定的。 对于计算机系统及其网络系统，如果它们所管理的信息仅能用它们的安全所授权的方法来操作，那么它们是安全的。 主要有两种安全策略：访问策略和信息流策略。前者说明系统认可的访问，即主体对客体能够有访问权；后者说明系统认可的信息流，即主体安全类和客体安全类间允许的关系。 3.2.1 关于安全性管理方式的策略 (1） 采用集中控制还是分散控制。 集中控制是由一个单一的授权者控制系统的所有安全性侧面。 (2） 采用所有权的概念还是管理者的概念。 所有权的概念就是允许所有者对自己的文件进行每一种访问，他还拥有对自己文件访问权的授予及撤销权。 管理者的概念是指可以给其他主体授予或撤销对他所管理的客体的访问权，而他自己不一定拥有所有访问权。 3.2.2 访问控制的规范策略 比较重要的访问控制策略包括以下一些： (1） 最小权限策略。 指信息限于给那些完成任务所必需者，也称为“知其所需”策略 (2） 最大共享策略。 　该策略的意图是使存储的信息获得最大的应用，这并不意味着每个人可以访问所有的信息，而是在一些约束之内的最大共享 (3） 访问的开放与封闭。 　在封闭系统中，仅当有明确的授权时才允许访问；在开放系统中,除非明确禁止,否则访问都时允许的。 (4） 离散访问控制 它时根据请求的主、客体名称作出可否访问的决策的一种控制，又称为名称相关访问控制。由于不需要依存数据库中的数据内容就能够作出决策，也称为内容无关访问控制。 在离散访问控制中，可访问的客体单位的大小称为访问粒度，决定访问粒度的大小是一项重要决策。粒度较粗易于实现，粒度较细应用灵活。 (5） 自主访问控制DAC(Discretionary Access Conrtol）。 客体的属主可以自主决定哪个用户能够访问它的客体。“客体的属主控制对该客体访问权的转授”是DAC的最主要特征。 (6） 强制访问控制MAC(Mandatory Access Control）。 主客体都有固定的安全属性（安全性标记），可否访问的决策是根据请求访问的主、客体的安全性标记作出的。主、客体的安全性标记是根据安全信息流策略对主客体统一标定的。又称为非离散访问控制。 (7） 内容相关与其他访问控制。 它包括内容相关、上下文相关、时间相关和历史相关等方式。 内容相关控制是指访问是否被允许要与“被访问客体的当前数据有关”。 上下文相关控制的允许访问条件是数学集合的函数。 时间相关访问控制的允许访问条件是系统时钟的函数。 历史相关访问控制的允许访问条件是系统先前状态的函数。 总结：在计算机及其网络中，对不同的数据可以实行不 同的策略，并不要求实行统一的策略。 3.3 安全核与引用监控器 引用监控器：主体对客体的每次存取以及授权的改变都必须通过引用监控器。 安全核：实现引用监控器的软件与硬件。 安全核技术的理论基础：在一个大的OS内，只有很小一部分软件负责系统安全，通过对OS的重构，将与安全有关的软件隔离在OS的一个可信核内，而OS的大部分软件无需负责系统安全。 安全核必须是适于保护的，并且要保证越过安全核的检查控制是不可能的；安全核必须尽可能小，以便对它的正确性进行检验。 引用监控器的关键作用：是对主体到客体的每一次访问都要实施控制，并对每一次访问活动进行审计记录，就好比用户与目标之间带护卫的大门。 当用户需要访问目标的时候，首先向监控器提出访问某个目