12保障及安全访问控制.pptVIP

信息保障与安全 12 访问控制 James P. Anderson在1972年提出的参考监视器(The Reference Monitor)的概念是经典安全模型(如图12-1所示)的最初雏形。在这里，参考监视器是个抽象的概念，可以说是安全机制的代名词。 经典安全模型包含如下基本要素： (1) 明确定义的主体和客体； (2) 描述主体如何访问客体的一个授权数据库； (3) 约束主体对客体访问尝试的参考监视器； (4) 识别和验证主体和客体的可信子系统； (5) 审计参考监视器活动的审计子系统。 可以看出，这里为了实现计算机系统安全所采取的基本安全措施，即安全机制有身份认证、访问控制和审计。 通常，我们用图12-2来表示这三者之间的关系。从该示意图可以看出，参考监视器是主体/角色对客体进行访问的桥梁，身份识别与验证，即身份认证是主体/角色获得访问授权的第一步，这也是早期黑客入侵系统的突破口。 访问控制是在主体身份得到认证后，根据安全策略对主体行为进行限制的机制和手段。审计作为一种安全机制，它在主体访问客体的整个过程中都发挥着作用，为安全分析提供了有利的证据支持。它贯穿于身份认证、访问控制的前前后后。同时，身份认证、访问控制为审计的正确性提供保障。它们之间是互为制约、相互促进的。 访问控制技术并不能取代身份认证，它是建立在身份认证基础上的。 身份认证解决“你是谁，你是否真的是你所声称的身份” 访问控制解决的是“你能做什么，你有什么样的权限” 12.1 基本概念 在访问控制中： 主体（subject）：是指必须被控制对客体的访问的活动资源，它是访问的发起者，通常为进程、程序或用户。 客体(object)：被访问的对象，客体一般包括可供访问的各种软硬件资源，如文件、设备、信号量等。 授权（ Authorization ）：资源所有者对他人使用资源的许可。 访问控制中的第三个元素是保护规则，它定义了主体与客体之间可能的相互作用途径。 12.1 基本概念 访问控制(Access Control)是指对主体访问客体的权限或能力的限制，以及限制进入物理区域(出入控制)和限制使用计算机系统和计算机存储数据的过程(存取控制)。 基本目标： 防止对任何资源（如计算资源、通信资源或信息资源）进行未授权的访问。从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做什么。 未授权的访问包括：未经授权的使用、泄露、修改、销毁信息以及颁发指令等。 非法用户进入系统。 合法用户对系统资源的非法使用。 首先引入保护域的概念。每一主体(进程)都在一特定的保护域下工作，保护域规定了进程可以访问的资源。每一域定义了一组客体及可以对客体采取的操作。可对客体操作的能力称为访问权(Access Right)，访问权定义为有序对的形式。 一个域是访问权的集合。如域X有访问权，则在域X下运行的进程可对文件A执行读写，但不能执行任何其它的操作。 保护域并不是彼此独立的。它们可以有交叉，即它们可以共享权限。如图12-3所示，域X和域Y对打印机都有写的权限，从而产生了访问权交叉现象。 主体(进程)在某一特定时刻可以访问的实体(软件，硬件)的集合称为客体。根据系统复杂度不同，客体可以是静态的，即在进程生命周期中保持不变，或是动态改变的。为使进程对自身或他人可能造成的危害最小，最好在所有时间里进程都运行在最小客体下。 如何决定访问权限 用户分类 资源 资源及使用 访问规则 用户的分类 （1）特殊的用户：系统管理员，具有最高级别 的特权，可以访问任何资源，并具有任何类型 的访问操作能力。 （2）一般的用户：最大的一类用户，他们的访 问操作受到一定限制，由系统管理员分配。 （3）作审计的用户：负责整个安全系统范围内 的安全控制与资源使用情况的审计。 （4）作废的用户：被系统拒绝的用户。 资源 ? 系统内需要保护的是系统资源： – 磁盘与磁带卷标 – 远程终端 – 信息管理系统的事务处理及其应用 – 数据库中的数据 – 应用资源 资源和使用 ? 对需要保护的资源定义一个访问控制包 （Access control packet)，包括： – 资源名及拥有者的标识符 – 缺省访问权 – 用户、用户组的特权明细表 – 允许资源的拥有者对其添加新的可用数据的操作 – 审计数据 访问规则 ? 规定了若干条件，在这些条件下，可准许访问一个资源。 ? 规则使用户与资源配对，指定该用户可在该文件上执行哪些操作，如只读、不许执行或不许访问。 ? 由系统管理人员来应用这