网络安全第8章.pptVIP

2．角色的定义 角色由用户自行定义，根据业务岗位不同可以定义多个角色。登录系统，首先需要向系统申请注册，同一个用户只能在系统中登记一次，因此角色是用户权限的基础，用户可以扮演多个角色。将某一角色授予某一用户时，权限不能超越该角色权限，但可以小于该角色权限。每个用户在系统中有一个唯一的USERID标识。用户通过系统登录界面登录系统。系统通过加密算法验证用户身份和判断用户是否已经登录系统。如果登录成功，则通知Application preference service和安全管理系统保存用户登录信息。角色由用户根据自己设想的组织机构进行添加设置，提供一个专门的模块用来设置组织机构，用户通过组织机构方便地进行角色管理。 8.4.3 ROLE-BASE模型实现 美国Geroge Mason大学信息系统和系统工程系的R.Sandhu等人在对RBAC进行深入研究的基础上，于1996年提出了一个基于角色的访问控制参考模型，此模型被称为RBAC96，它对基于角色的访问控制产生了重大影响。RBAC96模型因系统全面地描述了RBAC多方面、多层次的意义而得到了广泛的认可。 下面以RBAC96模型为例讲解Role-Base模型的构成。 RBAC96模型包括4个不同层次，分别为RBAC0、RBAC1、RBAC2和RBAC3。其中RBAC0是基础模型，定义了支持RBAC的最小需求，如用户、角色、权限和会话等概念。RBAC1和RBAC2在RBAC0的基础上，增加了各自独立的特点，它们被称为高级模型。在RBAC1中加入了角色继承关系，可以根据组织内部权力和责任的结构来构造角色与角色之间的层次关系；在RBAC2中加入了各种用户与角色之间、权限与角色之间以及角色与角色之间的约束关系，如角色互斥、角色最大成员数等。RBAC1和RBAC2之间不具有可比性。RBAC3为巩固模型，是对RBAC1和RBAC2的集成。它不仅包括角色的层次关系，还包括约束关系。 1．RBAC0模型（基础模型） RBAC0为基础模型，它主要包括若干实体集（U、R、P、S，即用户集、角色集、权限集、会话集）、权限角色分配（是权限到角色的多对多的关系）、用户角色分配（是用户到角色的多对多的关系）。RBAC0模型指明用户、角色、访问权限和会话之间的关系。每个角色至少具备一个权限，每个用户至少扮演一个角色；可以对两个完全不同的角色分配完全相同的访问权限；会话由用户控制，一个用户可以创建会话并激活多个用户角色，从而获取相应的访问权限，用户可以在会话中更改激活角色，并且可以主动结束一个会话。 2．RBAC1模型（层次模型） RBAC1和RBAC0相比，区别一是增加了角色的层次结构，这个角色的层次结构是角色上的一个偏序关系，称为角色层次关系。 该模型中，用户可以为他具有的角色或其下级角色建立一个会话，其获取的访问权限包括在该会话中激活角色所具有的访问权限和下级角色所具有的访问权限。如果在角色继承时限制继承的范围，则可建立私有角色及其私有子层次。 3．RBAC2模型（约束模型） RBAC2模型在RBAC0基础上增加了约束机制。约束条件一般有返回值“接受”或“拒绝”，只有拥有有效值的元素才可被接受。约束有多种，主要包括以下几种。 （1）互斥角色。同一用户只能分配到一组互斥角色集合中至多一个角色，支持职责分离的原则。 （2）基数约束。一个角色被分配的用户数量是有限制的，一个用户可拥有的角色数目受限；同样一个角色对应的访问权限数目也应受限，以控制高级权限在系统中的分配。 （3）先决条件角色。可以分配角色给用户仅当该用户已经是另一角色的成员；对应的可以分配访问权限给角色，仅当该角色已经拥有另一种访问权限。 （4）运行时互斥。例如，允许一个用户具有两个角色的成员资格，但在运行中不可同时激活这两个角色。 4．RBAC3模型（层次约束模型） RBAC3是RBAC系列中的最后一个模型，事实上是RBAC1和RBAC2的综合，即增加了角色层次结构和约束机制的RBAC0模型。 8.5.1 VPN工作原理 VPN（Virtual Private Network，虚拟专用网）是利用Internet等公共网络的基础设施，通过隧道技术，为用户提供一条与专用网络具有相同通信功能的安全数据通道，实现不同网络之间及用户与网络之间的相互连接。 从VPN的定义来看，其中“虚拟”是指用户不需要建立自己专用的物理线路，而是利用Internet等公共网络资源和设备建立一条逻辑上的专用数据通道，并实现与专用数据通道相同的通信功能；“专用网络”是指这一虚拟出来的网络并不是任何连接在公共网络上的用户都能够使用的，而是只有经过授权的用户才可以使用。同时，该通道内传输的数据经过