网络安全理论与技术04—访问控制.ppt

安全标识符（ Security Identifiers ） : ???? 也就是我们经常说的 SID ，每次当我们创建一个用户或一个组的时候，系统会分配给改用户或组一个唯一 SID ，当你重新安装 Windows NT 后，也会得到一个唯一的 SID 。 ????SID 永远都是唯一的，由计算机名、当前时间、当前用户态线程的 CPU 耗费时间的总和三个参数决定以保证它的唯一性。 例： S-1-5-21-1763234323-3212657521-1234321321-500 访问令牌（ Access tokens ） : 用户通过验证后，登陆进程会给用户一个访问令牌，该令牌相当于用户访问系统资源的票证，当用户试图访问系统资源时，将访问令牌提供给 Windows NT ，然后 Windows NT 检查用户试图访问对象上的访问控制列表。如果用户被允许访问该对象， Windows NT 将会分配给用户适当的访问权限。 访问令牌是用户在通过验证的时候有登陆进程所提供的，所以改变用户的权限需要注销后重新登陆，重新获取访问令牌。 ???????? 安全描述符（ Security descriptors ）： Windows NT 中的任何对象的属性都有安全描述符这部分。它保存对象的安全配置。 访问控制列表（ Access control lists ）： 访问控制列表有两种：自主访问控制列表（ Discretionary ACL ）、系统访问控制列表（ System ACL ）。自主访问控制列表包含了用户和组的列表，以及相应的权限，允许或拒绝。每一个用户或组在任意访问控制列表中都有特殊的权限。而系统访问控制列表是为审核服务的，包含了对象被访问的时间。 访问控制项（ Access control entries ） : 访问控制项（ ACE ）包含了用户或组的 SID 以及对象的权限。访问控制项有两种：允许访问和拒绝访问。拒绝访问的级别高于允许访问。 问题： 主体、客体数量大，影响访问效率。 解决： 引入用户组，用户可以属于多个组。 主体标识=主体.组名 如Liu.INFO表示INFO组的liu用户。 *.INFO表示所有组中的用户。 *.*表示所有用户。 liu.INFO.rw表示对INFO组的用户liu具有rw权限。 *.INFO.rw表示对INFO组的所有用户具有rw权限。 *.*.rw表示对所有用户具有rw权限。 Liu.INFO.r *.INFO.e *.*.rw oj 访问能力表（Access Capabilities List） 基于访问控制矩阵行的自主访问控制。 为每个主体（用户）建立一张访问能力表，用于表示主体是否可以访问客体，以及用什么方式访问客体。 举例： 强制访问控制 为所有主体和客体指定安全级别，比如绝密级、机密级、秘密级、无秘级。 不同级别的主体对不同级别的客体的访问是在强制的安全策略下实现的。 只有安全管理员才能修改客体访问权和转移控制权。（对客体拥有者也不例外） MAC模型 绝密级 机密级 秘密级 无秘级 写 写 读 读 完整性 保密性 安全策略 保障信息完整性策略 级别低的主体可以读高级别客体的信息（不保密），级别低的主体不能写高级别的客体（保障信息完整性） 保障信息机密性策略 级别低的主体可以写高级别客体的信息（不保障信息完整性），级别低的主体不可以读高级别的客体（保密） 举例： Multics操作系统的访问控制（保密性策略）： 仅当用户的安全级别不低于文件的安全级别时，用户才可以读文件； 仅当用户的安全级别不高于文件的安全级别时，用户才可以写文件； 基于角色的访问控制 起源于UNIX系统或别的操作系统中组的概念（基于组的自主访问控制的变体） 每个角色与一组用户和有关的动作相互关联，角色中所属的用户可以有权执行这些操作 角色与组的区别 组：一组用户的集合 角色：一组用户的集合 + 一组操作权限的集合 适合专用目的的计算机系统，比如军用计算机系统。 RBAC模型 用 户 角 色 权 限 访问控制 资 源 1、认证 2、分派 3、请求 4、分派 5、访问 一个基于角色的访问控制的实例 在银行环境中，用户角色可以定义为出纳员、分行管理者、顾客、系统管理者和审计员 访问控制策略的一个例子如下： （1）允许一个出纳员修改顾客的帐号记录（包括存款和取款、转帐等），并允许查询所有帐号的注册项 （2）允许一个分行管理者修改顾客的帐号记录（包括存款和取款，但不包括规定的资金数目的范围）并允许查询所有帐号的注册项，也允许创建和终止帐号 （3）允许一个顾客只询问他自己的帐号的注册项 （4）允许系统的管理者询问系统的注册项和开关系统，但不允许读或修改用户的帐号信息 （5）允许一个