基于角色访问控制的研究与应用.pptxVIP

基于角色访问控制的研究与应用; 自主访问控制(DAC)是目前计算机系统中实现最多的访问控制机制,其基本思想是:允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及可执行的访问类型。如Windows和Unix就是这种类型。 自主访问控制特点是根据主体的身份和授权规则来决定访问模式。授权规则描述了系统中每个主体允许对客体进行的操作方法或者访问方式(如读、写或执行)。每个用户对客体进行访问的要求都要经过规定的检验。如果授权中允许用户以这种方式访问客体,则访问就可以得到许可,否则就拒绝访问请求。自主访问控制机制允许对象的属主来制定针对该对象的保护策略。用这种控制方法,资源的所有者(也往往是创建者)可任意规定谁可以访问它们的资源。这样,用户和用户进程就可有选择地与其他用户共享资源。它是一种对单个用户执行访问控制的过程和措施。每个用户的访问权限是由系统确定的。DAC通常使用访问控制表或权能表来实现访问控制功能。DAC可对用户提供灵活和易行的数据访问方式,但安全性相对较低。缺点是信息在移动过程中其访问权限关系会被改变。如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问0,另外,配置的工作量大,效率低。; 强制访问控制(MAC)是“强加”给访问主体的,即系统强制主体服从访问控制策略。它预先定义主体的可信任级别和客体(信息)的敏感程度(安全级别),根据主体和客体的级别标记来决定访问模式,如绝密级、机密级、秘密级和无密级。它的访问控制关系分为上读/下写(保证数据的完整性)和下读/上写(保证数据的机密性),并通过安全标签实现单向信息流通模式。这种访问控制方式主要适合于多层次安全级别的军事应用。; 在强制访问控制系统中,系统给主体和客体分配了不同的安全属性,用户不能改变自身或任何客体的安全属性,即不允许单个用户确定访问权限,只有系统管理员可确定用户和用户组的访问权限。系统通过比较客体和主体的安全属性来决定主体是否可访问客体。此外,强制访问控制不允许一个进程生成共享文件,从而防止进程通过共享文件将信息从一个进程传送到另一个进程。MAC可通过使用敏感标记对所有用户和资源强制执行安全策略。如图1所示。 ; 主体(用户,进程)被分配一个安全等级,客体(文件,数据)也被分配一个安全等级,访问控制执行时对主体和客体的安全级别进行比较。用一个例子来说明强制访问控制规则的应用,如WEB服务以“秘密”的安全级别运行。假如WEB服务器被攻击,攻击者在目标系统中以“秘密”的安全级别进行操作,他将不能访问系统中安全级为“机密”及“高密”的数据。强制访问控制进行了很强的等级划分,但灵活性不高,所以经常用于保护等级要求很高的领域。 ; 对于规模较大的公司或政府机构,需要管理的信息资源数量非常多,职员的数量也很多,如果采用传统的访问控制策略,将会使信息共享和信息安全的管理,变成及其繁琐和困难。基于角色的访问控制RBAC技术有效地克服了传统访问控制技术中存在的不足之处,借助于角色这个主体,将原来数量众多的用户抽象成角色,用户通过角色访问资源,建立这样一种映射关系,大大提高了管理的效率,减少授权管理的复杂性,降低管理开销,而且还能为管理员提供一个比较好的实现安全政策的环境。 ; RBAC从实质上说是一种策略中立的访问控制策略,即它本身并不提供一种特定的安全策略,只是通过配置各种参数来实现某种安全策略,具有很大的灵活性,允许更加广阔的访问策略得以实施。RBAC可以被配置成传统的MAC和DAC,它们之间的关系如图2所示。 ; 在RBAC中,引入了角色这一重要概念。所谓“角色”,就是一个或一群用户在组织内可执行的操作的集合。RBAC的基本思想是:授权给用户的访问权限,通常由用户在一个组织中担当的角色来确定。例如,一个银行包含的角色可以有出纳员、会计师和贷款员等。由于他们的职能不同,所拥有的访问权限显然也各不相同。RBAC根据用户在组织内所处的角色来进行访问授权与控制。通过角色作为桥梁来沟通主体与客体,决定访问权限的是用户对应的角色。RBAC对访问权限的授权由管理员统一管理,授权规定是强加给用户的,用户只能被动接受,不能自主地决定,用户也不能自主地将访问权限传给他人。这是一种非自主型的访问控制。RBAC这种新型的访问控制技术,为网络安全中的访问控制提供了一个高效、方便、易用的模型,具有很广阔的应用发展前景。RBAC是目前公认的解决大型企业的统一资源访问控制的有效方法。其显著的两大特征是: (1)减小授权管理的复杂性, 降低管理开销。 (2)灵活地支持企业的安全策略, 并对企业的变化有很大的伸缩性。 ;标准RBAC模型简介; 标准的RBAC 参考模型