身份与访问安全——访问控制.pptVIP

信息安全案例教程：技术与应用 信息安全案例教程：技术与应用 * 信息安全案例教程：技术与应用 * 4.4 访问控制 用户认证解决的是：“你是谁？你是否真的是你所声称的身份？” 访问控制技术解决的是“你能做什么？你有什么样的权限？”。 第一页，共三十一页。 * 信息安全案例教程：技术与应用 * 4.4 访问控制4.4.1 访问控制基本概念 基本目标都是防止非法用户进入系统和合法用户对系统资源的非法使用。 为了达到这个目标，访问控制常以用户身份认证为前提，在此基础上实施各种访问控制策略来控制和规范合法用户在系统中的行为 这些策略和规范，被称为安全体系模型（或简称为安全模型）。 第二页，共三十一页。 * 信息安全案例教程：技术与应用 * 4.4 访问控制4.4.1 访问控制基本概念 1．访问控制的三要素 主体(Subject)：访问操作的主动发起者，但不一定是动作的执行者。 客体(Object)：通常是指信息的载体或从其他主体或客体接收信息的实体。 安全访问规则：用以确定一个主体是否对某个客体拥有某种访问权力。 第三页，共三十一页。 * 信息安全案例教程：技术与应用 * 4.4 访问控制4.4.1 访问控制基本概念 2．引用监视器和安全内核 访问控制机制的理论基础是引用监视器（Reference Monitor），由J.P.Anderson于1972年首次提出。