访问控制课件.PPTVIP

网络访问控制的应用 MAC地址过滤 VLAN隔离 ACL访问控制列表 防火墙访问控制 Windows平台上有关访问控制的几个概念 SID 是一个可变长度的结构，用来唯一地描述一个用户或者组 可以转化为字符串形式 SD 包含了与一个安全对象有关的安全信息 Security identifiers (SIDs) for the owner and primary group of an object DACL(discretionary access-control list) SACL(system access-control list) 以及一组控制标记 数据结构ACL、ACE Access token 此对象描述了一个进程或者线程的安全环境 包括SID，以及用户所属的组的SIDs, logon SID…   访问控制 访问控制的概念 访问控制是为了限制访问主体（或称为发起者，是一个主动的实体，如用户、进程、服务等）对访问客体（需要保护的资源）的访问权限，从而使计算机系统在合法范围内使用。访问控制机制决定用户及代表一定用户利益的程序能做什么，以及做到什么程度。 访问控制由两个重要过程组成 通过认证来检验主体的合法身份； 通过授权（Authorization）来限制用户对资源的访问级别。 访问控制的最基本概念 主体（Subject） 访问的发起者，通常包括人、进程和设备。 根据主体权限不同可以分为四类：特殊用户、一般用户、审计用户、作废的用户 客体（Object） 接受访问的被动实体 通常包括文件和文件系统、磁盘和磁带卷标、远程终端、信息管理系统的事务处理及其应用、数据库中的数据、应用资源等。 访问控制的最基本概念 访问（Access） 使信息在主体和客体之间流动的一种交互方式。 访问许可（Access Permissions） 决定了谁能够访问系统，能访问系统的何种资源以及如何使用这些资源。 控制策略 控制策略是主体对客体的访问规则集，这个规则集直接定义了主体对客体的作用行为和客体对主体的条件约束。 访问控制策略 自主访问控制 强制访问控制 基于角色的访问控制 基于任务的访问控制 基于对象的访问控制 自主访问控制 根据主体的身份及允许访问的权限进行决策。 自主是指具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体。 灵活性高，被大量采用。 缺点： 信息在移动过程中其访问权限关系会被改变。如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问O。 自主访问控制的实现机制 访问控制矩阵 访问控制列表 访问控制能力列表 访问控制矩阵 利用二维矩阵规定任意主体和任意客体间的访问权限 矩阵中的行代表主体的访问权限属性，矩阵中的列代表客体的访问权限属性，矩阵中的每一格表示所在行的主体对所在列的客体的访问授权 客体1 客体2 客体3 主体1 Own R W Own R W 主体2 R Own R W W 主体3 R W R 访问控制列表 以文件为中心建立访问权限表，表中登记了客体文件的访问用户名及访问权隶属关系 Object1 User A OWN R W O User B R W O User C R O 对于客体Object1，主体A具有管理、读和写的权力，主体B具有读和写的权力，主体C只能读 访问控制能力列表 以用户为中心建立访问权限表，为每个主体附加一个该主体能够访问的客体的明细表 User A Object1 OWN R W O Object2 R W O Object3 R O 强制访问控制 每个用户及文件都被赋予一定的安全级别，用户不能改变自身或任何客体的安全级别，即不允许单个用户确定访问权限，只有系统管理员可以确定用户和组的访问权限。系统通过比较用户和访问的文件的安全级别来决定用户是否可以访问该文件。 安全级别一般有五级：绝密级（Top Secret，T）、秘密级（Secret，S）、机密级（Confidential，C）、限制级（Restricted，R）和无密级（Unclassified，U），其中T＞S＞C＞R＞U。 拒绝 读取？ 客体1 导弹计划 级别：绝密 主体：Jack 级别：秘密 允许 读取？ 客体2 电话簿 级别：限制 访问控制安全标签列表 用户A的安全级别为S，那么他请求访问文件File 2时，由于T＞S，访问会被拒绝；当他访问File 1时，由于S＞R，所以允许访问。 用户 安全级别 用户A S 用户B C … … 用户X T 文件 安全级别 File 1 R File 2 T … … File n S 基于角色的策略 与现代的商业环境相结合的产物 同时具有基于身份策略的特征