5-訪問(wèn)控制

主講：祝凌曦

單位：北京交通大學(xué)

辦公室：土建樓321

郵箱：ZHULINGXI@139.com今天，你移動(dòng)支付了嗎？5-訪問(wèn)控制1、訪問(wèn)控制（AccessControl）概念：訪問(wèn)控制是指控制對(duì)一臺(tái)計(jì)算機(jī)或一個(gè)網(wǎng)絡(luò)中的某個(gè)資源的訪問(wèn)，是針對(duì)越權(quán)使用資源的防御措施。訪問(wèn)控制規(guī)定了主體對(duì)客體訪問(wèn)的限制，并在身份識(shí)別的基礎(chǔ)上，根據(jù)身份對(duì)提出資源訪問(wèn)的請(qǐng)求加以控制。訪問(wèn)控制決定了誰(shuí)能夠訪問(wèn)系統(tǒng)，能訪問(wèn)系統(tǒng)的何種資源以及如何使用這些資源。訪問(wèn)控制所要控制的行為主要有讀取數(shù)據(jù)、運(yùn)行可執(zhí)行文件、發(fā)起網(wǎng)絡(luò)連接等。5-訪問(wèn)控制1、訪問(wèn)控制（AccessControl）概念：主體（Subject）：主體是指主動(dòng)的實(shí)體，是訪問(wèn)的發(fā)起者，它造成了信息的流動(dòng)和系統(tǒng)狀態(tài)的改變，主體通常包括人、進(jìn)程和設(shè)備?？腕w（Object）：客體是指包含或接受信息的被動(dòng)實(shí)體，客體在信息流動(dòng)中的地位是被動(dòng)的，是處于主體的作用之下，對(duì)客體的訪問(wèn)意味著對(duì)其中所包含信息的訪問(wèn)?？腕w通常包括文件、設(shè)備、信號(hào)量和網(wǎng)絡(luò)節(jié)點(diǎn)等。訪問(wèn)（Access）：是使信息在主體和客體之間流動(dòng)的一種交互方式。包括讀取數(shù)據(jù)、更改數(shù)據(jù)、運(yùn)行程序、發(fā)起連接等。5-訪問(wèn)控制2、目標(biāo)及任務(wù)防止對(duì)任何資源（如計(jì)算資源、通信資源或信息資源）進(jìn)行未授權(quán)的訪問(wèn)。就是要根據(jù)一定的原則對(duì)合法用戶的訪問(wèn)權(quán)限進(jìn)行控制，以決定他可以訪問(wèn)哪些資源以及以什么樣的方式訪問(wèn)這些資源。5-訪問(wèn)控制3、訪問(wèn)控制模型DAC模型MAC模型RBAC模型5-訪問(wèn)控制3、訪問(wèn)控制模型DAC模型DiscretionaryAccessControl（DAC）自主訪問(wèn)控制模型自主訪問(wèn)控制模型是根據(jù)自主訪問(wèn)控制策略建立的一種模型，允許合法用戶以用戶或用戶組的身份訪問(wèn)策略規(guī)定的客體，同時(shí)阻止非授權(quán)用戶訪問(wèn)客體，某些用戶還可以自主地把自己所擁有的客體的訪問(wèn)權(quán)限授予其他用戶。5-訪問(wèn)控制3、訪問(wèn)控制模型DAC模型特點(diǎn)自主訪問(wèn)控制模型的特點(diǎn)是授權(quán)的實(shí)施主體（可以授權(quán)的主體、管理授權(quán)的客體、授權(quán)組）自主負(fù)責(zé)賦予和回收其他主體對(duì)客體資源的訪問(wèn)權(quán)限。DAC模型一般采用訪問(wèn)控制矩陣和訪問(wèn)控制列表來(lái)存放不同主體的訪問(wèn)控制信息，從而達(dá)到對(duì)主體訪問(wèn)權(quán)限限制的目的。5-訪問(wèn)控制3、訪問(wèn)控制模型MAC模型MandatoryAccessControl（MAC）強(qiáng)制訪問(wèn)控制在MAC這種模型里，管理員管理訪問(wèn)控制。管理員制定策略，用戶不能改變它。策略定義了哪個(gè)主體能訪問(wèn)哪個(gè)對(duì)象。這種訪問(wèn)控制模型可以增加安全級(jí)別，因?yàn)樗诓呗?，任何沒(méi)有被顯式授權(quán)的操作都不能執(zhí)行5-訪問(wèn)控制3、訪問(wèn)控制模型強(qiáng)制訪問(wèn)策略將每個(gè)用戶及文件賦于一個(gè)訪問(wèn)級(jí)別，如，最高秘密級(jí)，秘密級(jí)，機(jī)密級(jí)及無(wú)級(jí)別級(jí)。其級(jí)別為依次降低，系統(tǒng)根據(jù)主體和客體的敏感標(biāo)記來(lái)決定訪問(wèn)模式。訪問(wèn)模式包括：下讀：用戶級(jí)別大于文件級(jí)別的讀操作；上寫：用戶級(jí)別小于文件級(jí)別的寫操作；下寫：用戶級(jí)別等于文件級(jí)別的寫操作；上讀：用戶級(jí)別小于文件級(jí)別的讀操作；5-訪問(wèn)控制3、訪問(wèn)控制模型RBAC模型oleBasedAccessControl(RBAC)基于角色的訪問(wèn)控制管理員定義一系列角色（roles）并把它們賦予主體。系統(tǒng)進(jìn)程和普通用戶可能有不同的角色。設(shè)置對(duì)象為某個(gè)類型，主體具有相應(yīng)的角色就可以訪問(wèn)它。這樣就把管理員從定義每個(gè)用戶的許可權(quán)限的繁冗工作中解放出來(lái)5-訪問(wèn)控制3、訪問(wèn)控制模型RBAC模型RBAC模型是20世紀(jì)90年代研究出來(lái)的一種模型，從本質(zhì)上講，這種模型是對(duì)