網(wǎng)絡(luò)安全培訓(xùn)課件(共85頁).ppt

1、網(wǎng)絡(luò)平安 劉敏賢 副教授西南科技大學(xué)計算機(jī)科學(xué)與技術(shù)學(xué)院第第9章章 訪問控制技術(shù)訪問控制技術(shù)l本章的主要內(nèi)容是對入網(wǎng)訪問控制、物理隔離、本章的主要內(nèi)容是對入網(wǎng)訪問控制、物理隔離、自主訪問控制和強(qiáng)制訪問控制等技術(shù)的實現(xiàn)原自主訪問控制和強(qiáng)制訪問控制等技術(shù)的實現(xiàn)原理進(jìn)行了詳細(xì)的論述，并介紹了一些新型訪問理進(jìn)行了詳細(xì)的論述，并介紹了一些新型訪問控制技術(shù)?？刂萍夹g(shù)。 第第9章章 訪問控制技術(shù)訪問控制技術(shù)l9.1 訪問控制技術(shù)概述訪問控制技術(shù)概述 l9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證 l9.3 物理隔離措施物理隔離措施 l9.4 自主訪問控制自主訪問控制 l9.5 強(qiáng)制訪問控制強(qiáng)制訪問控制 l9.6 新型訪問控制技

2、術(shù)新型訪問控制技術(shù)第第9章章 訪問控制技術(shù)訪問控制技術(shù)l要保證計算機(jī)系統(tǒng)實體的平安，必須對計要保證計算機(jī)系統(tǒng)實體的平安，必須對計算機(jī)系統(tǒng)的訪問進(jìn)行控制算機(jī)系統(tǒng)的訪問進(jìn)行控制l訪問控制的根本任務(wù)訪問控制的根本任務(wù)l防止非法用戶即未授權(quán)用戶進(jìn)入系統(tǒng)防止非法用戶即未授權(quán)用戶進(jìn)入系統(tǒng)l合法用戶即授權(quán)用戶對系統(tǒng)資源的非法使合法用戶即授權(quán)用戶對系統(tǒng)資源的非法使用用第第9 9章章 第第1 1節(jié)節(jié)問題提出問題提出l例例1 1：學(xué)校的教務(wù)管理系統(tǒng)全校師生都可以使用，但是只有：學(xué)校的教務(wù)管理系統(tǒng)全校師生都可以使用，但是只有老師可以輸入考試成績，只有學(xué)生可以對教學(xué)質(zhì)量進(jìn)行評老師可以輸入考試成績，只有學(xué)生可以對教學(xué)質(zhì)

3、量進(jìn)行評價。價。l 例例2 2：作為：作為QQQQ用戶，執(zhí)行同樣的登錄操作，為什么用戶，執(zhí)行同樣的登錄操作，為什么QQQQ效勞效勞器可以識別出有的用戶花了錢晉升為器可以識別出有的用戶花了錢晉升為QQQQ會員，有的用戶開通會員，有的用戶開通了各種鉆，更多的只是普通的了各種鉆，更多的只是普通的QQQQ用戶呢？用戶呢？l 例例3 3：論壇規(guī)定，發(fā)貼或跟貼必須要先注冊并登錄，而且：論壇規(guī)定，發(fā)貼或跟貼必須要先注冊并登錄，而且只有管理員可以刪貼，甚至封貼。只有管理員可以刪貼，甚至封貼。訪問控制的最根本概念訪問控制的最根本概念 l主體主體subjectsubjectl一個提出請求或要求的實體，是動作的發(fā)起

4、者不一個提出請求或要求的實體，是動作的發(fā)起者不一定是動作的執(zhí)行者，有時也稱為用戶或訪問者一定是動作的執(zhí)行者，有時也稱為用戶或訪問者如被授權(quán)使用計算機(jī)的人；如被授權(quán)使用計算機(jī)的人；l主體含義廣泛，可以是用戶、用戶組、計算機(jī)終端、主體含義廣泛，可以是用戶、用戶組、計算機(jī)終端、外設(shè)卡、手持終端設(shè)備、一個數(shù)據(jù)文件甚至是應(yīng)用外設(shè)卡、手持終端設(shè)備、一個數(shù)據(jù)文件甚至是應(yīng)用效勞程序或進(jìn)程。效勞程序或進(jìn)程。l客體客體objectobjectl接受其他實體訪問的被動實體，但凡可以被操作的接受其他實體訪問的被動實體，但凡可以被操作的信息、資源、對象都可以作為客體；信息、資源、對象都可以作為客體；l通常包括文件和文件

5、系統(tǒng)、磁盤和磁帶卷標(biāo)、遠(yuǎn)程通常包括文件和文件系統(tǒng)、磁盤和磁帶卷標(biāo)、遠(yuǎn)程終端、信息管理系統(tǒng)的事務(wù)處理及其應(yīng)用、數(shù)據(jù)庫終端、信息管理系統(tǒng)的事務(wù)處理及其應(yīng)用、數(shù)據(jù)庫中的數(shù)據(jù)、應(yīng)用資源等。中的數(shù)據(jù)、應(yīng)用資源等。 訪問控制的最根本概念訪問控制的最根本概念 l訪問訪問accessaccess l使信息在主體和客體之間流動的一種交互方式。使信息在主體和客體之間流動的一種交互方式。l對文件客體來說，典型的訪問就是讀、寫、執(zhí)行和對文件客體來說，典型的訪問就是讀、寫、執(zhí)行和所有；其中所有權(quán)指誰能改變文件的訪問權(quán)。所有；其中所有權(quán)指誰能改變文件的訪問權(quán)。l訪問控制策略訪問控制策略access control pol

6、icyaccess control policyl主體對客體的訪問規(guī)那么集，這個規(guī)那么集直接定主體對客體的訪問規(guī)那么集，這個規(guī)那么集直接定義了主體對客體的作用行為和客體對主體的條件約義了主體對客體的作用行為和客體對主體的條件約束。束。l表達(dá)了一種授權(quán)行為，也就是客體對主體的權(quán)限允表達(dá)了一種授權(quán)行為，也就是客體對主體的權(quán)限允許，這種允許不能超越規(guī)那么集。許，這種允許不能超越規(guī)那么集。l訪問控制訪問控制l指主體依據(jù)某些控制策略或者權(quán)限對客體或其資源指主體依據(jù)某些控制策略或者權(quán)限對客體或其資源進(jìn)行的不同的授權(quán)訪問。進(jìn)行的不同的授權(quán)訪問。l可以限制訪問主體或稱為發(fā)起者，是一個主動的可以限制訪問主體或稱

7、為發(fā)起者，是一個主動的實體，如用戶、進(jìn)程、效勞等對訪問客體需要實體，如用戶、進(jìn)程、效勞等對訪問客體需要保護(hù)的資源的訪問權(quán)限，從而使計算機(jī)系統(tǒng)在合保護(hù)的資源的訪問權(quán)限，從而使計算機(jī)系統(tǒng)在合法范圍內(nèi)使用。法范圍內(nèi)使用。l訪問控制三要素：訪問控制三要素： l主體、客體、訪問控制策略。主體、客體、訪問控制策略。訪問控制的最根本概念訪問控制的最根本概念 l訪問控制系統(tǒng)要素之間的行為關(guān)系參見以下圖：訪問控制系統(tǒng)要素之間的行為關(guān)系參見以下圖：訪問控制的最根本概念訪問控制的最根本概念 訪問控制過程訪問控制過程l訪問控制由兩個重要過程組成訪問控制由兩個重要過程組成l 1、通過認(rèn)證來檢驗主體的合法身份；、通過認(rèn)證

8、來檢驗主體的合法身份；l 2、通過授權(quán)、通過授權(quán)Authorization來限制用戶來限制用戶對資源的訪問級別。對資源的訪問級別。 l在認(rèn)證和授權(quán)后，訪問控制機(jī)制將根據(jù)預(yù)先設(shè)在認(rèn)證和授權(quán)后，訪問控制機(jī)制將根據(jù)預(yù)先設(shè)定的規(guī)那么對用戶訪問的資源進(jìn)行控制，只有定的規(guī)那么對用戶訪問的資源進(jìn)行控制，只有規(guī)那么允許的資源才能訪問。規(guī)那么允許的資源才能訪問。訪問控制過程訪問控制過程l這種控制通過這種控制通過監(jiān)控器監(jiān)控器進(jìn)行，每一次用戶對系統(tǒng)進(jìn)行，每一次用戶對系統(tǒng)內(nèi)目標(biāo)進(jìn)行訪問時，都由這個監(jiān)控器來進(jìn)行調(diào)內(nèi)目標(biāo)進(jìn)行訪問時，都由這個監(jiān)控器來進(jìn)行調(diào)節(jié)節(jié)l控制過程：控制過程：用戶對系統(tǒng)進(jìn)行訪問時，監(jiān)控器便用戶對系統(tǒng)進(jìn)

9、行訪問時，監(jiān)控器便依據(jù)訪問控制策略，以確定準(zhǔn)備進(jìn)行訪問的用依據(jù)訪問控制策略，以確定準(zhǔn)備進(jìn)行訪問的用戶是否確實得到了進(jìn)行此項訪問的許可。戶是否確實得到了進(jìn)行此項訪問的許可。訪問控制過程訪問控制過程l嚴(yán)格區(qū)分身份認(rèn)證和訪問控制很重要！嚴(yán)格區(qū)分身份認(rèn)證和訪問控制很重要！l原因：正確建立用戶的身份是認(rèn)證效勞的責(zé)任，原因：正確建立用戶的身份是認(rèn)證效勞的責(zé)任，而訪問控制那么假定在通過監(jiān)控器實施訪問控而訪問控制那么假定在通過監(jiān)控器實施訪問控制前，用戶的身份就已經(jīng)得到了驗證；因而，制前，用戶的身份就已經(jīng)得到了驗證；因而，訪問控制的有效性取決于用戶的正確識別，同訪問控制的有效性取決于用戶的正確識別，同時也取決于

10、監(jiān)控器正確的控制。時也取決于監(jiān)控器正確的控制。訪問控制技術(shù)概述訪問控制技術(shù)概述l訪問控制是從計算機(jī)系統(tǒng)的處理能力方面訪問控制是從計算機(jī)系統(tǒng)的處理能力方面對信息提供保護(hù)對信息提供保護(hù)l它按照事先確定的規(guī)那么決定主體對客體它按照事先確定的規(guī)那么決定主體對客體的訪問是否合法的訪問是否合法l當(dāng)一主體試圖非法使用一個未經(jīng)授權(quán)的資當(dāng)一主體試圖非法使用一個未經(jīng)授權(quán)的資源時，訪問控制機(jī)制將拒絕這一企圖，并源時，訪問控制機(jī)制將拒絕這一企圖，并將這一事件報告給審計跟蹤系統(tǒng)將這一事件報告給審計跟蹤系統(tǒng)l審計跟蹤系統(tǒng)將給出報警，并記入日志檔審計跟蹤系統(tǒng)將給出報警，并記入日志檔案案9.1 訪問控制技術(shù)概述訪問控制技術(shù)概

11、述l網(wǎng)絡(luò)的訪問主要采用基于爭用和定時兩種網(wǎng)絡(luò)的訪問主要采用基于爭用和定時兩種方法方法l基于爭用的方法意味著網(wǎng)上所有站點按先基于爭用的方法意味著網(wǎng)上所有站點按先來先效勞原那么爭用帶寬來先效勞原那么爭用帶寬l對網(wǎng)絡(luò)的訪問控制是為了防止非法用戶進(jìn)對網(wǎng)絡(luò)的訪問控制是為了防止非法用戶進(jìn)入系統(tǒng)和合法用戶對系統(tǒng)的非法使用入系統(tǒng)和合法用戶對系統(tǒng)的非法使用l訪問控制要對訪問的申請、批準(zhǔn)和撤消的訪問控制要對訪問的申請、批準(zhǔn)和撤消的全過程進(jìn)行有效的控制全過程進(jìn)行有效的控制第第9 9章章 第第1 1節(jié)節(jié)9.1 訪問控制技術(shù)概述訪問控制技術(shù)概述l訪問控制的內(nèi)容包括訪問控制的內(nèi)容包括 l用戶身份的識別和認(rèn)證用戶身份的識別

12、和認(rèn)證 l對訪問的控制對訪問的控制 l授權(quán)授權(quán) 、確定訪問權(quán)限、確定訪問權(quán)限 、實施訪問權(quán)限、實施訪問權(quán)限 l附加控制附加控制除了對直接的訪問進(jìn)行控制外，還應(yīng)對信息的流動和推除了對直接的訪問進(jìn)行控制外，還應(yīng)對信息的流動和推理攻擊施加控制理攻擊施加控制 l審計跟蹤審計跟蹤 l對用戶使用何種系統(tǒng)資源、使用的時間、執(zhí)行的操對用戶使用何種系統(tǒng)資源、使用的時間、執(zhí)行的操作等問題進(jìn)行完整的記錄，以備非法事件發(fā)生后能作等問題進(jìn)行完整的記錄，以備非法事件發(fā)生后能進(jìn)行有效的追查進(jìn)行有效的追查 第第9 9章章 第第1 1節(jié)節(jié)9.1 訪問控制技術(shù)概述訪問控制技術(shù)概述l訪問控制的類型訪問控制的類型l自主訪問控制自主訪

13、問控制DAC l用戶可以按自己的意愿對系統(tǒng)參數(shù)做適當(dāng)用戶可以按自己的意愿對系統(tǒng)參數(shù)做適當(dāng)?shù)男薷?，可以決定哪個用戶可以訪問系統(tǒng)的修改，可以決定哪個用戶可以訪問系統(tǒng)資源資源 l強(qiáng)制訪問控制強(qiáng)制訪問控制MACl用戶和資源都是一個固定的平安屬性，系用戶和資源都是一個固定的平安屬性，系統(tǒng)利用平安屬性來決定一個用戶是否可以統(tǒng)利用平安屬性來決定一個用戶是否可以訪問某個資源訪問某個資源l由于強(qiáng)制訪問控制的平安屬性是固定的，由于強(qiáng)制訪問控制的平安屬性是固定的，因此用戶或用戶程序不能修改平安屬性因此用戶或用戶程序不能修改平安屬性 l基于角色的訪問控制基于角色的訪問控制 第第9 9章章 第第1 1節(jié)節(jié)9.2 入網(wǎng)認(rèn)

14、證入網(wǎng)認(rèn)證l入網(wǎng)認(rèn)證即入網(wǎng)訪問控制。它為網(wǎng)絡(luò)訪問入網(wǎng)認(rèn)證即入網(wǎng)訪問控制。它為網(wǎng)絡(luò)訪問提供了第一層訪問控制提供了第一層訪問控制l入網(wǎng)認(rèn)證控制哪些用戶能夠登錄到效勞器入網(wǎng)認(rèn)證控制哪些用戶能夠登錄到效勞器并獲得網(wǎng)絡(luò)資源，也控制準(zhǔn)許用戶入網(wǎng)的并獲得網(wǎng)絡(luò)資源，也控制準(zhǔn)許用戶入網(wǎng)的時間和準(zhǔn)許他們在哪臺工作站入網(wǎng)時間和準(zhǔn)許他們在哪臺工作站入網(wǎng)l入網(wǎng)認(rèn)證實質(zhì)上就是對用戶的身份進(jìn)行認(rèn)入網(wǎng)認(rèn)證實質(zhì)上就是對用戶的身份進(jìn)行認(rèn)證證 第第9 9章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證身份認(rèn)證 l身份認(rèn)證過程指的是當(dāng)用戶試圖訪問資源身份認(rèn)證過程指的是當(dāng)用戶試圖訪問資源的時候，系統(tǒng)確定用戶的身份是否真實的的時候

15、，系統(tǒng)確定用戶的身份是否真實的過程過程l認(rèn)證對所有需要平安的效勞來說是至關(guān)重認(rèn)證對所有需要平安的效勞來說是至關(guān)重要的，因為認(rèn)證是訪問控制執(zhí)行的前提，要的，因為認(rèn)證是訪問控制執(zhí)行的前提，是判斷用戶是否有權(quán)訪問信息的先決條件，是判斷用戶是否有權(quán)訪問信息的先決條件，同時也為日后追究責(zé)任提供不可抵賴的證同時也為日后追究責(zé)任提供不可抵賴的證據(jù)據(jù) 第第9 9章章 第第2 2節(jié)節(jié)身份認(rèn)證的概念身份認(rèn)證的概念身份認(rèn)證的作用身份認(rèn)證的作用身份認(rèn)證與鑒別是信息平安中的第一道防線，是保證身份認(rèn)證與鑒別是信息平安中的第一道防線，是保證計算機(jī)網(wǎng)絡(luò)系統(tǒng)平安的重要措施之一計算機(jī)網(wǎng)絡(luò)系統(tǒng)平安的重要措施之一,對信息系統(tǒng)對信息系

16、統(tǒng)的平安有著重要的意義。的平安有著重要的意義。身份認(rèn)證可以確保用戶身份的真實、合法和唯一性。身份認(rèn)證可以確保用戶身份的真實、合法和唯一性。認(rèn)證是對用戶身份和認(rèn)證信息的生成、存儲、同步、認(rèn)證是對用戶身份和認(rèn)證信息的生成、存儲、同步、驗證和維護(hù)的整個過程的管理。驗證和維護(hù)的整個過程的管理。作用：可以防止非法人員進(jìn)入系統(tǒng)，防止非法人員通作用：可以防止非法人員進(jìn)入系統(tǒng)，防止非法人員通過各種違法操作獲取不正當(dāng)利益、非法訪問受控信過各種違法操作獲取不正當(dāng)利益、非法訪問受控信息、惡意破壞系統(tǒng)數(shù)據(jù)的完整性的情況的發(fā)生，嚴(yán)息、惡意破壞系統(tǒng)數(shù)據(jù)的完整性的情況的發(fā)生，嚴(yán)防防“病從口入關(guān)口。病從口入關(guān)口。 9.2 入

17、網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證的依據(jù)身份認(rèn)證的依據(jù) l用戶所知道的用戶所知道的 l密碼密碼 l用戶所擁有的用戶所擁有的 l智能卡智能卡l用戶的特征用戶的特征 l生物學(xué)上的屬性生物學(xué)上的屬性 l根據(jù)特定地點或特定時間根據(jù)特定地點或特定時間 l通過信任的第三方通過信任的第三方 lKerberos , IKE第第9 9章章 第第2 2節(jié)節(jié)身份認(rèn)證技術(shù)方法身份認(rèn)證技術(shù)方法l目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下幾種：主要有以下幾種：1. 用戶名及密碼方式用戶名及密碼方式l用戶名及密碼方式是最簡單也是最常用的身份認(rèn)證方法，用戶名及密碼方式是最簡單也是最常

18、用的身份認(rèn)證方法，由用戶自己設(shè)定，只有用戶本人知道。只要能夠正確輸入由用戶自己設(shè)定，只有用戶本人知道。只要能夠正確輸入密碼，計算機(jī)就認(rèn)為操作者就是合法用戶。密碼，計算機(jī)就認(rèn)為操作者就是合法用戶。2. 智能卡認(rèn)證智能卡認(rèn)證l智能卡是一種內(nèi)置集成的電路芯片，芯片中存有與用戶身智能卡是一種內(nèi)置集成的電路芯片，芯片中存有與用戶身份相關(guān)的數(shù)據(jù)，智能卡由專門的廠商通過專門的設(shè)備生產(chǎn)份相關(guān)的數(shù)據(jù)，智能卡由專門的廠商通過專門的設(shè)備生產(chǎn)，是不可復(fù)制的硬件。，是不可復(fù)制的硬件。l智能卡由合法用戶隨身攜帶，登錄時必須將智能卡插入專智能卡由合法用戶隨身攜帶，登錄時必須將智能卡插入專用的讀卡器讀取其中的信息，以驗證用戶

19、的身份。用的讀卡器讀取其中的信息，以驗證用戶的身份。身份認(rèn)證技術(shù)方法身份認(rèn)證技術(shù)方法l目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下幾種：式主要有以下幾種：l3. 動態(tài)令牌認(rèn)證動態(tài)令牌認(rèn)證l動態(tài)口令技術(shù)是一種讓用戶密碼按照時間或使動態(tài)口令技術(shù)是一種讓用戶密碼按照時間或使用次數(shù)不斷變化、每個密碼只能使用一次的技用次數(shù)不斷變化、每個密碼只能使用一次的技術(shù)。它采用一種動態(tài)令牌的專用硬件，內(nèi)置電術(shù)。它采用一種動態(tài)令牌的專用硬件，內(nèi)置電源、密碼生成芯片和顯示屏，密碼生成芯片運源、密碼生成芯片和顯示屏，密碼生成芯片運行專門的密碼算法，根據(jù)當(dāng)前時間或使用次數(shù)行專

20、門的密碼算法，根據(jù)當(dāng)前時間或使用次數(shù)生成當(dāng)前密碼并顯示。用戶使用時只需要將動生成當(dāng)前密碼并顯示。用戶使用時只需要將動態(tài)令牌上顯示的當(dāng)前密碼輸入客戶端計算機(jī)，態(tài)令牌上顯示的當(dāng)前密碼輸入客戶端計算機(jī)，即可實現(xiàn)身份認(rèn)證。即可實現(xiàn)身份認(rèn)證。l采用一次一密的方法。采用一次一密的方法。l例：工行、建行見備注例：工行、建行見備注身份認(rèn)證技術(shù)方法身份認(rèn)證技術(shù)方法l目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下幾種：式主要有以下幾種：l4. USB Key認(rèn)證認(rèn)證 l基于基于USB Key的身份認(rèn)證方式是近幾年開展起的身份認(rèn)證方式是近幾年開展起來的一種方便、平安的身

21、份認(rèn)證技術(shù)。它采用來的一種方便、平安的身份認(rèn)證技術(shù)。它采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證模式軟硬件相結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證模式，很好地解決了平安性與易用性之間的矛盾。，很好地解決了平安性與易用性之間的矛盾。lUSB Key內(nèi)置單片機(jī)或智能卡芯片，可以存儲內(nèi)置單片機(jī)或智能卡芯片，可以存儲用戶的密鑰或數(shù)字證書，利用用戶的密鑰或數(shù)字證書，利用USB Key內(nèi)置的內(nèi)置的密碼算法實現(xiàn)對用戶身份的認(rèn)證。密碼算法實現(xiàn)對用戶身份的認(rèn)證。l基于基于USB Key身份認(rèn)證系統(tǒng)主要有兩種應(yīng)用模身份認(rèn)證系統(tǒng)主要有兩種應(yīng)用模式：一是基于沖擊式：一是基于沖擊/響應(yīng)的認(rèn)證模式，二是基于響應(yīng)的認(rèn)證模式，二是基于P

22、KI體系的認(rèn)證模式。體系的認(rèn)證模式。l例：工行、建行見備注例：工行、建行見備注 身份認(rèn)證技術(shù)方法身份認(rèn)證技術(shù)方法l目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下幾種：要有以下幾種： 5. 生物識別技術(shù)生物識別技術(shù)l生物識別技術(shù)主要是指通過可測量的身體或行為等生物特征生物識別技術(shù)主要是指通過可測量的身體或行為等生物特征進(jìn)行身份認(rèn)證的一種技術(shù)。進(jìn)行身份認(rèn)證的一種技術(shù)。生物特征是指唯一的可以測量或生物特征是指唯一的可以測量或可自動識別和驗證的生理特征或行為方式可自動識別和驗證的生理特征或行為方式。l生物特征分為身體特征和行為特征兩類。生物特征分為身體

23、特征和行為特征兩類。身體特征包括：指紋、掌型、視網(wǎng)膜、虹膜、人體氣味、臉型、手身體特征包括：指紋、掌型、視網(wǎng)膜、虹膜、人體氣味、臉型、手的血管和的血管和DNA等；等；行為特征包括：簽名、語音、行走步態(tài)等。行為特征包括：簽名、語音、行走步態(tài)等。 l目前采用的有：指紋識別技術(shù)、視網(wǎng)膜識別技術(shù)、聲音識別目前采用的有：指紋識別技術(shù)、視網(wǎng)膜識別技術(shù)、聲音識別技術(shù)技術(shù)身份認(rèn)證技術(shù)方法身份認(rèn)證技術(shù)方法l目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主目前，計算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下幾種：要有以下幾種： l6. CA認(rèn)證認(rèn)證lCA (Certification Authority)是認(rèn)證機(jī)構(gòu)的

24、國際通是認(rèn)證機(jī)構(gòu)的國際通稱，它是對數(shù)字證書的申請者發(fā)放、管理、取消數(shù)稱，它是對數(shù)字證書的申請者發(fā)放、管理、取消數(shù)字證書的機(jī)構(gòu)。字證書的機(jī)構(gòu)。lCA 的作用：是檢查證書持有者身份的合法性，并的作用：是檢查證書持有者身份的合法性，并簽發(fā)證書簽發(fā)證書(用數(shù)學(xué)方法在證書上簽字用數(shù)學(xué)方法在證書上簽字)，以防證書被，以防證書被偽造或篡改。網(wǎng)絡(luò)身份證的發(fā)放、管理和認(rèn)證就是偽造或篡改。網(wǎng)絡(luò)身份證的發(fā)放、管理和認(rèn)證就是一個復(fù)雜的過程，也就是一個復(fù)雜的過程，也就是CA認(rèn)證。認(rèn)證。 lCA職能職能l管理和維護(hù)客戶的證書和證書作廢表管理和維護(hù)客戶的證書和證書作廢表l維護(hù)自身的平安維護(hù)自身的平安l提供平安審計的依據(jù)提供

25、平安審計的依據(jù)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證的評價標(biāo)準(zhǔn)身份認(rèn)證的評價標(biāo)準(zhǔn)l可行性可行性l認(rèn)證強(qiáng)度認(rèn)證強(qiáng)度l認(rèn)證粒度認(rèn)證粒度l認(rèn)證數(shù)據(jù)正確認(rèn)證數(shù)據(jù)正確l不同協(xié)議間的適應(yīng)性不同協(xié)議間的適應(yīng)性 第第9 9章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證的評價標(biāo)準(zhǔn)身份認(rèn)證的評價標(biāo)準(zhǔn)l可行性可行性 l從用戶的觀點看，認(rèn)證方法應(yīng)該提高用戶訪問應(yīng)用從用戶的觀點看，認(rèn)證方法應(yīng)該提高用戶訪問應(yīng)用的效率，減少多余的交互認(rèn)證過程，提供一次性認(rèn)的效率，減少多余的交互認(rèn)證過程，提供一次性認(rèn)證證l另外所有用戶可訪問的資源應(yīng)該提供友好的界面給另外所有用戶可訪問的資源應(yīng)該提供友好的界面給用戶訪問用戶訪問 第第9 9

26、章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證的評價標(biāo)準(zhǔn)身份認(rèn)證的評價標(biāo)準(zhǔn)l認(rèn)證強(qiáng)度認(rèn)證強(qiáng)度 l認(rèn)證強(qiáng)度取決于采用的算法的復(fù)雜度以及認(rèn)證強(qiáng)度取決于采用的算法的復(fù)雜度以及密鑰的長度密鑰的長度l采用更復(fù)雜的算法，更長的密鑰，將能提采用更復(fù)雜的算法，更長的密鑰，將能提高系統(tǒng)的認(rèn)證強(qiáng)度，提高系統(tǒng)的平安性高系統(tǒng)的認(rèn)證強(qiáng)度，提高系統(tǒng)的平安性第第9 9章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證的評價標(biāo)準(zhǔn)身份認(rèn)證的評價標(biāo)準(zhǔn)l認(rèn)證粒度認(rèn)證粒度 l身份認(rèn)證只決定是否允許用戶進(jìn)入效勞應(yīng)身份認(rèn)證只決定是否允許用戶進(jìn)入效勞應(yīng)用。之后如何控制用戶訪問的內(nèi)容，以及用。之后如何控制用戶訪問的內(nèi)容，以及控制

27、的粒度也是認(rèn)證系統(tǒng)的重要標(biāo)志控制的粒度也是認(rèn)證系統(tǒng)的重要標(biāo)志l有些認(rèn)證系統(tǒng)僅限于判斷用戶是否具有合有些認(rèn)證系統(tǒng)僅限于判斷用戶是否具有合法身份，有些那么按權(quán)限等級劃分成幾個法身份，有些那么按權(quán)限等級劃分成幾個密級，嚴(yán)格控制用戶按照自己所屬的密級密級，嚴(yán)格控制用戶按照自己所屬的密級訪問訪問 第第9 9章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證的評價標(biāo)準(zhǔn)身份認(rèn)證的評價標(biāo)準(zhǔn)l認(rèn)證數(shù)據(jù)正確認(rèn)證數(shù)據(jù)正確 l消息的接受者能夠驗證消息的合法性、真消息的接受者能夠驗證消息的合法性、真實性和完整性實性和完整性l消息的發(fā)送者對所發(fā)的消息不可抵賴消息的發(fā)送者對所發(fā)的消息不可抵賴l除了合法的消息發(fā)送者外，任

28、何其他人不除了合法的消息發(fā)送者外，任何其他人不能偽造合法的消息能偽造合法的消息l當(dāng)通信雙方或多方發(fā)生爭執(zhí)時，有公當(dāng)通信雙方或多方發(fā)生爭執(zhí)時，有公正權(quán)威的第正權(quán)威的第3方解決糾紛方解決糾紛 第第9 9章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l身份認(rèn)證的評價標(biāo)準(zhǔn)身份認(rèn)證的評價標(biāo)準(zhǔn)l不同協(xié)議間的適應(yīng)性不同協(xié)議間的適應(yīng)性 l認(rèn)證系統(tǒng)應(yīng)該對所有協(xié)議的應(yīng)用進(jìn)行有效認(rèn)證系統(tǒng)應(yīng)該對所有協(xié)議的應(yīng)用進(jìn)行有效的身份識別的身份識別l除了除了HTTP以外，平安以外，平安Email訪問包括認(rèn)訪問包括認(rèn)證證SMTP、POP或者或者IMAP也應(yīng)該包含在也應(yīng)該包含在認(rèn)證系統(tǒng)中認(rèn)證系統(tǒng)中 第第9 9章章 第第2 2節(jié)節(jié)9.2

29、 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l口令認(rèn)證的一般過程口令認(rèn)證的一般過程l用戶名的識別與驗證用戶名的識別與驗證 l確定是否存在該用戶的信息確定是否存在該用戶的信息 l用戶口令的識別與驗證用戶口令的識別與驗證 l確定用戶輸入的口令是否正確確定用戶輸入的口令是否正確 l用戶帳號的缺省限制檢查用戶帳號的缺省限制檢查 l確定該用戶帳號是否可用，以及能夠進(jìn)行哪些操作、確定該用戶帳號是否可用，以及能夠進(jìn)行哪些操作、訪問哪些資源等用戶的權(quán)限訪問哪些資源等用戶的權(quán)限 第第9 9章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l口令認(rèn)證口令認(rèn)證l口令認(rèn)證也稱通行字認(rèn)證，是一種根據(jù)事口令認(rèn)證也稱通行字認(rèn)證，是一種根據(jù)事物驗證身份的方

30、法物驗證身份的方法 l通行字的選擇原那么通行字的選擇原那么 l易記易記l難以被別人猜中或發(fā)現(xiàn)難以被別人猜中或發(fā)現(xiàn)l抗分析能力強(qiáng)抗分析能力強(qiáng)l需要考慮的方面需要考慮的方面l選擇方法、使用期限、字符長度、分配和選擇方法、使用期限、字符長度、分配和管理以及在計算機(jī)系統(tǒng)內(nèi)的保護(hù)管理以及在計算機(jī)系統(tǒng)內(nèi)的保護(hù) 第第9 9章章 第第2 2節(jié)節(jié)2022-2-2634口令認(rèn)證技術(shù)口令認(rèn)證技術(shù) 平安口令平安口令 為了防止攻擊者猜測出口令，選擇的平安口令應(yīng)滿足以下要求：為了防止攻擊者猜測出口令，選擇的平安口令應(yīng)滿足以下要求： 1 1口令長度適中口令長度適中 2 2不回送顯示不回送顯示 3 3記錄和報告記錄和報告 4

31、 4自動斷開連接自動斷開連接 5 5口令存儲的平安性口令存儲的平安性 目前，口令的存儲有以下兩種方法：目前，口令的存儲有以下兩種方法： 明文存儲；明文存儲； 散列散列HashHash函數(shù)存儲。函數(shù)存儲。9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證安全性要求安全性要求口令認(rèn)證方案口令認(rèn)證方案無無無口令無口令低低合法用戶公用口令合法用戶公用口令中中每個用戶一個單獨的口令每個用戶一個單獨的口令高高要求一次一密，或口令分散要求一次一密，或口令分散* 系統(tǒng)中不存儲口令的原文第第9 9章章 第第2 2節(jié)節(jié)9.2 入網(wǎng)認(rèn)證入網(wǎng)認(rèn)證l認(rèn)證方式認(rèn)證方式l單向認(rèn)證單向認(rèn)證l雙向認(rèn)證雙向認(rèn)證 詢問認(rèn)證受理的用戶可利用他所知道、而別人不

32、太知道的一些信息向申請用戶提問一系列不大相關(guān)的問題 第第9 9章章 第第2 2節(jié)節(jié)9.3 物理隔離措施物理隔離措施l物理隔離物理隔離l物理隔離技術(shù)是一種將內(nèi)外網(wǎng)絡(luò)從物理上物理隔離技術(shù)是一種將內(nèi)外網(wǎng)絡(luò)從物理上斷開，但保持邏輯連接的網(wǎng)絡(luò)平安技術(shù)斷開，但保持邏輯連接的網(wǎng)絡(luò)平安技術(shù)l任何時候內(nèi)外網(wǎng)絡(luò)都不存在連通的物理連任何時候內(nèi)外網(wǎng)絡(luò)都不存在連通的物理連接，同時原有的傳輸協(xié)議必須被中斷接，同時原有的傳輸協(xié)議必須被中斷 l邏輯連接指能進(jìn)行適度的數(shù)據(jù)交換邏輯連接指能進(jìn)行適度的數(shù)據(jù)交換第第9 9章章 第第3 3節(jié)節(jié)9.3 物理隔離措施物理隔離措施l1999年年12月月29日國家保密局發(fā)布的日國家保密局發(fā)布的

33、?計算計算機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定?中第二中第二章第六條規(guī)定章第六條規(guī)定 ：l “涉及國家秘密的計算機(jī)信息系統(tǒng)，不涉及國家秘密的計算機(jī)信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)相聯(lián)接，必須進(jìn)行物理隔離信息網(wǎng)絡(luò)相聯(lián)接，必須進(jìn)行物理隔離第第9 9章章 第第3 3節(jié)節(jié)網(wǎng)絡(luò)隔離概述網(wǎng)絡(luò)隔離概述 網(wǎng)絡(luò)隔離網(wǎng)絡(luò)隔離Network Isolation技術(shù)是網(wǎng)絡(luò)平安技術(shù)的一技術(shù)是網(wǎng)絡(luò)平安技術(shù)的一個大門類。隨著近幾年隔離技術(shù)的飛速開展，目前的隔離技個大門類。隨著近幾年隔離技術(shù)的飛速開展，目前的隔離技術(shù)已比較完善，涵蓋了幾乎所有

34、級別用戶的網(wǎng)絡(luò)隔離需求。術(shù)已比較完善，涵蓋了幾乎所有級別用戶的網(wǎng)絡(luò)隔離需求。 網(wǎng)絡(luò)隔離技術(shù)根底網(wǎng)絡(luò)隔離技術(shù)根底 網(wǎng)絡(luò)中的網(wǎng)絡(luò)中的“隔離一詞與現(xiàn)實生活中的隔離一詞與現(xiàn)實生活中的“隔離存在某種隔離存在某種認(rèn)識上的區(qū)別，從傳統(tǒng)意義來理解認(rèn)識上的區(qū)別，從傳統(tǒng)意義來理解“隔離使兩個網(wǎng)絡(luò)真正隔離使兩個網(wǎng)絡(luò)真正分開，但這樣來談網(wǎng)絡(luò)平安是沒有任何意義的。事實上，網(wǎng)分開，但這樣來談網(wǎng)絡(luò)平安是沒有任何意義的。事實上，網(wǎng)絡(luò)平安中的絡(luò)平安中的“隔離后的兩個網(wǎng)絡(luò)并非完全沒有聯(lián)系，還是隔離后的兩個網(wǎng)絡(luò)并非完全沒有聯(lián)系，還是需要有正常的應(yīng)用層數(shù)據(jù)交換的。需要有正常的應(yīng)用層數(shù)據(jù)交換的。 目前可以采用的隔離方法主要有以下三類：

35、目前可以采用的隔離方法主要有以下三類： 物理隔離：通過一定軟、硬件方法使得訪問內(nèi)、外網(wǎng)的設(shè)備、物理隔離：通過一定軟、硬件方法使得訪問內(nèi)、外網(wǎng)的設(shè)備、線路、存儲均相對獨立。線路、存儲均相對獨立。 網(wǎng)絡(luò)隔離：利用協(xié)議轉(zhuǎn)換進(jìn)行網(wǎng)間的數(shù)據(jù)交換。網(wǎng)絡(luò)隔離：利用協(xié)議轉(zhuǎn)換進(jìn)行網(wǎng)間的數(shù)據(jù)交換。 平安隔離：利用專用設(shè)備實現(xiàn)僅在應(yīng)用層進(jìn)行數(shù)據(jù)交換。平安隔離：利用專用設(shè)備實現(xiàn)僅在應(yīng)用層進(jìn)行數(shù)據(jù)交換。 2. 網(wǎng)絡(luò)隔離技術(shù)的開展歷程網(wǎng)絡(luò)隔離技術(shù)的開展歷程 到目前為止，整個網(wǎng)絡(luò)隔離技術(shù)的開展經(jīng)歷到目前為止，整個網(wǎng)絡(luò)隔離技術(shù)的開展經(jīng)歷了以下五代：了以下五代： 第一代隔離技術(shù)第一代隔離技術(shù)完全的隔離完全的隔離第二代隔離技術(shù)第

36、二代隔離技術(shù)硬件卡隔離硬件卡隔離第三代隔離技術(shù)第三代隔離技術(shù)網(wǎng)絡(luò)協(xié)議隔離網(wǎng)絡(luò)協(xié)議隔離第四代隔離技術(shù)第四代隔離技術(shù)空氣開關(guān)網(wǎng)閘隔離空氣開關(guān)網(wǎng)閘隔離第五代隔離技術(shù)第五代隔離技術(shù)平安網(wǎng)閘隔離平安網(wǎng)閘隔離物理隔離原理物理隔離原理 物理隔離技術(shù)的指導(dǎo)思想與防火墻有很大的不同：防火物理隔離技術(shù)的指導(dǎo)思想與防火墻有很大的不同：防火墻的思路是在保障互連互通的前提下，盡可能平安，而物墻的思路是在保障互連互通的前提下，盡可能平安，而物理隔離的思路是在保證必須平安的前提下，盡可能互連互理隔離的思路是在保證必須平安的前提下，盡可能互連互通。雖然物理隔離技術(shù)存在多種隔離方式，但是它們的隔通。雖然物理隔離技術(shù)存在多種隔離

37、方式，但是它們的隔離原理卻根本上一樣。離原理卻根本上一樣。 9.3 物理隔離措施物理隔離措施l網(wǎng)絡(luò)物理隔離方案網(wǎng)絡(luò)物理隔離方案l客戶端的物理隔離客戶端的物理隔離 l集線器級的物理隔離集線器級的物理隔離 l效勞器端的物理隔離效勞器端的物理隔離l主要物理隔離產(chǎn)品主要物理隔離產(chǎn)品 物理隔離卡物理隔離卡l 物理隔離集線器物理隔離集線器l 物理隔離網(wǎng)閘。物理隔離網(wǎng)閘。第第9 9章章 第第3 3節(jié)節(jié)9.3 物理隔離措施物理隔離措施l網(wǎng)絡(luò)物理隔離方案網(wǎng)絡(luò)物理隔離方案l客戶端的物理隔離客戶端的物理隔離 第第9 9章章 第第3 3節(jié)節(jié)9.3 物理隔離措施物理隔離措施l網(wǎng)絡(luò)平安隔離卡是以物理方式將一臺網(wǎng)絡(luò)平安隔離

38、卡是以物理方式將一臺PC虛擬為兩個虛擬為兩個電腦，實現(xiàn)工作站的雙重狀態(tài)電腦，實現(xiàn)工作站的雙重狀態(tài)第第9 9章章 第第3 3節(jié)節(jié)9.3 物理隔離措施物理隔離措施l網(wǎng)絡(luò)物理隔離方案網(wǎng)絡(luò)物理隔離方案l集線器級的物理隔離集線器級的物理隔離 第第9 9章章 第第3 3節(jié)節(jié)9.3 物理隔離措施物理隔離措施l網(wǎng)絡(luò)物理隔離方案網(wǎng)絡(luò)物理隔離方案l集線器級的物理隔離集線器級的物理隔離 l物理隔離網(wǎng)閘物理隔離網(wǎng)閘 第第9 9章章 第第3 3節(jié)節(jié)9.3 物理隔離措施物理隔離措施l網(wǎng)絡(luò)物理隔離方案網(wǎng)絡(luò)物理隔離方案l效勞器端的物理隔離效勞器端的物理隔離 第第9 9章章 第第3 3節(jié)節(jié)9.3 物理隔離措施物理隔離措施l物理

39、隔離的優(yōu)點物理隔離的優(yōu)點l平安級別高，保障強(qiáng)平安級別高，保障強(qiáng)l易于在現(xiàn)有涉密網(wǎng)上安裝易于在現(xiàn)有涉密網(wǎng)上安裝l物理隔離的未盡之處物理隔離的未盡之處l資源消耗大資源消耗大l缺乏管理缺乏管理l認(rèn)證、訪問控制、審計、取證認(rèn)證、訪問控制、審計、取證l 阻礙應(yīng)用阻礙應(yīng)用第第9 9章章 第第3 3節(jié)節(jié)9.4 自主訪問控制自主訪問控制l自主訪問控制自主訪問控制l由客體自主地來確定各個主體對它的直接訪問由客體自主地來確定各個主體對它的直接訪問權(quán)限又稱訪問模式權(quán)限又稱訪問模式l在自主訪問控制下，用戶可以按自己的意愿對在自主訪問控制下，用戶可以按自己的意愿對系統(tǒng)的參數(shù)做適當(dāng)?shù)男薷?，以決定哪個用戶可系統(tǒng)的參數(shù)做適當(dāng)

40、的修改，以決定哪個用戶可以訪問他們的文件以訪問他們的文件 第第9 9章章 第第4 4節(jié)節(jié)9.4 自主訪問控制自主訪問控制l自主訪問控制自主訪問控制lDiscretionary Access Control,簡稱簡稱DAC l自主訪問控制基于對主體或主體所屬的主體組自主訪問控制基于對主體或主體所屬的主體組的識別來限制對客體的訪問，這種控制是自主的識別來限制對客體的訪問，這種控制是自主的的l自主自主l是指對其它具有授予某種訪問權(quán)力的主體能夠是指對其它具有授予某種訪問權(quán)力的主體能夠自主地可能是間接的將訪問權(quán)的某個子集自主地可能是間接的將訪問權(quán)的某個子集授予其它主體授予其它主體 第第9 9章章 第第4

41、 4節(jié)節(jié)自主訪問控制的實現(xiàn)機(jī)制自主訪問控制的實現(xiàn)機(jī)制lDACDAC一般采用以下一般采用以下三種機(jī)制三種機(jī)制來存放不同主體的來存放不同主體的訪問控制權(quán)限，從而完成對主體訪問權(quán)限的訪問控制權(quán)限，從而完成對主體訪問權(quán)限的限制：限制： 1 1、訪問控制矩陣、訪問控制矩陣 2 2、訪問控制列表、訪問控制列表 3 3、訪問控制能力列表、訪問控制能力列表 訪問控制矩陣訪問控制矩陣ACMl從概念上來說，訪問控制可以通過使用和維護(hù)一個訪從概念上來說，訪問控制可以通過使用和維護(hù)一個訪問控制矩陣問控制矩陣Access Control Matrix)Access Control Matrix)來實現(xiàn)。來實現(xiàn)。 l訪問

42、控制矩陣是通過二維矩陣形式表示訪問控制規(guī)那訪問控制矩陣是通過二維矩陣形式表示訪問控制規(guī)那么和授權(quán)用戶權(quán)限的方法；包含三個元素：主體、客么和授權(quán)用戶權(quán)限的方法；包含三個元素：主體、客體和訪問權(quán)限。體和訪問權(quán)限。l訪問控制矩陣的行對應(yīng)于主體，列對應(yīng)于客體；第訪問控制矩陣的行對應(yīng)于主體，列對應(yīng)于客體；第i i行第行第j j列的元素是訪問權(quán)限的集合，列出了允許主體列的元素是訪問權(quán)限的集合，列出了允許主體sisi對客體對客體ojoj進(jìn)行訪問的權(quán)限。進(jìn)行訪問的權(quán)限。9.4 自主訪問控制自主訪問控制l訪問控制矩陣訪問控制矩陣 第第9 9章章 第第4 4節(jié)節(jié)訪問控制矩陣訪問控制矩陣 l訪問控制矩陣實例如以下圖

43、所示：訪問控制矩陣實例如以下圖所示： 客體客體主體主體Bob.docBob.docAAJohn.exeJohn.exeBobBob擁有擁有讀、寫讀、寫執(zhí)行執(zhí)行AliceAlice寫寫擁有擁有執(zhí)行執(zhí)行JohnJohn讀、寫讀、寫擁有擁有訪問控制矩陣訪問控制矩陣 l訪問控制的任務(wù)就是確保系統(tǒng)的操作是按照訪問控制訪問控制的任務(wù)就是確保系統(tǒng)的操作是按照訪問控制矩陣授權(quán)的訪問來執(zhí)行。矩陣授權(quán)的訪問來執(zhí)行。 l優(yōu)點：清晰地實現(xiàn)認(rèn)證與訪問控制的相互別離優(yōu)點：清晰地實現(xiàn)認(rèn)證與訪問控制的相互別離 。l缺點：在較大系統(tǒng)中，如果用戶和資源都非常多，那缺點：在較大系統(tǒng)中，如果用戶和資源都非常多，那么訪問控制矩陣非常巨

44、大；而且每個用戶可能訪問的么訪問控制矩陣非常巨大；而且每個用戶可能訪問的資源有限，矩陣中許多格可能都為空，浪費存儲空間；資源有限，矩陣中許多格可能都為空，浪費存儲空間；因此較少使用。因此較少使用。l簡單的解決方法：將訪問控制矩陣按行或按列進(jìn)行劃簡單的解決方法：將訪問控制矩陣按行或按列進(jìn)行劃分。如果按行劃分，得到訪問控制能力表；如果按列分。如果按行劃分，得到訪問控制能力表；如果按列劃分，得到廣泛應(yīng)用的訪問控制列表。劃分，得到廣泛應(yīng)用的訪問控制列表。9.4 自主訪問控制自主訪問控制lDAC的實現(xiàn)方法的實現(xiàn)方法l基于行的基于行的DAC (訪問控制列表訪問控制列表)l權(quán)力表權(quán)力表Capabilitie

45、s List l前綴表前綴表Profiles l口令口令Password l基于列的基于列的DAC (訪問控制能力列表訪問控制能力列表)l保護(hù)位保護(hù)位Protection Bits l訪問控制表訪問控制表Access Control List，ACL 第第9 9章章 第第4 4節(jié)節(jié)訪問控制列表訪問控制列表ACL l訪問控制列表訪問控制列表Access control ListAccess control List是以文件是以文件為中心建立訪問權(quán)限表。為中心建立訪問權(quán)限表。l對于每個資源，訪問控制列表中列出可能的用戶和對于每個資源，訪問控制列表中列出可能的用戶和用戶的訪問權(quán)限。用戶的訪問權(quán)限。

46、l訪問控制列表是基于訪問控制矩陣中列的自主訪問訪問控制列表是基于訪問控制矩陣中列的自主訪問控制區(qū)，它在一個客體上附加一個主體明細(xì)表來表控制區(qū)，它在一個客體上附加一個主體明細(xì)表來表示各個主體對這個客體的訪問權(quán)限；明細(xì)表中的每示各個主體對這個客體的訪問權(quán)限；明細(xì)表中的每一項都包括主體的身份和主體對這個客體的訪問權(quán)一項都包括主體的身份和主體對這個客體的訪問權(quán)限。限。訪問控制列表訪問控制列表ACL l例如，前面訪問控制矩陣實例對應(yīng)的訪問控制列表例如，前面訪問控制矩陣實例對應(yīng)的訪問控制列表如下所示：如下所示：l acl (Bob.doc= (Bob, 擁有擁有)，(Alice, 寫寫)，l (John,

47、 讀、寫讀、寫) l acl (Alice = (Bob, 讀、寫讀、寫)，(Alice, 擁擁有有) l acl (John.exe= (Bob, 執(zhí)行執(zhí)行)，Alice, 執(zhí)行執(zhí)行)，l (John, 擁有擁有) 訪問控制列表訪問控制列表ACL l優(yōu)點：實現(xiàn)簡單、實用，大多數(shù)優(yōu)點：實現(xiàn)簡單、實用，大多數(shù)PC、效勞器和主機(jī)、效勞器和主機(jī)都使用都使用ACL作為訪問控制的實現(xiàn)機(jī)制。作為訪問控制的實現(xiàn)機(jī)制。l適用情況：系統(tǒng)需要區(qū)分的用戶相對較少，并且這適用情況：系統(tǒng)需要區(qū)分的用戶相對較少，并且這些用戶大都比較穩(wěn)定。些用戶大都比較穩(wěn)定。l缺點：如訪問控制列表太大或經(jīng)常改變，那么維護(hù)缺點：如訪問控制列

48、表太大或經(jīng)常改變，那么維護(hù)訪問控制列表就成為一個問題。訪問控制列表就成為一個問題。訪問控制能力列表訪問控制能力列表ACCL l能力能力指訪問請求者所擁有的一個有效標(biāo)簽，它授權(quán)指訪問請求者所擁有的一個有效標(biāo)簽，它授權(quán)標(biāo)簽的持有者可以按照何種訪問方式訪問特定的客標(biāo)簽的持有者可以按照何種訪問方式訪問特定的客體。體。l訪問控制能力列表訪問控制能力列表以用戶為中心以用戶為中心建立訪問權(quán)限表，建立訪問權(quán)限表，是常用的基于行的自主訪問控制；它為每個主體附是常用的基于行的自主訪問控制；它為每個主體附加一個該主體能夠訪問的客體的明細(xì)表。加一個該主體能夠訪問的客體的明細(xì)表。 訪問控制能力列表訪問控制能力列表ACC

49、L l例如，前面訪問控制矩陣實例對應(yīng)的訪問控制例如，前面訪問控制矩陣實例對應(yīng)的訪問控制能力表如下所示：能力表如下所示：l cap (Bob= (Bob.doc, 擁有擁有)，(Alice , 讀、寫讀、寫)，l (John.exe, 執(zhí)行執(zhí)行) l cap (Alice= (Bob.doc, 寫寫)，(Alice , 擁有擁有) ,l (John.exe, 執(zhí)行執(zhí)行) l cap (John= (Bob.doc, 讀、寫讀、寫), (John.exe, 擁有擁有) 訪問控制能力列表訪問控制能力列表ACCLl訪問控制能力表在時間效率和空間效率上都優(yōu)于訪訪問控制能力表在時間效率和空間效率上都優(yōu)于訪

50、問控制矩陣。問控制矩陣。l缺點：對于一個給定的客體，要確定所有有權(quán)訪問缺點：對于一個給定的客體，要確定所有有權(quán)訪問它的主體、用戶生成一個新的客體并對其授權(quán)、或它的主體、用戶生成一個新的客體并對其授權(quán)、或刪除一個客體時都比較復(fù)雜。刪除一個客體時都比較復(fù)雜。9.4 自主訪問控制自主訪問控制lDAC的訪問類型的訪問類型(控制模式控制模式) l等級型等級型 l有主型有主型Owner l自由型自由型Laissez-faire 第第9 9章章 第第4 4節(jié)節(jié)9.4 自主訪問控制自主訪問控制lDAC的優(yōu)點的優(yōu)點l方便、實用方便、實用l可由用戶自由定制可由用戶自由定制l可擴(kuò)展性強(qiáng)可擴(kuò)展性強(qiáng)l缺點缺點l管理分散

51、、用戶關(guān)系不清管理分散、用戶關(guān)系不清l權(quán)限易被濫用權(quán)限易被濫用第第9 9章章 第第4 4節(jié)節(jié)9.5 強(qiáng)制訪問控制強(qiáng)制訪問控制l強(qiáng)制訪問控制強(qiáng)制訪問控制 lMandatory Access Control，簡稱，簡稱MAC l用戶與文件都有一個固定的平安屬性，系統(tǒng)利用戶與文件都有一個固定的平安屬性，系統(tǒng)利用平安屬性來決定一個用戶是否可以訪問某個用平安屬性來決定一個用戶是否可以訪問某個文件文件l平安屬性是強(qiáng)制性的，它是由平安管理員或操平安屬性是強(qiáng)制性的，它是由平安管理員或操作系統(tǒng)根據(jù)限定的規(guī)那么分配的，用戶或用戶作系統(tǒng)根據(jù)限定的規(guī)那么分配的，用戶或用戶的程序不能修改平安屬性的程序不能修改平安屬性

52、第第9 9章章 第第5 5節(jié)節(jié)9.5 強(qiáng)制訪問控制強(qiáng)制訪問控制l強(qiáng)制訪問控制強(qiáng)制訪問控制 l如果系統(tǒng)認(rèn)為具有某一平安屬性的用戶不適于訪問某如果系統(tǒng)認(rèn)為具有某一平安屬性的用戶不適于訪問某個文件，那么任何人包括文件的擁有者都無法使個文件，那么任何人包括文件的擁有者都無法使該用戶具有訪問文件的能力該用戶具有訪問文件的能力 l強(qiáng)制訪問控制是比任意訪問控制更強(qiáng)的一種訪問控制強(qiáng)制訪問控制是比任意訪問控制更強(qiáng)的一種訪問控制機(jī)制，它可以通過無法回避的訪問限制來防止某些對機(jī)制，它可以通過無法回避的訪問限制來防止某些對系統(tǒng)的非法入侵系統(tǒng)的非法入侵l強(qiáng)制訪問控制可以防止一個進(jìn)程生成共享文件，從而強(qiáng)制訪問控制可以防止

53、一個進(jìn)程生成共享文件，從而防止一個進(jìn)程通過共享文件把信息從一個進(jìn)程傳送給防止一個進(jìn)程通過共享文件把信息從一個進(jìn)程傳送給另一個進(jìn)程另一個進(jìn)程 第第9 9章章 第第5 5節(jié)節(jié)強(qiáng)制訪問控制強(qiáng)制訪問控制MACl強(qiáng)制訪問控制強(qiáng)制訪問控制Mandatory Access ControlMandatory Access Control是是比比DACDAC更為嚴(yán)格的訪問控制策略。更為嚴(yán)格的訪問控制策略。l具體實現(xiàn)時，每個用戶及文件都被賦予一定的平具體實現(xiàn)時，每個用戶及文件都被賦予一定的平安級別，用戶不能改變自身或任何客體的平安級安級別，用戶不能改變自身或任何客體的平安級別，只有系統(tǒng)管理員可以確定用戶和組的訪問

54、權(quán)別，只有系統(tǒng)管理員可以確定用戶和組的訪問權(quán)限。系統(tǒng)通過比較用戶和訪問的文件的平安級別限。系統(tǒng)通過比較用戶和訪問的文件的平安級別來決定用戶是否可以訪問該文件。來決定用戶是否可以訪問該文件。Bell-La Padual模型模型l平安屬性用二元組表示密級、類別集合平安屬性用二元組表示密級、類別集合l密級：絕密、機(jī)密、秘密、公開密級：絕密、機(jī)密、秘密、公開l絕密絕密機(jī)密機(jī)密秘密秘密公開公開l模型對系統(tǒng)中的每個用戶分配一個平安屬性，模型對系統(tǒng)中的每個用戶分配一個平安屬性，它反映了對用戶不將敏感信息泄露給不持有相它反映了對用戶不將敏感信息泄露給不持有相應(yīng)平安屬性用戶的置信度。應(yīng)平安屬性用戶的置信度。訪問

55、模式訪問模式9.5 強(qiáng)制訪問控制強(qiáng)制訪問控制lBell-La Padual模型模型 l簡單平安規(guī)那么簡單平安規(guī)那么l僅當(dāng)主體的敏感級不低于客體敏感級且主體的類別集僅當(dāng)主體的敏感級不低于客體敏感級且主體的類別集合包含客體時，才允許該主體讀該客體。即主體只能合包含客體時，才允許該主體讀該客體。即主體只能讀密級等于或低于它的客體，也就是說主體只能從下讀密級等于或低于它的客體，也就是說主體只能從下讀，而不能從上讀讀，而不能從上讀l星規(guī)那么星規(guī)那么l僅當(dāng)主體的敏感級不高于客體敏感級且客體的類別集僅當(dāng)主體的敏感級不高于客體敏感級且客體的類別集合包含主體的類別集合時，才允許該主體寫該客體。合包含主體的類別集

56、合時，才允許該主體寫該客體。即主體只能寫密級等于或高于它的客體，也就是說主即主體只能寫密級等于或高于它的客體，也就是說主體只能向上寫，而不能向下寫體只能向上寫，而不能向下寫第第9 9章章 第第5 5節(jié)節(jié)平安策略平安策略Biba模型模型 l基于信息完整性保護(hù)基于信息完整性保護(hù) 用完整性取代敏感等級用完整性取代敏感等級9.5 強(qiáng)制訪問控制強(qiáng)制訪問控制lBiba模型模型 l簡單完整規(guī)那么簡單完整規(guī)那么l僅當(dāng)主體的完整級大于等于客體的完整級且主體的類僅當(dāng)主體的完整級大于等于客體的完整級且主體的類別集合包含客體的類別集時，才允許該主體寫該客體。別集合包含客體的類別集時，才允許該主體寫該客體。即主體只能向

57、下寫，而不能向上寫，也就是說主體只即主體只能向下寫，而不能向上寫，也就是說主體只能寫修改完整性級別等于或低于它的客體能寫修改完整性級別等于或低于它的客體 l完整性制約規(guī)那么星規(guī)那么完整性制約規(guī)那么星規(guī)那么l僅當(dāng)主體的完整級不高于客體完整級且客體的類別集僅當(dāng)主體的完整級不高于客體完整級且客體的類別集合包含主體的類別集合時，才允許該主體讀讀客體。合包含主體的類別集合時，才允許該主體讀讀客體。即主體只能從上讀，而不能從下讀即主體只能從上讀，而不能從下讀 第第9 9章章 第第5 5節(jié)節(jié)Biba模型平安策略模型平安策略9.6 新型訪問控制技術(shù)新型訪問控制技術(shù)l基于角色的訪問控制技術(shù)基于角色的訪問控制技術(shù)

58、 lRBACRBAC Role-Based Access Control Role-Based Access Control lNISTNISTNational Institute of Standard National Institute of Standard TechnologyTechnology l基于任務(wù)的訪問控制技術(shù)基于任務(wù)的訪問控制技術(shù) lTBAC TBAC Task-Based Access ControlTask-Based Access Control l基于組機(jī)制的訪問控制技術(shù)基于組機(jī)制的訪問控制技術(shù) l第第9 9章章 第第6 6節(jié)節(jié)9.6 新型訪問控制技術(shù)新型訪問控

59、制技術(shù)l四種四種RBAC模型模型l根本模型根本模型RBAC0 l角色的層次結(jié)構(gòu)角色的層次結(jié)構(gòu)RBAC1 l約束模型約束模型RBAC2 l混合模型混合模型RBAC3 第第9 9章章 第第6 6節(jié)節(jié)基于角色的訪問控制基于角色的訪問控制RBAC lRole-based Access ControlRole-based Access Control，RBACRBACl根本思想根本思想: : 將訪問許可權(quán)分配給一定的角色，用戶將訪問許可權(quán)分配給一定的角色，用戶通過飾演不同的角色獲得角色所擁有的訪問許可權(quán)。通過飾演不同的角色獲得角色所擁有的訪問許可權(quán)。 l與與MACMAC和和DACDAC將權(quán)限直接授予用戶

60、的方式不同，將權(quán)限直接授予用戶的方式不同，RBACRBAC從控制主體的角度出發(fā)，根據(jù)管理中相對穩(wěn)定的職從控制主體的角度出發(fā)，根據(jù)管理中相對穩(wěn)定的職權(quán)和責(zé)任來劃分角色，將訪問權(quán)限與角色相聯(lián)系；權(quán)和責(zé)任來劃分角色，將訪問權(quán)限與角色相聯(lián)系；通過給用戶分配適宜的角色，讓用戶與訪問權(quán)限相通過給用戶分配適宜的角色，讓用戶與訪問權(quán)限相聯(lián)系。聯(lián)系。l角色成為訪問控制中訪問主體和受控對象之間的一角色成為訪問控制中訪問主體和受控對象之間的一座橋梁。座橋梁。 基于角色的訪問控制基于角色的訪問控制 RBACl角色可以看做是一組操作的集合，不同的角色具有角色可以看做是一組操作的集合，不同的角色具有不同的操作集，這些操作