安全技術(shù)ch06身份認(rèn)證與訪問(wèn)控制電商08課件

第6章身份認(rèn)證與訪問(wèn)控制主要知識(shí)點(diǎn)：

--身份認(rèn)證

--訪問(wèn)控制概述

--自主訪問(wèn)控制

--強(qiáng)制訪問(wèn)控制

--基于角色的訪問(wèn)控制2023/1/141Ch6-身份認(rèn)證與訪問(wèn)控制在現(xiàn)實(shí)生活中，我們個(gè)人的身份主要是通過(guò)各種證件來(lái)確認(rèn)的，比如：身份證、戶口本等。認(rèn)證是對(duì)網(wǎng)絡(luò)中的主體進(jìn)行驗(yàn)證的過(guò)程，用戶必須提供他是誰(shuí)的證明，如他是某個(gè)雇員，某個(gè)組織的代理、某個(gè)軟件過(guò)程（如交易過(guò)程）等。身份認(rèn)證(authentication)是證明一個(gè)對(duì)象的身份的過(guò)程。與決定把什么特權(quán)附加給該身份的授權(quán)(authorization)不同。身份認(rèn)證又稱(chēng)實(shí)體鑒別2023/1/142Ch6-身份認(rèn)證與訪問(wèn)控制實(shí)體鑒別(EntityAuthentication)?實(shí)體鑒別就是確認(rèn)實(shí)體是它所聲明的，即證實(shí)主體的真實(shí)身份與其所聲稱(chēng)的身份是否相符的過(guò)程。某一成員（聲稱(chēng)者，示證者）提交一個(gè)主體的身份并聲稱(chēng)它是那個(gè)主體。實(shí)體鑒別目的是使別的成員（驗(yàn)證者）獲得對(duì)聲稱(chēng)者所聲稱(chēng)的事實(shí)的信任。實(shí)體鑒別的例子sina的郵件登錄、Telnet遠(yuǎn)程登錄、Ftp服務(wù)等2023/1/143Ch6-身份認(rèn)證與訪問(wèn)控制實(shí)體鑒別系統(tǒng)中可能涉及的實(shí)體?一方是出示證件的人，稱(chēng)作示證者P(Prover)，又稱(chēng)聲稱(chēng)者(Claimant)。?另一方為驗(yàn)證者V（Verifier),檢驗(yàn)聲稱(chēng)者提出的證件的正確性和合法性，決定是否滿足要求。?第三方是可信賴者TP（Trustedthirdparty)，參與調(diào)解糾紛。?第四方是攻擊者，可以竊聽(tīng)或偽裝聲稱(chēng)者騙取驗(yàn)證者的信任。2023/1/144Ch6-身份認(rèn)證與訪問(wèn)控制實(shí)體鑒別的重要性?實(shí)體鑒別是最重要的安全服務(wù)之一。鑒別服務(wù)提供了關(guān)于某個(gè)實(shí)體身份的保證。（很多其它的安全服務(wù)都依賴于該服務(wù)，如訪問(wèn)控制和審計(jì)服務(wù)）①作為訪問(wèn)控制服務(wù)的一種必要支持，訪問(wèn)控制服務(wù)的執(zhí)行依賴于確知的身份（訪問(wèn)控制服務(wù)直接對(duì)達(dá)到機(jī)密性、完整性、可用性及合法使用目標(biāo)提供支持）；②作為對(duì)責(zé)任原則的一種直接支持，例如，在審計(jì)追蹤過(guò)程中做記錄時(shí)，提供與某一活動(dòng)相聯(lián)系的確知身份。?實(shí)體鑒別可以對(duì)抗假冒攻擊的危險(xiǎn)2023/1/145Ch6-身份認(rèn)證與訪問(wèn)控制零知識(shí)證明?下面是一個(gè)故事：?Alice:“我知道聯(lián)邦儲(chǔ)備系統(tǒng)計(jì)算的口令”?Bob:“不，你不知道”?Alice：我知道?Bob：你不知道?Alice：我確實(shí)知道?Bob：請(qǐng)你的證實(shí)這一點(diǎn)?Alice：好吧，我告訴你。（她悄悄說(shuō)出了口令）?Bob：現(xiàn)在我也知道了。我要告訴《華盛頓郵報(bào)》?Alice：啊呀！2023/1/147Ch6-身份認(rèn)證與訪問(wèn)控制零知識(shí)證明把這個(gè)問(wèn)題一般化，用P表示示證者，V表示驗(yàn)證者，P試圖向V證明自己知道某信息。一種方法是P說(shuō)出這一信息使得V相信，這樣V也知道了這一信息，這叫基于知識(shí)的證明；另一種方法是使用某種有效的方法，使得V相信他掌握這一信息，卻不泄漏任何有用的信息，這種方法稱(chēng)為零知識(shí)證明問(wèn)題。零知識(shí)證明滿足2個(gè)條件：P幾乎不可能欺騙VV無(wú)法從P那里得到任何有關(guān)證明的知識(shí)，特別是他不可能向別人重復(fù)證明過(guò)程2023/1/148Ch6-身份認(rèn)證與訪問(wèn)控制圖6.1身份認(rèn)證是安全系統(tǒng)中的第一道關(guān)卡2023/1/1410Ch6-身份認(rèn)證與訪問(wèn)控制單向認(rèn)證和雙向認(rèn)證軟件認(rèn)證和硬件認(rèn)證單因子認(rèn)證和雙因子認(rèn)證靜態(tài)認(rèn)證和動(dòng)態(tài)認(rèn)證

認(rèn)證手段:基于用戶所知道的(whatyouknow)基于用戶所擁有的(whatyouhave)基于用戶本身的（生物特征如：語(yǔ)音特征、筆跡特征或指紋）相關(guān)概念

2023/1/1411Ch6-身份認(rèn)證與訪問(wèn)控制6.1.1身份認(rèn)證的基本方法

用戶名/密碼方式

IC卡認(rèn)證方式動(dòng)態(tài)口令方式生物特征認(rèn)證方式USBKey認(rèn)證方式2023/1/1412Ch6-身份認(rèn)證與訪問(wèn)控制用戶名/密碼方式是一種基于“用戶所知道”的驗(yàn)證手段每一個(gè)合法用戶都有系統(tǒng)給的一個(gè)用戶名/口令對(duì)，當(dāng)用戶要求訪問(wèn)提供服務(wù)的系統(tǒng)時(shí)，系統(tǒng)就要求輸入用戶名、口令，在收到口令后，將其與系統(tǒng)中存儲(chǔ)的用戶口令進(jìn)行比較，以確認(rèn)被認(rèn)證對(duì)象是否為合法訪問(wèn)者。如果正確，則該用戶的身份得到了驗(yàn)證。

優(yōu)點(diǎn)：由于一般的操作系統(tǒng)都提供了對(duì)口令認(rèn)證的支持，對(duì)于封閉的小型系統(tǒng)來(lái)說(shuō)是一種簡(jiǎn)單可行的方法。缺點(diǎn)：是一種單因素的認(rèn)證，它的安全性依賴于密碼。由于許多用戶為了防止忘記密碼，經(jīng)常會(huì)采用容易被他人猜到的有意義的字符串作為密碼，因此極易造成密碼泄露。密碼一旦泄露，用戶即可被冒充。

2023/1/1413Ch6-身份認(rèn)證與訪問(wèn)控制?常規(guī)的口令方案涉及不隨時(shí)間變化的口令，提供所謂的弱鑒別(weakauthentication)。?口令或通行字機(jī)制是最廣泛研究和使用的身份鑒別法。通常為長(zhǎng)度為不小于5的字符串。選擇原則：易記、難猜、抗分析能力強(qiáng)。?口令系統(tǒng)有許多脆弱點(diǎn)：外部泄露口令猜測(cè)線路竊聽(tīng)重放2023/1/1414Ch6-身份認(rèn)證與訪問(wèn)控制POP3passwd2023/1/1415Ch6-身份認(rèn)證與訪問(wèn)控制動(dòng)態(tài)口令方式是一種讓用戶的密碼按照時(shí)間或使用次數(shù)不斷動(dòng)態(tài)變化，每個(gè)密碼只使用一次的技術(shù)

采用動(dòng)態(tài)密碼卡(專(zhuān)用硬件)，密碼生成芯片運(yùn)行專(zhuān)門(mén)的密碼算法，根據(jù)當(dāng)前時(shí)間或使用次數(shù)生成當(dāng)前密碼。用戶將動(dòng)態(tài)令牌上顯示的當(dāng)前密碼輸入，由這個(gè)信息的正確與否可識(shí)別使用者的身份。

優(yōu)點(diǎn)：采用一次一密的方法，不能由產(chǎn)生的內(nèi)容去預(yù)測(cè)出下一次的內(nèi)容。而且輸入方法普遍(一般計(jì)算機(jī)鍵盤(pán)即可)，能符合網(wǎng)絡(luò)行為雙方的需要。

缺點(diǎn)：如果客戶端硬件與服務(wù)器端程序的時(shí)間或次數(shù)不能保持良好的同步，就可能發(fā)生合法用戶無(wú)法登錄的問(wèn)題，這使得用戶的使用非常不方便。2023/1/1417Ch6-身份認(rèn)證與訪問(wèn)控制IC卡認(rèn)證方式是一種基于“用戶所擁有”的認(rèn)證手段

IC卡由合法用戶隨身攜帶，登錄時(shí)必須將IC卡插入專(zhuān)用的讀卡器中讀取其中的信息，以驗(yàn)證用戶的身份。優(yōu)點(diǎn)：

通過(guò)IC卡硬件的不可復(fù)制性可保證用戶身份不會(huì)被仿冒。缺點(diǎn)：由于每次從IC卡中讀取的數(shù)據(jù)還是靜態(tài)的，通過(guò)內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽(tīng)等技術(shù)還是很容易能截取到用戶的身份驗(yàn)證信息。因此，靜態(tài)驗(yàn)證的方式還是存在著根本的安全隱患。2023/1/1418Ch6-身份認(rèn)證與訪問(wèn)控制USBKey認(rèn)證方式采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證模式。

USBKey是一種USB接口的硬件設(shè)備，它內(nèi)置單片機(jī)或智能卡芯片，可以存儲(chǔ)用戶的密鑰或數(shù)字證書(shū)，利用USBKey內(nèi)置的密碼學(xué)算法實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。

基于PKI體系的認(rèn)證模式

優(yōu)點(diǎn)：便于攜帶、使用方便、成本低廉、安全可靠性很高，被認(rèn)為將會(huì)成為身份認(rèn)證的主要發(fā)展方向。缺點(diǎn)：安全性不如生物特征認(rèn)證。2023/1/1420Ch6-身份認(rèn)證與訪問(wèn)控制6.1.2常用身份認(rèn)證機(jī)制

簡(jiǎn)單認(rèn)證機(jī)制

基于DCE/Kerberos的認(rèn)證機(jī)制

基于公共密鑰的認(rèn)證機(jī)制

2023/1/1421Ch6-身份認(rèn)證與訪問(wèn)控制簡(jiǎn)單認(rèn)證機(jī)制

口令認(rèn)證一次性口令(One-TimePassword)2023/1/1422Ch6-身份認(rèn)證與訪問(wèn)控制口令認(rèn)證過(guò)程：①用戶將口令傳送給計(jì)算機(jī)；②計(jì)算機(jī)完成口令單向函數(shù)值的計(jì)算；③計(jì)算機(jī)把單向函數(shù)值和機(jī)器存儲(chǔ)的值比較。不足之處：以明文方式輸入口令容易泄密；口令在傳輸過(guò)程中可能被截獲；口令以文件形式存儲(chǔ)在認(rèn)證方，易于被攻擊者獲取；用戶為了記憶的方便，訪問(wèn)多個(gè)不同安全級(jí)別的系統(tǒng)時(shí)往往采用相同的口令，使得攻擊者也能對(duì)高安全級(jí)別系統(tǒng)進(jìn)行攻擊。只能進(jìn)行單向認(rèn)證，即系統(tǒng)可以認(rèn)證用戶，而用戶無(wú)法對(duì)系統(tǒng)進(jìn)行認(rèn)證?？诹钫J(rèn)證2023/1/1423Ch6-身份認(rèn)證與訪問(wèn)控制基于DCE/Kerberos的認(rèn)證機(jī)制圖6.2認(rèn)證雙方與Kerberos的關(guān)系

DCE/Kerberos是一種被證明為非常安全的雙向身份認(rèn)證技術(shù)。Kerberos既不依賴用戶登錄的終端，也不依賴用戶所請(qǐng)求的服務(wù)的安全機(jī)制，它本身提供了認(rèn)證服務(wù)器來(lái)完成用戶的認(rèn)證工作。

DCE/Kerberos的身份認(rèn)證強(qiáng)調(diào)了客戶機(jī)對(duì)服務(wù)器的認(rèn)證；而其它產(chǎn)品，只解決了服務(wù)器對(duì)客戶機(jī)的認(rèn)證。2023/1/1424Ch6-身份認(rèn)證與訪問(wèn)控制基于公共密鑰的認(rèn)證機(jī)制使用符合X.509的身份證明使用這種方法必須有一個(gè)第三方的授權(quán)證明（CertificatesofAuthority,CA）中心為客戶簽發(fā)身份證明?？蛻艉头?wù)器各自從CA獲取證明，并且信任該授權(quán)證明中心。在會(huì)話和通訊時(shí)首先交換身份證明，其中包含了將各自的公鑰交給對(duì)方，然后才使用對(duì)方的公鑰驗(yàn)證對(duì)方的數(shù)字簽名、交換通訊的加密密鑰等。在確定是否接受對(duì)方的身份證明時(shí)，還需檢查有關(guān)服務(wù)器，以確認(rèn)該證明是否有效。優(yōu)點(diǎn):是非常安全的用戶認(rèn)證形式。缺點(diǎn)：實(shí)現(xiàn)起來(lái)比較復(fù)雜，要求通信的次數(shù)多，而且計(jì)算量較大。2023/1/1425Ch6-身份認(rèn)證與訪問(wèn)控制6.2.1訪問(wèn)控制的基本概念

主體（Subject）：主體是指主動(dòng)的實(shí)體，是訪問(wèn)的發(fā)起者，它造成了信息的流動(dòng)和系統(tǒng)狀態(tài)的改變，主體通常包括人、進(jìn)程和設(shè)備。

客體（Object）：客體是指包含或接受信息的被動(dòng)實(shí)體，客體在信息流動(dòng)中的地位是被動(dòng)的，是處于主體的作用之下，對(duì)客體的訪問(wèn)意味著對(duì)其中所包含信息的訪問(wèn)?？腕w通常包括文件、設(shè)備、信號(hào)量和網(wǎng)絡(luò)節(jié)點(diǎn)等。訪問(wèn)（Access）：是使信息在主體和客體之間流動(dòng)的一種交互方式。訪問(wèn)包括讀取數(shù)據(jù)、更改數(shù)據(jù)、運(yùn)行程序、發(fā)起連接等。2023/1/1427Ch6-身份認(rèn)證與訪問(wèn)控制6.2.1訪問(wèn)控制的基本概念

訪問(wèn)控制（AccessControl）：訪問(wèn)控制規(guī)定了主體對(duì)客體訪問(wèn)的限制，并在身份識(shí)別的基礎(chǔ)上，根據(jù)身份對(duì)提出資源訪問(wèn)的請(qǐng)求加以控制。訪問(wèn)控制決定了誰(shuí)能夠訪問(wèn)系統(tǒng)，能訪問(wèn)系統(tǒng)的何種資源以及如何使用這些資源。訪問(wèn)控制所要控制的行為主要有讀取數(shù)據(jù)、運(yùn)行可執(zhí)行文件、發(fā)起網(wǎng)絡(luò)連接等。2023/1/1428Ch6-身份認(rèn)證與訪問(wèn)控制入網(wǎng)訪問(wèn)控制入網(wǎng)訪問(wèn)控制為網(wǎng)絡(luò)訪問(wèn)提供了第一層訪問(wèn)控制，通過(guò)控制機(jī)制來(lái)明確能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源的合法用戶、用戶入網(wǎng)的時(shí)間和準(zhǔn)許入網(wǎng)的工作站等。

基于用戶名和口令的用戶入網(wǎng)訪問(wèn)控制可分為三個(gè)步驟：用戶名的識(shí)別與驗(yàn)證、用戶口令的識(shí)別與驗(yàn)證和用戶賬號(hào)的缺省限制檢查。如果有任何一個(gè)步驟未通過(guò)檢驗(yàn)，該用戶便不能進(jìn)入該網(wǎng)絡(luò)。

2023/1/1430Ch6-身份認(rèn)證與訪問(wèn)控制網(wǎng)絡(luò)權(quán)限控制網(wǎng)絡(luò)權(quán)限控制是針對(duì)網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。能夠訪問(wèn)網(wǎng)絡(luò)的合法用戶被劃分為不同的用戶組，不同的用戶組被賦予不同的權(quán)限。訪問(wèn)控制機(jī)制明確了不同用戶組可以訪問(wèn)哪些目錄、子目錄、文件和其他資源等，指明不同用戶對(duì)這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作等。

2023/1/1431Ch6-身份認(rèn)證與訪問(wèn)控制目錄級(jí)控制目錄級(jí)安全控制是針對(duì)用戶設(shè)置的訪問(wèn)控制，控制用戶對(duì)目錄、文件、設(shè)備的訪問(wèn)。用戶在目錄一級(jí)指定的權(quán)限對(duì)所有文件和子目錄有效，用戶還可以進(jìn)一步指定對(duì)目錄下的子目錄和文件的權(quán)限。對(duì)目錄和文件的訪問(wèn)權(quán)限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán)限、寫(xiě)權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限和訪問(wèn)控制權(quán)限。

2023/1/1432Ch6-身份認(rèn)證與訪問(wèn)控制網(wǎng)絡(luò)服務(wù)器的安全控制網(wǎng)絡(luò)服務(wù)器的安全控制是由網(wǎng)絡(luò)操作系統(tǒng)負(fù)責(zé)。網(wǎng)絡(luò)服務(wù)器的安全控制包括可以設(shè)置口令鎖定服務(wù)器控制臺(tái)，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)。此外，還可以設(shè)定服務(wù)器登錄時(shí)間限制、非法訪問(wèn)者檢測(cè)和關(guān)閉的時(shí)間間隔等。

2023/1/1433Ch6-身份認(rèn)證與訪問(wèn)控制6.2.3訪問(wèn)控制原理

訪問(wèn)控制包括兩個(gè)重要過(guò)程：通過(guò)“鑒別（authentication）”來(lái)驗(yàn)證主體的合法身份；通過(guò)“授權(quán)（authorization）”來(lái)限制用戶可以對(duì)某一類(lèi)型的資源進(jìn)行何種類(lèi)型的訪問(wèn)。

2023/1/1434Ch6-身份認(rèn)證與訪問(wèn)控制例如，當(dāng)用戶試圖訪問(wèn)您的Web服務(wù)器時(shí)，服務(wù)器執(zhí)行幾個(gè)訪問(wèn)控制進(jìn)程來(lái)識(shí)別用戶并確定允許的訪問(wèn)級(jí)別。其訪問(wèn)控制過(guò)程：（1）客戶請(qǐng)求服務(wù)器上的資源。（2）將依據(jù)IIS中IP地址限制檢查客戶機(jī)的IP地址。如果IP地址是禁止訪問(wèn)的，則請(qǐng)求就會(huì)失敗并且給用戶返回“403禁止訪問(wèn)”消息。2023/1/1435Ch6-身份認(rèn)證與訪問(wèn)控制（3）如果服務(wù)器要求身份驗(yàn)證，則服務(wù)器從客戶端請(qǐng)求身份驗(yàn)證信息。瀏覽器既提示用戶輸入用戶名和密碼，也可以自動(dòng)提供這些信息。（在用戶訪問(wèn)服務(wù)器上任何信息之前，可以要求用戶提供有效的MicrosoftWindows用戶帳戶、用戶名和密碼。該標(biāo)識(shí)過(guò)程就稱(chēng)為“身份驗(yàn)證”?？梢栽诰W(wǎng)站或FTP站點(diǎn)、目錄或文件級(jí)別設(shè)置身份驗(yàn)證。可以使用Internet信息服務(wù)（IIS提供的）身份驗(yàn)證方法來(lái)控制對(duì)網(wǎng)站和FTP站點(diǎn)的訪問(wèn)。）（4)IIS檢查用戶是否擁有有效的Windows用戶帳戶。如果用戶沒(méi)有提供，則請(qǐng)求就會(huì)失敗并且給用戶返回“401拒絕訪問(wèn)”消息。2023/1/1436Ch6-身份認(rèn)證與訪問(wèn)控制（5)IIS檢查用戶是否具有請(qǐng)求資源的Web權(quán)限。如果用戶沒(méi)有提供，則請(qǐng)求就會(huì)失敗并且給用戶返回“403禁止訪問(wèn)”消息。（6)添加任何安全模塊，如MicrosoftASP.NET模擬。（7)IIS檢查有關(guān)靜態(tài)文件、ActiveServerPages(ASP)和通用網(wǎng)關(guān)接口(CGI)文件上資源的NTFS權(quán)限。如果用戶不具備資源的NTFS權(quán)限，則請(qǐng)求就會(huì)失敗并且給用戶返回“401拒絕訪問(wèn)”消息。（8)如果用戶具有NTFS權(quán)限，則可完成該請(qǐng)求。2023/1/1437Ch6-身份認(rèn)證與訪問(wèn)控制三種訪問(wèn)控制策略自主訪問(wèn)控制強(qiáng)制訪問(wèn)控制基于角色的訪問(wèn)控制2023/1/1438Ch6-身份認(rèn)證與訪問(wèn)控制6.3自主訪問(wèn)控制（DAC）

自主訪問(wèn)控制（DiscretionaryAccessControl）是指對(duì)某個(gè)客體具有擁有權(quán)（或控制權(quán)）的主體能夠?qū)?duì)該客體的一種訪問(wèn)權(quán)或多種訪問(wèn)權(quán)自主地授予其它主體，并在隨后的任何時(shí)刻將這些權(quán)限回收。這種控制是自主的，也就是指具有授予某種訪問(wèn)權(quán)力的主體（用戶）能夠自己決定是否將訪問(wèn)控制權(quán)限的某個(gè)子集授予其他的主體或從其他主體那里收回他所授予的訪問(wèn)權(quán)限。

2023/1/1439Ch6-身份認(rèn)證與訪問(wèn)控制例如，假設(shè)某所大學(xué)使用計(jì)算機(jī)系統(tǒng)進(jìn)行學(xué)生信息的管理。教務(wù)處在系統(tǒng)中建立了一張表，存入了每個(gè)學(xué)生的有關(guān)信息，如姓名、年齡、年級(jí)、專(zhuān)業(yè)、系別、成績(jī)、受過(guò)哪些獎(jiǎng)勵(lì)和處分等。教務(wù)處不允許每個(gè)學(xué)生都能看到所有這些信息，他可能按這樣一個(gè)原則來(lái)控制:每個(gè)學(xué)生可以看到自己的有關(guān)信息，但不允許看別人的；每個(gè)班的老師可以隨時(shí)查看自己班的學(xué)生的有關(guān)信息，但不能查看其他班學(xué)生的信息；并且教務(wù)處可限制教務(wù)處以外的所有用戶不得修改這些信息，也不能插入和刪除表中的信息，這些信息的擁有者是教務(wù)處。2023/1/1440Ch6-身份認(rèn)證與訪問(wèn)控制教務(wù)處可按照上述原則對(duì)系統(tǒng)中的用戶（該大學(xué)的所有老師和學(xué)生）進(jìn)行授權(quán)。于是其他用戶只能根據(jù)教務(wù)處的授權(quán)來(lái)對(duì)這張表進(jìn)行訪問(wèn)。根據(jù)教務(wù)處的授權(quán)規(guī)則，計(jì)算機(jī)中相應(yīng)存放有一張表（授權(quán)表），將教務(wù)處的授權(quán)情況記錄下來(lái)，以后當(dāng)任何用戶對(duì)教務(wù)處的數(shù)據(jù)要進(jìn)行訪問(wèn)時(shí)，系統(tǒng)首先查這張表，檢查教務(wù)處是否對(duì)他進(jìn)行了授權(quán)，如果有授權(quán)，計(jì)算機(jī)就執(zhí)行其操作；若沒(méi)有，則拒絕執(zhí)行。2023/1/1441Ch6-身份認(rèn)證與訪問(wèn)控制自主訪問(wèn)控制中，用戶可以針對(duì)被保護(hù)對(duì)象制定自己的保護(hù)策略。優(yōu)點(diǎn):靈活性、易用性與可擴(kuò)展性

缺點(diǎn):這種控制是自主的，帶來(lái)了嚴(yán)重的安全問(wèn)題。

2023/1/1442Ch6-身份認(rèn)證與訪問(wèn)控制

強(qiáng)制訪問(wèn)控制（MandatoryAccessControl）是指計(jì)算機(jī)系統(tǒng)根據(jù)使用系統(tǒng)的機(jī)構(gòu)事先確定的安全策略，對(duì)用戶的訪問(wèn)權(quán)限進(jìn)行強(qiáng)制性的控制。也就是說(shuō)，系統(tǒng)獨(dú)立于用戶行為強(qiáng)制執(zhí)行訪問(wèn)控制，用戶不能改變他們的安全級(jí)別或?qū)ο蟮陌踩珜傩?。?qiáng)制訪問(wèn)控制進(jìn)行了很強(qiáng)的等級(jí)劃分，所以經(jīng)常用于軍事用途。6.4強(qiáng)制訪問(wèn)控制(MAC)

圖6-3強(qiáng)制訪問(wèn)控制示例

2023/1/1443Ch6-身份認(rèn)證與訪問(wèn)控制例如，某單位部分行政機(jī)構(gòu)如下圖：2023/1/1444Ch6-身份認(rèn)證與訪問(wèn)控制假設(shè)計(jì)算機(jī)系統(tǒng)中的數(shù)據(jù)的密級(jí)為：一般＜秘密＜機(jī)密＜絕密定義校長(zhǎng)的安全級(jí)C校長(zhǎng)＝（絕密，{人事處,教務(wù)處,財(cái)務(wù)處,設(shè)備處}），（即校長(zhǎng)的密級(jí)為絕密，部門(mén)屬性為所有的部門(mén)）教務(wù)處長(zhǎng)的安全級(jí)C教=(機(jī)密,{教務(wù)處})財(cái)務(wù)處長(zhǎng)的安全級(jí)C財(cái)=(機(jī)密,{財(cái)務(wù)處})財(cái)務(wù)一科長(zhǎng)的安全級(jí)C一財(cái)=(秘密,{財(cái)務(wù)處})財(cái)務(wù)處工作人員的安全級(jí)C工=(一般,{財(cái)務(wù)處})假設(shè)財(cái)務(wù)一科長(zhǎng)產(chǎn)生了一份工作文件A，文件A的安全級(jí)定義為與一科長(zhǎng)的安全級(jí)相同，即CA=(秘密,{財(cái)務(wù)處})，那么，對(duì)于文件A，只有校長(zhǎng)和財(cái)務(wù)處長(zhǎng)能看到，而教務(wù)處長(zhǎng)不能看，盡管教務(wù)處長(zhǎng)的密級(jí)是機(jī)密級(jí)，可以看秘密級(jí)的文件，但教務(wù)處長(zhǎng)的部門(mén)屬性僅是{教務(wù)處},他無(wú)權(quán)看財(cái)務(wù)處的信息。2023/1/1445Ch6-身份認(rèn)證與訪問(wèn)控制強(qiáng)制訪問(wèn)控制在自主訪問(wèn)控制的基礎(chǔ)上，增加了對(duì)網(wǎng)絡(luò)資源的屬性劃分，規(guī)定不同屬性下的訪問(wèn)權(quán)限。優(yōu)點(diǎn):安全性比自主訪問(wèn)控制的安全性有了提高。

缺點(diǎn):靈活性要差一些。

2023/1/1446Ch6-身份認(rèn)證與訪問(wèn)控制6.5基于角色的訪問(wèn)控制(RBAC)傳統(tǒng)的訪問(wèn)控制方法中，都是由主體和訪問(wèn)權(quán)限直接發(fā)生關(guān)系，主要針對(duì)用戶個(gè)人授予權(quán)限，主體始終是和特定的實(shí)體捆綁對(duì)應(yīng)的。這樣會(huì)出現(xiàn)一些問(wèn)題：在用戶注冊(cè)到銷(xiāo)戶這期間，用戶的權(quán)限需要變更時(shí)必須在系統(tǒng)管理員的授權(quán)下才能進(jìn)行，因此很不方便；大型應(yīng)用系統(tǒng)的訪問(wèn)用戶往往種類(lèi)繁多、數(shù)量巨大、并且動(dòng)態(tài)變化，當(dāng)用戶量大量增加時(shí)，按每個(gè)用戶分配一個(gè)注冊(cè)賬號(hào)的方式將使得系統(tǒng)管理變得復(fù)雜，工作量急劇增加，且容易出錯(cuò)；也很難實(shí)現(xiàn)系統(tǒng)的層次化分權(quán)管理，尤其是當(dāng)同一用戶在不同場(chǎng)合處在不同的權(quán)限層次時(shí)，系統(tǒng)管理很難實(shí)現(xiàn)（除非同一用戶以多個(gè)用戶名注冊(cè)）。

2023/1/1447Ch6-身份認(rèn)證與訪問(wèn)控制在用戶和訪問(wèn)權(quán)限之間引入角色的概念，將用戶