1.訪問控制簡介

在計(jì)算機(jī)系統(tǒng)中，認(rèn)證、訪問控制（Access Control）和審計(jì)共同建立了保護(hù)系統(tǒng)安全的基礎(chǔ)。認(rèn)證是用戶進(jìn)入系統(tǒng)的第一道防線，訪問控制是在鑒別用戶的合法身份后，控制用戶對(duì)數(shù)據(jù)信息的訪問，它是通過引用監(jiān)控器實(shí)施這種訪問控制的。

訪問控制是在身份認(rèn)證的基礎(chǔ)上，根據(jù)身份對(duì)提出的資源訪問請求加以控制，是針對(duì)越權(quán)使用資源的現(xiàn)象進(jìn)行防御的措施。訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它可以限制對(duì)關(guān)鍵資源的訪問，防止非法用戶或合法用戶的不慎操作所造成的破壞。

目的：為了限制訪問主體（用戶、進(jìn)程、服務(wù)等）對(duì)訪問客體（文件、系統(tǒng)等）的訪問權(quán)限，從而使計(jì)算機(jī)系統(tǒng)在合法范圍內(nèi)使用；決定用戶能做什么，也決定代表一定用戶利益的程序能做什么。

訪問控制三元組：主體、客體、訪問控制策略

主體是訪問客體的主動(dòng)實(shí)體；客體是被訪問的被動(dòng)實(shí)體

主體是一個(gè)主動(dòng)的實(shí)體，它提供對(duì)客體中的對(duì)象或數(shù)據(jù)的訪問要求。主體可以是能夠訪問信息的用戶、程序、進(jìn)程。當(dāng)程序訪問文件時(shí)，程序是主體而文件是客體。
客體是含有被訪問信息的被動(dòng)實(shí)體。客體可以是一臺(tái)計(jì)算機(jī)、一個(gè)數(shù)據(jù)庫、一個(gè)文件、一個(gè)計(jì)算機(jī)程序、目錄，甚至可以是一個(gè)數(shù)據(jù)庫中的一個(gè)表中的一個(gè)數(shù)據(jù)區(qū)。當(dāng)你在數(shù)據(jù)庫中查詢信息的時(shí)候，你就是一個(gè)主動(dòng)實(shí)體，而數(shù)據(jù)庫就是一個(gè)被動(dòng)實(shí)體。

2.訪問控制模型

2.1.自主訪問控制

自主訪問控制DAC模型是根據(jù)自主訪問控制策略建立的一種模型，允許合法用戶以用戶或用戶組的身份訪問策略規(guī)定的客體，同時(shí)阻止非授權(quán)用戶訪問客體，某些用戶還可以自主地把自己所擁有的客體的訪問權(quán)限授予其它用戶。

自主訪問控制又稱為任意訪問控制。Linux\Unix、Windows操作系統(tǒng)都提供自主訪問控制的功能。在實(shí)現(xiàn)上，首先要對(duì)用戶的身份進(jìn)行鑒別，然后就可以按照訪問控制列表所賦予用戶的權(quán)限允許和限制用戶使用客體的資源。主體控制權(quán)限的修改通常由特權(quán)用戶或是特權(quán)用戶（管理員）組實(shí)現(xiàn)。

2.1.1.訪問控制矩陣

為了實(shí)現(xiàn)完備的自主訪問控制系統(tǒng)，由訪問控制矩陣提供的信息必須以某種形式存放在系統(tǒng)中。訪問矩陣中的每行表示一個(gè)主體，每一列則表示一個(gè)受保護(hù)的客體，而矩陣中的元素，則表示主體可以對(duì)客體的訪問模式。

2.1.2.訪問能力表和訪問控制表

基于矩陣的行的訪問控制信息表示是訪問能力表（CL, Capacity List），即每個(gè)主體都附加一個(gè)該主體可訪問的客體的明細(xì)表。
基于矩陣的列的訪問控制信息表示的是訪問控制表（ACL, Access Control List），即每個(gè)客體附加一個(gè)它可以訪問的主體的明細(xì)表。

多數(shù)集中式操作系統(tǒng)中使用訪問控制表或者類似方式實(shí)施訪問控制。由于分布式系統(tǒng)中很難確定給定客體的潛在主體集，在現(xiàn)代OS中CL也得到廣泛應(yīng)用。

自主訪問控制機(jī)制，由于它易于擴(kuò)展和理解。大多數(shù)系統(tǒng)僅基于自主訪問控制機(jī)制來實(shí)現(xiàn)訪問控制，如主流操作系統(tǒng)、防火墻等。

2.2.強(qiáng)制訪問控制

強(qiáng)制訪問控制（MAC，Mandatory Access Control）是“強(qiáng)加”給訪問主體的，即系統(tǒng)強(qiáng)制主體服從訪問控制政策。強(qiáng)制訪問控制的主要特征是對(duì)所有主體及其所控制的客體（例如：進(jìn)程、文件、段、設(shè)備）實(shí)施強(qiáng)制訪問控制。

2.2.1.安全標(biāo)簽

強(qiáng)制訪問控制對(duì)訪問主體和受控對(duì)象標(biāo)識(shí)兩個(gè)安全標(biāo)簽：一個(gè)是具有偏序關(guān)系的安全等級(jí)標(biāo)簽；另一個(gè)是非等級(jí)分類標(biāo)簽。它們是實(shí)施強(qiáng)制訪問控制的依據(jù)。系統(tǒng)通過比較主體和客體的安全標(biāo)簽來決定一個(gè)主體是否能夠訪問某個(gè)客體。用戶的程序不能改變他自己及任何其它客體的安全標(biāo)簽，只有管理員才能夠確定用戶和組的訪問權(quán)限。
安全標(biāo)簽是限制和附屬在主體或客體上的一組安全屬性信息。安全標(biāo)簽的含義比能力更為廣泛和嚴(yán)格，因?yàn)樗鼘?shí)際上還建立了一個(gè)嚴(yán)格的安全等級(jí)集合。

2.2.2.強(qiáng)制訪問策略

強(qiáng)制訪問策略將每個(gè)主體與客體賦予一個(gè)訪問級(jí)別，如，最高秘密級(jí)（Top Secret），秘密級(jí)（Secret），機(jī)密級(jí)（Confidential）及無級(jí)別級(jí)（Unclassified），定義其級(jí)別為T>S>C>U。用一個(gè)例子來說明強(qiáng)制訪問控制規(guī)則的應(yīng)用，如WEB服務(wù)以“秘密級(jí)”的安全級(jí)別運(yùn)行。假如WEB服務(wù)器被攻擊，攻擊者在目標(biāo)系統(tǒng)中以“秘密級(jí)”的安全級(jí)別進(jìn)行操作，他將不能訪問系統(tǒng)中安全級(jí)為“最高秘密級(jí)”的數(shù)據(jù)。

強(qiáng)制訪問控制系統(tǒng)根據(jù)主體和客體的敏感標(biāo)記來決定訪問模式，訪問模式包括：
向下讀（rd，read down）：主體安全級(jí)別高于客體信息資源的安全級(jí)別時(shí)允許的讀操作；
向上讀（ru，read up）：主體安全級(jí)別低于客體信息資源的安全級(jí)別時(shí)允許的讀操作；
向下寫（wd，write down）：主體安全級(jí)別高于客體信息資源的安全級(jí)別時(shí)允許執(zhí)行的寫操作；
向上寫（wu，write up）：主體安全級(jí)別低于客體信息資源的安全級(jí)別時(shí)允許執(zhí)行的寫操作。

2.2.3.Bell-LaPadula模型和Biba模型

由于MAC通過分級(jí)的安全標(biāo)簽實(shí)現(xiàn)了信息的單向流通，因此它一直被軍方采用，其中最著名的是Bell-LaPadula模型和Biba模型：Bell-LaPadula模型具有只允許向下讀、向上寫的特點(diǎn)，可以有效地防止機(jī)密信息向下級(jí)泄露；Biba模型則具有不允許向下讀、向上寫的特點(diǎn)，可以有效地保護(hù)數(shù)據(jù)的完整性。

Bell-LaPadula模型
Bell-Lapadula安全模型（也稱為BLP模型）利用“不上讀/不下寫”的原則來保證數(shù)據(jù)的保密性。
以信息的敏感度作為安全等級(jí)的劃分標(biāo)準(zhǔn)，主體和客體用戶被劃分為以下安全等級(jí)：公開(Unclassified)、秘密(Confidential)、機(jī)密(Secret)、絕密(Top Secret)，安全等級(jí)依次增高。
BLP模型不允許低安全等級(jí)的用戶讀高敏感度的信息，也不允許高敏感度的信息寫入低敏感度區(qū)域，禁止信息從高級(jí)別流向低級(jí)別。強(qiáng)制訪問控制通過這種梯度安全標(biāo)簽實(shí)現(xiàn)信息的單向流通，這種方法一般應(yīng)用于軍事用途。

Biba模型
由于BLP模型存在不保護(hù)信息的完整性和可用性、不涉及訪問控制等缺點(diǎn)。Biba模型針對(duì)的是信息的完整性保護(hù)，主要用于非軍用領(lǐng)域。
Biba模型的劃分標(biāo)準(zhǔn)是信息對(duì)象的完整性，主體和客體用戶被劃分為以下完整性級(jí)別：重要（Important）、很重要（Very Important）、極重要（Crucial），完整性級(jí)別依次增高。
Biba模型利用“不下讀/不上寫”的原則來保證數(shù)據(jù)的完整性。在實(shí)際應(yīng)用中，完整性保護(hù)主要是為了避免應(yīng)用程序修改某些重要的系統(tǒng)程序或系統(tǒng)數(shù)據(jù)庫。

2.2.4.Chinese Wall模型

Chinese Wall模型是應(yīng)用在多邊安全系統(tǒng)中的安全模型（也就是多個(gè)組織間的訪問控制系統(tǒng)），應(yīng)用在可能存在利益沖突的組織中。最初是為投資銀行設(shè)計(jì)的，但也可應(yīng)用在其它相似的場合。
Chinese Wall安全策略的基礎(chǔ)是客戶訪問的信息不會(huì)與目前他們可支配的信息產(chǎn)生沖突。在投資銀行中，一個(gè)銀行會(huì)同時(shí)擁有多個(gè)互為競爭者的客戶，一個(gè)銀行家可能為一個(gè)客戶工作，但他可以訪問所有客戶的信息。因此，應(yīng)當(dāng)制止該銀行家訪問其它客戶的數(shù)據(jù)。

Chinese Wall安全模型的兩個(gè)主要屬性：
1、用戶必須選擇一個(gè)他可以訪問的區(qū)域；
2、用戶必須自動(dòng)拒絕來自其它與用戶所選區(qū)域的利益沖突區(qū)域的訪問。

這種模型同時(shí)包括了DAC和MAC的屬性：銀行家可以選擇為誰工作（DAC），但是一旦選定，他就只能為該客戶工作（MAC）。
Chinese Wall安全模型在網(wǎng)絡(luò)安全體系中應(yīng)用的一個(gè)典型的例子是位于防火墻內(nèi)部的一臺(tái)服務(wù)器，連接著內(nèi)部與外部網(wǎng)絡(luò)。假如策略禁止經(jīng)由此服務(wù)器轉(zhuǎn)發(fā)數(shù)據(jù)，該服務(wù)器將暴露于外部網(wǎng)絡(luò)（也就是說，該服務(wù)器僅能與外部網(wǎng)絡(luò)通訊，而不能與內(nèi)部網(wǎng)絡(luò)通訊）。

2.3.基于角色的訪問控制模型

基于角色的訪問控制（RBAC，Role-based Access）模型的要素包括用戶、角色、許可等基本定義。
用戶是一個(gè)可以獨(dú)立訪問計(jì)算機(jī)系統(tǒng)中的數(shù)據(jù)或者用數(shù)據(jù)表示的其它資源的主體。
角色是指一個(gè)組織或任務(wù)中的工作或者位置，它代表了一種權(quán)利、資格和責(zé)任。
許可（特權(quán)）是允許對(duì)一個(gè)或多個(gè)客體執(zhí)行的操作。

一個(gè)用戶可經(jīng)授權(quán)而擁有多個(gè)角色，一個(gè)角色可由多個(gè)用戶構(gòu)成；每個(gè)角色可擁有多種許可，每個(gè)許可也可授權(quán)給多個(gè)不同的角色；每個(gè)操作可施加于多個(gè)客體（受控對(duì)象），每個(gè)客體也可以接受多個(gè)操作。

RBAC模型的基本思想是將訪問許可權(quán)分配給一定的角色，用戶通過飾演不同的角色獲得角色所擁有的訪問許可權(quán)。這是因?yàn)樵诤芏鄬?shí)際應(yīng)用中，用戶并不是可以訪問的客體信息資源的所有者（這些信息屬于企業(yè)或公司）。這樣的話，訪問控制應(yīng)該基于員工的職務(wù)而不是基于員工在哪個(gè)組或誰是信息的所有者，即訪問控制是由各個(gè)用戶在部門中所擔(dān)任的角色來確定的，例如，一個(gè)學(xué)?？梢杂薪坦?、老師、學(xué)生和其它管理人員等角色。
角色可以看作是一組操作的集合，不同的角色具有不同的操作集，這些操作集由系統(tǒng)管理員分配給角色。

RBAC是實(shí)施面向企業(yè)的安全策略的一種有效的訪問控制方式，其具有靈活性、方便性和安全性的特點(diǎn)，目前在大型數(shù)據(jù)庫系統(tǒng)的權(quán)限管理中得到普遍應(yīng)用。
角色由系統(tǒng)管理員定義，角色成員的增減也只能由系統(tǒng)管理員來執(zhí)行，即只有系統(tǒng)管理員有權(quán)定義和分配角色。用戶與客體無直接聯(lián)系，他只有通過角色才享有該角色所對(duì)應(yīng)的權(quán)限，從而訪問相應(yīng)的客體。因此用戶不能自主地將訪問權(quán)限授給別的用戶，這是RBAC與DAC的根本區(qū)別所在。
RBAC與MAC的區(qū)別在于：MAC是基于多級(jí)安全需求的，而RBAC則不是。

內(nèi)容均來自計(jì)算機(jī)三級(jí)信息安全課件資料，需要的話可以找我發(fā)給你。文章來源地址http://www.zghlxwxcb.cn/news/detail-457116.html

到了這里，關(guān)于【計(jì)算機(jī)三級(jí)信息安全】訪問控制模型的文章就介紹完了。如果您還想了解更多內(nèi)容，請?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！