信息安全身份认证和访问控制讲义课件.ppt

基于角色的访问控制 ? ? 所谓角色，就是一个或一组用户在组织内可执 行的操作的集合 角色由系统管理员定义，角色成员的增减只能 由系统管理员执行，而且授权规定是强加给用 户的，用户只能被动接受，用户也不能自主的 将访问权限传给他人，这是一种非自主型访问 控制 武汉大学国际软件学院 64 基于角色的访问控制 ? ? 每个角色与一组用户和有关的动作相互关联，角色中 所属的用户可以有权执行这些操作 角色与组的区别 ? 组：一组用户的集合 ? 角色：一组用户的集合 + 一组操作权限的集合 客体 1 权限 a 权限 b 权限 c 权限 d 角色 1 用户 1 客体 2 客体 3 用户 2 角色 2 用户 3 武汉大学国际软件学院 65 基于角色的访问控制 ? ? ? 传统的访问控制机制直接将访问主体（发出访 问操作、存取要求的主动方）和客体（被调用 的程序或欲存取的数据访问）相联系 RBAC 在主体和客体中间加入了角色，通过角 色沟通主体和客体 RBAC 中，用户的标识对于身份认证以及审计 记录非常有用，但真正决定访问权限的是用户 对应的角色标识 武汉大学国际软件学院 66 基于角色的访问控制 ? ? ? 与 DAC 的区别 ? 用户与客体没有直接联系，只要通过角色才享有该 角色所对于的权限，从而访问相应的客体，因此用 户不能自主地将访问权限授给别的用户 与 MAC 的区别 ? MAC 是基于多级安全需求的，但 RBAC 不是 ? 在军事系统中关心的是防止信息从高安全级流向低 安全级，即限制“谁可以读 / 写什么信息” ? 基于角色控制的系统关心保护系统的完整性，即 “谁可以对什么信息执行何种动作” 角色控制比较灵活，根据配置可以使某些角色接近 DAC ，而某些角色更接近于 MAC 武汉大学国际软件学院 67 基于角色的访问控制 ? 三条安全原则 : ? 最小权限：用户所拥有的权利不能超过他 执行工作时所需的权限 ? 责任分离：多个互斥的角色合作完成重要 工作 ? 数据抽象：可以定义抽象的权限，而不仅 仅是操作系统中的读、写、执行等 武汉大学国际软件学院 68 访问控制的目的 ? 限制主体对访问客体的访问权限，从而使计 算机系统在合法范围内使用； ? 决定用户能做什么，也决定代表一定用户利 益的程序能做什么 武汉大学国际软件学院 32 主要内容 ? 身份认证的基本概念 ? 身份认证机制 ? 访问控制的基本概念 ? 访问控制实现方法 ? 访问控制策略 武汉大学国际软件学院 33 访问控制的实现方法 ? A. 访问控制矩阵 ? B. 访问能力表 ? C. 访问控制表 ? D. 授权关系表 武汉大学国际软件学院 34 A. 访问控制矩阵 ? 访问控制表示为一个矩阵的形式 ? ? ? 列表示客体（各种资源） 行表示主体（通常为用户） 行和列的交叉点表示某个主体对某个客体的访问权 限（比如读、写、执行、修改、删除等） 武汉大学国际软件学院 35 File1 John Own R W R File2 File3 Own R W File4 Account1 Account2 Inquiry Credit Inquiry Debit Inquiry Credit Inquiry Debit Alice Own R W R W Own R W Bob R W ? Own 的确切含义可能因系统不同而异，通常一个文件的 Own 权限 表示授予（ authorize ）或撤销（ revoke ）其他用户对该文件的访 问控制权限。 武汉大学国际软件学院 36 ? 缺点 : 访问控制矩阵中很多单元是空白项 ? 为了减轻系统开销与浪费 ? 从主体（行）出发，表示矩阵的某一行的信 息 —— 访问能力表 （ Access Capabilities List ） ? 从客体（列）出发，表示矩阵某一列的信 息 —— 访问控制表 （ Access Control List ） 武汉大学国际软件学院 37 B. 访问能力表 ? ? 能力（ Capability ）是受一定机制保护的 客体标志，标记了客体以及主体（