保密安全与密码技术安全机制访问控制原理访问控制的基本概念基本的访问控制政策模型访问控制和其他安全机制的关系访问控制的基本概念主
体(Subject)主体是一个主动的实体，它提出对资源访问请求，如用户，程序，进程等。客体(Object)含有被访问资源
的被动实体，如网络、计算机、数据库、文件、目录、计算机程序、外设、网络。访问（Access）对资源的使用，读、写、修改、删
除等操作，例如访问存储器；访问文件、目录、外设；访问数据库；访问一个网站。访问控制的基本概念访问可以被描述为一个三元组(s,
a,o)主体，发起者:Subject，Initiator客体，目标:Object,Target
访问操作:Access访问控制模型访问控制的基本概念访问控制信息（ACI）的表示主体访问控制属性客
体访问控制属性访问控制政策规则授权（Authorization）怎样把访问控制属性信息分配给主体或客体如何浏览、修改、回收
访问控制权限访问控制功能的实施控制实施部件如何获得实体的访问控制信息怎样执行能力表（CapabilityList）能力
表与主体关联，规定主体所能访问的客体和权限。表示形式：用户Profile，由于客体相当多，分类复杂，不便于授权管理授权证书，
属性证书从能力表得到一个主体所有的访问权限，很容易从能力表浏览一个客体所允许的访问控制权限，很困难访问控制表（Access
ControlList）访问控制表与客体关联，规定能够访问它的主体和权限由于主体数量一般比客体少得多而且容易分组，授权管理相
对简单得到一个客体所有的访问权限，很容易浏览一个主体的所有访问权限，很困难ACL、CL访问方式比较鉴别方面：二者需要鉴别的
实体不同保存位置不同浏览访问权限ACL:容易，CL:困难访问权限传递ACL:困难，CL：容易访问权限回收ACL:容易
，CL：困难ACL和CL之间转换ACL->CL：困难CL->ACL：容易ACL、CL访问方式比较多数集中式操作系统使用A
CL方法或类似方式由于分布式系统中很难确定给定客体的潜在主体集，在现代OS中CL也得到广泛应用访问控制矩阵访问控制机制可以
用一个三元组来表示（S,O,M）主体的集合S={s1,s2,…,sm}客体的集合O={o1,o2,…,on}所有操作
的集合A={R,W,E,…}访问控制矩阵M=S×O?2A访问控制矩阵矩阵的的i行Si表示了主体si
对所有客体的操作权限，称为主体si的能力表(CapabilityList)矩阵的第j列Oj表示客体oj允许所有主体的操作，称
为oj的访问控制表（ACL）访问控制策略模型自主型访问控制DAC（DiscretionaryAccessCo
ntrol）强制型访问控制MAC（MandatoryAccessControl）基于角色的访问控制
RBAC（Role-BasedAccessControl）基于对象的访问控制模型OBAC（Object-Bas
edAccessControl）自主型访问控制DACDiscretionaryAccessControl,DAC
每个客体有一个属主，属主可以按照自己的意愿把客体的访问控制权限授予其他主体DAC是一种分布式授权管理的模式控制灵活，易于管理，
是目前应用最为普遍的访问控制政策自主型访问控制DAC自主访问控制模型是根据自主访问控制策略建立的一种模型，允许合法用户以用户或
用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其它用户。自主
访问控制模型的特点是授权的实施主体可以授权的主体；管理授权的客体；授权组自主访问控制又称为任意访问控制。LINUX，UN
IX、WindowsNT或是SERVER版本的操作系统都提供自主访问控制的功能。自主型访问控制DACDAC模型提供的安全防护还
是相对比较低的，不能给系统提供充分的数据保护。自主负责赋予和回收其他主体对客体资源的访问权限。DAC采用访问控制矩阵和访问控制
列表来存放不同主体的访问控制信息，从而达到对主体访问权限的限制目的。强制型访问控制MACMandatoryAccessCo
ntrol每个主体和客体分配一个固定的安全级别，只有系统管理员才可以修改Clearance，classification,
sensitivityUnclassified秘密<机密<绝密只有在主体和客体的安全级别满足一定规则时，才允许访问强制型访问控制MAC在MAC访问控制中，用户和客体资源都
被赋予一定的安全级别，用户不能改变自身和客体的安全级别，只有管理员才能够确定用户和组的访问权限。和DAC模型不同的是，MAC是
一种多级访问控制策略。MAC对访问主体和受控对象标识两个安全标记：具有偏序关系的安全等级标记非等级分类标记。主体和客体
在分属不同的安全类别时，都属于一个固定的安全类别SC，SC就构成一个偏序关系（比如TS表示绝密级，就比密级S要高）。当主体s的安全
类别为TS，而客体o的安全类别为S时，用偏序关系可以表述为SC(s)≥SC(o)。强制型访问控制MAC考虑到偏序关系，主体对客
体的访问主要有四种方式：向下读（rd，readdown）：主体安全级别高于客体信息资源的安全级别时允许查阅的读操作；向上读（
ru，readup）：主体安全级别低于客体信息资源的安全级别时允许的读操作；向下写（wd，writedown）：主体安全级别
高于客体信息资源的安全级别时允许执行的动作或是写操作；向上写（wu，writeup）：主体安全级别低于客体信息资源的安全级别时
允许执行的动作或是写操作。由于MAC通过分级的安全标签实现了信息的单向流通，因此它一直被军方采用，其中最著名的是Bell-LaP
adula模型和Biba模型：Bell-LaPadula模型具有只允许向下读、向上写的特点，可以有效地防止机密信息向下级泄露；Bi
ba模型则具有不允许向下读、向上写的特点，可以有效地保护数据的完整性。强制型访问控制MACBLP(Bell-LaPadula)
模型禁止向下写：如果用户的级别比要写的客体级别高，则该操作是不允许的禁止向上读：如果主体的级别比要读的客体级别低，则该操作
是不允许的。强制型访问控制MAC基于角色的访问控制RBACRole-BasedAccessControl基于角色的访
问控制模型：RBAC模型的基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。RBAC从
控制主体的角度出发，根据管理中相对稳定的职权和责任来划分角色，将访问权限与角色相联系，这点与传统的MAC和DAC将权限直接授予用户
的方式不同；通过给用户分配合适的角色，让用户与访问权限相联系。角色成为访问控制中访问主体和受控对象之间的一座桥梁。基于角色的访问
控制RBAC用户组（group）用户组：用户的集合G={s1,s2,s3…}授权管理：把用户分组，把访问权限分
配给一个用户组；角色（Role）角色是完成一项任务必须访问的资源及相应操作权限的集合，R={(a1,o1),(a2,o2),
(a3,o3)…}授权管理：根据任务需要定义角色，为角色分配资源和操作权限给一个用户指定一个角色基于角色的访问控制RB
AC角色的继承关系RBAC的优势便于授权管理便于责任划分基于对象的访问控制OBACObject-based
AccessControlModel控制策略和控制规则是OBAC访问控制系统的核心将访问控制列表与受控对象或受控对象
的属性相关联，并将访问控制选项设计成为用户、组或角色及其对应权限的集合；同时允许对策略和规则进行重用、继承和派生操作。OBAC一
方面定义对象的访问控制列表，增、删、修改访问控制项易于操作，另一方面，当受控对象的属性发生改变，或者受控对象发生继承和派生行为时，
无须更新访问主体的权限，只需要修改受控对象的相应访问控制项即可，从而减少了访问主体的权限管理，降低了授权数据管理的复杂性。访问控
制与其他安全机制的关系认证、授权、审计（AAA）访问控制与其他安全机制的关系身分认证身份认证是访问控制的前提保密性限制
用户对数据的访问（读取操作）可以实现数据保密服务完整性限制用户对数据的修改，实现数据完整性保护可用性限制用户对资源的使用量
，保证系统的可用性安全管理相关的活动访问控制功能通常和审计、入侵检测联系在一起小结访问控制模型及相关概念能力表访问控制
表访问控制矩阵四种常见的访问控制政策DACMACRBACOBAC授权信息Log身份认证访问控制审计授权（a
uthorization）主体客体第六讲访问控制访问控制的目的访问控制是为了限制访问主体（用户、进程、
服务等）对访问客体（文件、系统等）的访问权限，从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做
什么。ObjectRead/Write/Exec访问控制执行功能（AEF）访问控制决策功能（ADF）客体主体的访问
控制信息主体客体的访问控制信息访问控制政策规则上下文信息(如时间，地址等)决策请求决策访问请求提交访问O1R
WO2RO5RWESiS1RWS2RS5RWEOj无法控制信息流动：信息在移动过程中其访问权限
关系会被改变。如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问O。特洛伊木马的威胁：特洛伊
木马（Trojan）是一段计算机程序，它附在合法程序的中，执行一些非法操作而不被用户发现。向下写是不允许的向上读是不允许的T
SSCUTSSCUR/WWR/WRR/WRWRRRR/WRWWWWSubj
ectsObjects信息流向BLP模型的信息流访问控制的策略 ——自主访问控制特点：根据主体
的身份和授权来决定访问模式。缺点：信息在移动过程中其访问权限关系会被改变。如用户A可将其对目标O的访问权限传递
给用户B,从而使不具备对O访问权限的B可访问O。访问控制的策略 ——强制访问控制特点：1.
将主题和客体分级，根据主体和客体的级别标记来决定访问模式。如，绝密级，机密级，秘密级，无密级。2.其访问控制关系分
为：上读/下写，下读/上写
（完整性）（机密性）3.通过安全标签实现单向信息流通模式。1.自主式太弱2.强制式太强3.二者工作量大，不便管理例：1000主体访问10000客体，须1000万次配置。如每次配置需1秒，每天工作8小时，就需 10，000，000/（36008） =347.2天访问控制的策略 ——自主/强制访问的问题ProjectSupervisorTestEngineerProgrammerProjectMember |
|
