身份认证与访问控制(1).ppt

《身份认证与访问控制(1).ppt》由会员分享，可在线阅读，更多相关《身份认证与访问控制(1).ppt（64页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、第第5章章 身份认证与访问控制身份认证与访问控制2学时学时主要内容n身份认证n身份识别（生物测量）n口令管理n访问控制n访问控制模型n授权n信任 第一道防线第一道防线 网络与系统接入控制网络与系统接入控制防止防止第二道防线第二道防线 用户管理与资源访问（数据存用户管理与资源访问（数据存取）控制取）控制阻止阻止第三道防线第三道防线 病毒防范与动态安全管理病毒防范与动态安全管理检测检测第四道防线第四道防线 灾难预防与系统恢复（备份）灾难预防与系统恢复（备份）纠正纠正第二道防线n“进来能干什么”n保护系统资源，防止非授权访问和使用。第二道防线1.身份认证（鉴别）技术2.密码学技术（存取数据机密状态）

2、3.PKI&PMI(Privilege Management Infrastructure)技术4.用户管理-目录服务技术（X.500）5.授权与访问控制技术（资源管理）6.信息过滤技术 第一部分：身份认证杂凑函数与消息完整性消息认证码数字签名身份识别技术口令管理1.身份识别技术n传统上识别一个人的人份：n生理 n面貌n声音n笔迹n习惯动作等身份识别技术分类：n基于密码技术的各种电子ID身份识别技术n基于生物特征识别的识别技术身份识别技术n基于密码技术的各种电子ID身份识别技术：n使用通行字（口令）n使用特征的方式 加密、数字签名、基于口令的用户认证是实现安全通信的一些最基本的密码技术。身份识

3、别技术n基于生物特征识别的识别技术n生物测量学：辨别个人或验证个人与其声称的身份是否相符的各种人类测量手段。n包括人类的生理和行为的多种度量标准。n相对稳定的人体特征：n指纹、视网膜、DNA、面孔n人类行为动态：n签名书写方法、击键节奏、语言特点n通用性n唯一性n持久性n可采集性n性能n接受度n防欺骗能力身份验证(单机)n所知：口令、密码、PINn所有：证件、IC卡n所做：签名n生物特征：指纹、视网膜、DNA等n可靠第三方鉴别：网络环境身份验证nS/Key:使用一次性口令技术的认证机制 nPPP:点到点协议nRADIUS:远程用户拨号认证系统 nKerberos：网络认证协议 nSSO：Sin

4、gle Sign On，单点登录 nX.5092.口令管理n入侵者面对的第一条防线是口令系统。ID&口令保护口令文件的两种常用方法：1 单向加密：口令从不以明文存储 2 访问控制：口令保护n口令选择原则：用户容易记忆而又不容易被猜测的口令。容易记忆 难以猜测n误区：生日、姓、名、单词、电话号码、身份证号、门牌号、只用小写字 母、所有系统一个口令等。n避免猜测口令的技术：1用户教育2计算机生成口令3口令自检查4口令预检查器 n良好密码策略构成：至少8字符长 至少有一个数字 既有大写字母又有小写字母 至少有一个非标准字符 口令的长度根据访问等级和信息系统处理国家秘密信息的密级规定。n绝密级口令不应

5、少于12个字符（6个汉字）n机密级口令不应少于10个字符（5个汉字）n秘密级口令不应少于8个字符（4个汉字）例：句子的第一个字母组合：Four score and seven years ago，Fs&7yA,n身份认证是安全系统中的第一道关卡。n访问控制和审计系统都要依赖于身份认证系统提供的信息用户的身份。n黑客攻击的目标往往就是身份认证系统。字典式攻击（穷举攻击）社交工程口令攻击者获取口令的技术n使用系统提供的标准账户和默认口令。n穷尽所有的短口令（1-3字符）n尝试在线词典中的单词或看似口令的单词列表。n收集用户的信息。如用户的全称、配偶、孩子的名字、办公室中的图片、兴趣有关图书n尝试用

6、户的电话号码、社保号码、学号、房间号码 n本国合法牌照号码n用特洛伊木马逃避访问控制难以防范n窃听远程用户和主机系统之间的线路。线路窃听第二部分：访问控制新兴的应用和电子服务的资源需要根据电子服务相关安全策略 授予 或 限制 资源访问权n传统的访问控制和授权系统安全服务安全服务（Security ServicesSecurity Services）：安全系统提供的各项服务，用以保证系统或数据传输足够的安全性根据ISO7498-2,安全服务包括：1.实体鉴别（EntityAuthentication）2.数据保密性（DataConfidentiality）3.数据完整性（DataIntegrit

7、y）4.防抵赖（Non-repudiation）5.访问控制（AccessControl）认证加密消息认证码MAC数字签名How to安全服务的各个层面访问控制的概念访问控制的概念访问控制是指主体依据某些控制策略或权限对客体或是访问控制是指主体依据某些控制策略或权限对客体或是某个资源进行的不同授权访问。某个资源进行的不同授权访问。是针对越权使用资源的防御措施。形式化地说访问控制是一个函数f(s,o,p)一、访问控制模型n要素：主体、客体、控制策略信息系统入口监控器客体信息敏感区域控制策略KS第一道防线：身份和口令访问控制的目的访问控制的目的 是为了限制访问主体（用户、进程、服务等）对访问客体（

8、文件、系统等）的访问权限，从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做什么。允许使用哪些资源，在什么地方适合阻止未授权访问的过程。防止对信息系统资源的非授权访问和非授权使用信息系统资源。内容内容认证控制策略实现审计 n访问控制的作用：对想访问系统和数据的人进行识别，并检验其身份。防止未经授权的用户非法使用系统资源。访问控制的实质就是控制对计算机系统或网络访问的方法。即：1）阻止非法用户进入系统。2）允许合法用户进入系统。3）合法用户按其权限进行各种信息的活动。n访问控制的基本任务：n防止非法用户进入系统n防止合法用户对系统资源的非法使用n对用户进行识别和

9、认证n确定该用户对某一系统资源的访问权限。模型n一般分为：1.自主访问控制 DAC2.强制访问控制 MAC3.基于角色的访问控制 RBAC4.基于任务的访问控制 TBAC5.基于对象的访问控制 OBAC自主访问控制强制访问控制基于角色访问控制访问控制1 1、自主访问控制、自主访问控制DACDAC又称任意访问控制。系统资源的拥有者能够对他所有的资源分配不同的访问权限，辨别各用户的基础上实现访问控制。允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及可执行的访问类型。根据主体的身份和授权来决定访问模式。n特点：特点：n授权的实施主体自主负责赋予和回收其它主体对客体资源的访问权限

10、。n缺点：缺点：n信息在移动过程中其访问权限关系会被改变。如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问O。2、强制访问控制、强制访问控制n系统（管理员）来分配访问权限和实施控制，对用户和资源都分配一个特殊的安全属性（访问权限），系统比较用户和资源的安全属性来决定该用户能否可访问该资源。常用敏感标记，实现多级安全控制。强制访问控制特点：强制访问控制特点：系统强制主体服从访问控制政策。即：系统对访问主体和受控对象实行强制访问控制。MAC是多级访问控制策略，将主题和客体分级，根据主体和客体的级别标记来决定访问模式。如，绝密级，机密级，秘密级，无密级。其访问控制关系

11、分为：上读/下写，下读/上写（完整性）（机密性）通过安全标签实现单向信息流通模式。MAC模型n几种主要模型：1 Lattice模型：2 Bell LaPadula模型：主要用于军事，维护保密性。3 Biba模型：从完整性角度出发强制访问控制强制访问控制 更精确的描述：更精确的描述：强制访问控制强制访问控制(MAC)中，系统包含主体集中，系统包含主体集S和客体集和客体集O，每个，每个S中的主中的主体体s及客体集中的客体及客体集中的客体o，都属于一固定的安全类，都属于一固定的安全类SC，安全类，安全类SC=包括两个部分：有层次的安全级别和无层次的安全范畴。包括两个部分：有层次的安全级别和无层次的安

12、全范畴。构成一偏序关系构成一偏序关系。(1)(1)Bell-Bell-LaPadulaLaPadula：保证保密性：保证保密性-简单安全特性简单安全特性(无上读无上读)：仅当：仅当SC(o)SC(o)SC(s)时，时，s可以读取可以读取o-*-特性特性(无下写无下写):仅当仅当SC(s)SC(o)时，时，s可以修改可以修改o(2)(2)BibaBiba：保证完整性：保证完整性-同同(1)(1)相反相反 分级安全策略：n禁止向上读：主体只能读与之 同级或比它低的安全级的数据。简单安全特性n禁止向下写：主体只能在同级或 比它高的安全级上写数据。*特性TSSCUTSSCUR/WWR/WRR/WRWR

13、RRR/WRWWWWSubjectsObjectsInformationFlow强制访问控制强制访问控制MAC Information Flow1.自主式太弱自主式太弱2.强制式太强强制式太强3.二者工作量大，不便管理二者工作量大，不便管理例：1000主体访问10000客体，须1000万次配置。如每次配置需1秒，每天工作8小时，就需10，000，000/（3600*8）=347.2天自主自主/强制访问的问题强制访问的问题3、基于角色的访问控制、基于角色的访问控制n角色概念角色概念“角色”：是指执行特定任务的能力。n角色与组的区别角色与组的区别组组：用户集用户集角色角色：用户集权限集用户集权限集

14、基于角色的访问控制基于角色的访问控制 角色控制与角色控制与DACDAC、MACMAC的区别：的区别：角色控制相对独立，根据配置可使某些角色为角色控制相对独立，根据配置可使某些角色为接近接近DACDAC，某些角色接近，某些角色接近MACMAC。基于角色的访问控制基于角色的访问控制 模型模型 U Users R Roles PPermissionPAPermission AssignmentUAUserAssignment角色控制优势角色控制优势便于授权管理便于授权管理便于角色划分便于角色划分便于赋予最小特权便于赋予最小特权便于职责分担便于职责分担便于目标分级便于目标分级首先要分析自己的网络，确定

15、需要何种层次的保护水平。需要保护那些资源：1）物理资源：任何具有物理形式的计算机资源，包括工作站、服务器、终端、网络集线器及其他外围设备。2）智力资源：以电子形式存在的、属于公司业务活动范围之内的任何形式的信息，包括软件、金融信息、数据记录、产品示意图或零件设计图。3）时间资源：评估由于失去时间可能给公司带来损失，引起后果。4）认知资源：体现在公众认知方面。二、安全策略 安全策略应以事件为中心设计，应具有：1）一致性：2）可行性：3）被公司接受：4）遵守当地法律：n安全策略是安全机制（加解密、数字签名、信息认证）、安全连接（密钥分配生成、身份验证）、安全协议的有机组合方式。n含以下两个方面：认

16、证流程：验核与传播的方法 访问控制方案：访问手段、访问权限 n访问控制策略：说明允许使用公司设备进行何种类型访问的策略。n访问控制策略规定网络不同部分允许的数据流向，还会指定哪些类型的传输是允许的，其他传输都将被阻塞。访问控制策略有助于保证正确选择防火墙产品。原则1.最小特权2.最小泄露3.多级安全访问控制策略分类CCITT Rec.X.800/ISO 7498-2把访问控制策略分为两类：1.基于身份的访问控制策略：单个，一群或代表发起者行为的实体或扮演特定角色的原发者的规则。发起者群组或扮演特定角色发起者含义陈述的，是一种类型。对发起者，群组和角色进行组合。2.基于规则的安全策略：被发起者施

17、加在安全域中任何目标上的所有访问请求。根据安全标签含义陈述的，是一种特殊类型。访问决策：发起者和目标安全标签进行比较。授权依赖于敏感性。n基于身份的安全策略：安全策略的基础是用户或用户群的身份或属性，或者是代表用户进行活动的实体以及被访问的资源或客体的身份和属性。基于身份的访问控制策略包括基于个人的策略和基于组的策略。n基于规则的安全策略：安全策略的基础是强加于全体用户的总体规则。这些规则往往依赖于把被访问资源的敏感性与用户、用户群或代表用户活动的实体的相应属性进行比较。三、访问控制的一般实现机制和方法三、访问控制的一般实现机制和方法一般实现机制一般实现机制基于访问控制属性访问控制表/矩阵基于

18、用户和资源分级（“安全标签”）多级访问控制常见实现方法常见实现方法 访问控制表（ACL)访问能力表（Capabilities)授权关系表SubjectsObjectsS1S2S3O1O2O3Read/writeWriteReadExecute按列看是访问控制表内容按行看是访问能力表内容访问控制实现方法访问控制实现方法访问控制矩阵访问控制矩阵userAOwnRWOuserBROuserCRWOObj1访问控制实现方法访问控制实现方法访问控制表访问控制表(ACL)(ACL)访问控制实现方法访问控制实现方法访问能力表访问能力表(CL)(CL)Obj1OwnRWOObj2ROObj3RWOUserA访

19、问控制实现方法访问控制实现方法授权关系表授权关系表UserAOwnObj1UserARObj1UserAWObj1UserAWObj2UserARObj2ACL、CL访问方式比较n鉴别方面：二者需要鉴别的实体不同n保存位置不同n浏览访问权限nACL:容易，CL:困难n访问权限传递nACL:困难，CL：容易n访问权限回收nACL:容易，CL：困难nACL和CL之间转换nACL-CL：困难nCL-ACL：容易ACL、CL访问方式比较n多数集中式操作系统使用ACL方法或类似方式n由于分布式系统中很难确定给定客体的潜在主体集，在现代OS中CL也得到广泛应用四、授权n确定某个实体是否有权在另一个实体上进

20、行某些操作的过程。n授权条件-授权策略n实体属性n用户权限n用户简介信息n操作类型预定义的本地授权条件相关凭证五、信任n信任就是相信对方，是一种建立在自身知识和经验基础上的判断，是实体与实体之间的主观行为。n信任不同于人们对客观事物的“相信”，而是一种主观判断。n所有的信任本质上都是主观的，信任本身并不是事实或者证据，而是关于所观察到的事实的知识。n在给定条件下，一方愿意依靠某人或某物的程度，尽管可能出现消极后果，依赖方还是感到相对安全。n不同实体对同一目标有不同程度和类型的信任。n信任与双方关系的目的和种类有关。n信任的三个基本维度n信任源/信任者n信任关系/目的n信任目标/受信者信任关系n

21、信任措施n布尔型（0，1）n离散型n连续型n时间参数信任值意义-1Distrust0Ignore1Minimaltrust2Averagetrust3Goodtrust4Completetrust信任度意义vtVeryTrustworthytTrustworthyuUntrustworthyvuVeryUntrustworthyn信任的对称性和可传递性n实际中不对称，不可传递n学术研究中建议/假设允许传递n信任的度量n因信任措施不同而不同信任模型n三层架构：n表达和验证信任关系n灵活的、可伸缩的方式n负责鉴别、授权和制定策略n监视信任关系的使用n对系统用户如何使用信任关系进行连续监控n定期记录数据监控日志，用于追踪n管理和评估信任关系n根据过往行为、历史记录等n自动探测异常情况、自动采取适当的反应措施思考作业思考作业 1.举例说明访问控制表和访问能力表联系和区别。举例说明访问控制表和访问能力表联系和区别。2.访问控制分为几类。强制访问控制是如何实现的，访问控制分为几类。强制访问控制是如何实现的，它与自主访问控制的区别在哪里它与自主访问控制的区别在哪里?