圣才电子书 www.100xuexi.com 十万种考研考证电子书、题库视频学习平台 4.6 访问控制技术
一、访问控制技术概述 1．访问控制的基本模型 （1）定义
访问控制是指主体依据某些控制策略或权限对客体本身或是其资源进行的不同授权访问。访问控制的目的是为了保护企业在信息系统中存储和处理的信息的安全。
访问控制模型是一种从访问控制的角度出发，描述安全系统，建立安全模型的方法。 （2）三要素
访问控制包括三个要素，如下： ①主体（Subject，S）
主体是可以对其他实体施加动作的主动实体。有时也称其为用户（User，U）或访问者（被授权使用计算机的人员）。主体的含义是广泛的，可以是用户所在的组织（称为用户组）、用户本身，也可以是用户使用的计算机终端、卡机和手持终端（无线）等，甚至可以是应用服务程序或进程。
②客体（Object，O）
客体是接受其他实体访问的被动实体。客体的概念也很广泛，凡是可以被操作的信息、资源、对象都可以认为是客体。在信息社会中，客体可以是信息、文件和记录等的集合体，也可以是网路上的硬件设施，无线通信中的终端，甚至一个客体可以包含另外一个客体。
③控制策略（KS）
控制策略是主体对客体的操作行为集和约束条件集。简单地讲，控制策略是主体对客体的访问规则集，这个规则集直接定义了主体对客体的作用行为和客体对主体的条件约束。访
1 / 121
圣才电子书 www.100xuexi.com 十万种考研考证电子书、题库视频学习平台 问策略体现了一种授权行为，也就是客体对主体的权限允许，这种允许不超越规则集，由主体给出。
（3）主体验证 ①概念
当主体S提出一系列正常的请求信息I1，…，In，通过信息系统的入口到达控制规则集KS监视的监控器，由KS判断是否允许或拒绝这次请求，因此这种情况下，必须先要确认是合法的主体，而不是假冒的欺骗者，也就是对主体进行认证。主体通过验证，才能访问客体，但并不保证其有权限可以对客体进行操作。客体对主体的具体约束由访问控制表来控制实现，对主体的验证一般会鉴别用户的标识和用户密码。
②UID
用户标识（User Identification，UID）是一个用来鉴别用户身份的字符串，每个用户有且只能有唯一的一个用户标识，以便与其他用户区别。当一个用户注册进入系统时，他必须提供其用户标识，然后系统执行一个可靠的审查来确信当前用户是对应用户标识的那个用户。
（4）访问控制
访问控制的实现首先要考虑对合法用户进行验证，然后是对控制策略的选用与管理，最后要对没有非法用户或是越权操作进行管理。所以，访问控制包括以下三方面的内容：
①认证
主体对客体的识别认证和客体对主体检验认证。主体和客体的认证关系是相互的，当一个主体受到另外一个客体的访问时，这个主体也就变成了客体。一个实体可以在某一时刻是主体，而在另一时刻是客体，这取决于当前实体的功能是动作的执行者还是动作的被执行者。
②控制策略的具体实现
2 / 121
圣才电子书 www.100xuexi.com 十万种考研考证电子书、题库视频学习平台 如何设定规则集合从而确保正常用户对信息资源的合法使用，既要防止非法用户，也要考虑敏感资源的泄漏。对于合法用户而言，更不能越权行使控制策略所赋予其权利以外的功能。
③审计
审计的重要意义在于，例如客体的管理者即管理员有操作赋予权，他有可能滥用这一权利，这是无法在策略中加以约束的。必须对这些行为进行记录，从而达到威慑和保证访问控制正常实现的目的。
2．访问控制的实现技术 （1）概述
建立访问控制模型和实现访问控制都是抽象和复杂的行为，实现访问的控制不仅要保证授权用户使用的权限与其所拥有的权限对应，制止非授权用户的非授权行为，还要保证敏感信息的交叉感染。
以文件的访问控制为例对访问控制的实现做具体说明。通常用户访问信息资源（文件或是数据库），可能的行为有读、写和管理。为方便起见，用Read或R表示读操作，Write或是W表示写操作，Own或O表示管理操作。将管理操作从读写中分离出来，是因为管理员也许会对控制规则本身或是文件的属性等做修改。
（2）实现技术 ①访问控制矩阵 a．概念
访问控制矩阵（Access Control Matrix，ACM）是通过矩阵形式表示访问控制规则和授权用户权限的方法。对每个主体而言，都拥有对哪些客体的哪些访问权限；而对客体而言，又有哪些主体对他可以实施访问。将这种关连关系加以阐述，就形成了控制矩阵。其中，特
3 / 121
圣才电子书 www.100xuexi.com 十万种考研考证电子书、题库视频学习平台 权用户或特权用户组可以修改主体的访问控制权限。
b．访问控制的实现
访问控制的实现如表4-9所示。
表4-9 访问控制矩阵
Subject 1 Subject 2 … Subject i … … Own，read，write … … … … … read Object 1 Read，write Object 2 Own，read，write Read，write … read … … … Own，read，write … Read，write … … … … … Object j read … … 访问矩阵是以主体为行索引，以客体为列索引的矩阵，矩阵中的每一个元素表示一组访问方式，是若干访问方式的集合。矩阵中第i行第j列的元素记录着第i个主体Si可以执行的对第j个客体Oj的访问方式，如Mij等于表示Si可以对Oj进行读和写访问。
c．优缺点
优点：访问控制矩阵的实现很易于理解。
缺点：查找和实现起来有一定的难度。而且，如果用户和文件系统要管理的文件很多，那么控制矩阵将会成几何级数增长。
因为在大型系统中访问矩阵很大而且其中会有很多空值，所以目前使用的实现技术都不是保存整个访问矩阵，而是基于访问矩阵的行或者列来保存信息。
4 / 121
圣才电子书 www.100xuexi.com②访问控制表 a．概念
十万种考研考证电子书、题库视频学习平台 访问控制表（Access Control Lists，ACLs）是目前最流行、使用最多的访问控制实现技术。每个客体有一个访问控制表，是系统中每一个有权访问这个客体的主体的信息。这种实现技术实际上是按列保存访问矩阵。
b．访问和删除权限
访问控制表提供了针对客体的方便的查询方法，通过查询一个客体的访问控制表很容易决定某一个主体对该客体的当前访问权限。
删除客体的访问权限也很方便，把该客体的访问控制表整个替换为空表即可。但是用访问控制表来查询一个主体对所有客体的所有访问权限是很困难的，必须查询系统中所有客体的访问控制表来获得其中每一个与该主体有关的信息；删除一个主体对所有客体的所有访问权限也必须查询所有客体的访问控制表，删除与该主体相关的信息。
c．实现
一些流行的操作系统使用了简化的访问控制表来实现简单的访问控制安全机制，例如UNIX的保护位机制就是这样一种简化形式的访问控制表。在这些系统中，访问控制表只包括客体主人、主人所属主体组等对该客体的访问权限，所以访问控制表可以很小；另一方面，一些系统采用了许多大型的访问控制表来实现其访问控制，其中包含了一些很复杂的规则来决定系统中主体何时以及以何种方式对客体进行访问。
③能力表 a．概念
能力表（Capabilities Lists）对应于访问控制表，这种实现技术实际上是按行保存访问矩阵。每个主体有一个能力表，是该主体对系统中每一个客体的访问权限信息。使用能力表
5 / 121
全国计算机技术与软件专业技术资格(水平)考试《网络规划设计师(高级)》核心讲义-网络安全(中)(圣才
