访问控制的三种模型（DAC、MAC、RBAC）

一、自主访问控制模型（DAC）

是资源的所有者，往往也是创建者，可以规定谁有权访问他们的资源。

安全性较低，不能抵御特洛伊木马的攻击。

DAC可以用访问控制矩阵来表示。

访问控制列表ACL：

访问能力表CL：

二、强制访问控制模型（MAC）

主体和客体都有一个固定的属性，系统用该安全属性来决定一个主体是否可以访问某个客体。

保护敏感信息一般用MAC，需要用户提供灵活的保护，更多的考虑共享信息时，使用DAC。

1.BLP模型（机密性）

向下读：当主体的安全级可以支配客体的安全级，且主体对客体有自主型读权限，主体可以读客 体。

向上写：当客体的安全级可以支配主体的安全级，且主体对客体有自主型写权限，则主体可以写入客体。

2.Bida模型（完整性）

向上读：主体可以读客体，当且仅当客体的完整级别支配主体的完整级别。

向下写：主体可以写客体，当且仅当主体的完整级别支配客体的完整级别。

三、基于角色的访问控制模型（RBAC）

系统内置多个角色，将权限与角色进行关联；用户必须成为某个角色才能获得权限。