《CISP》（七）信息安全支撑技术——访问控制

本系列是学习《CISP》中易混淆点的记录，文章顺序是按照教材讲解而定

一、准备

1. 主体：使信息在客体之间流动的一种实体，常指人、进程、设备
2. 客体：一种信息实体，或者从其他主体或客体接收信息的实体，常值数据块、存储页、文件、目录、程序等
3. 访问权限：主体对客体所执行的操作，读、写、执行、拒绝访问
4. 访问控制实施一般过程：① 鉴别主体的合法身份 ② 根据当前系统的访问控制规则授予用户相应的访问权限。

二、自主访问控制DAC

资源的所有者（创建者）可以规定谁有权限访问其资源，是一种对单个用户执行访问过程控制的过程和措施。由于主体权限较容易被改变，不能低于特洛伊木马攻击。

1、访问控制矩阵

1. 行：主体对客体所有的访问权限
2. 列：客体允许主体进行的操作
3. 矩阵元素：主体对客体被授予的访问权

2、访问控制功能

1. 访问控制表ACL（对访问控制矩阵按列读取形成）：客体决定主体，即在客体上附加一个主体明细表表示，每一项包括主体的身份以及对该客体的访问权。
2. 能力表CL（对访问控制矩阵按行读取形成）：主体决定客体，每一个用户维护一个能力表，表示器可以访问的客体。
3. 访问模式：主体对客体的访问操作：读、写、运行
4. 访问许可：改变访问模式的能力、向其他主体传递这种能力的能力。
   （1）等级型：对主体修改客体访问控制表能力划分等级（树形），有多个主体有能力修改其访问控制表。
   （2）有主型：客体拥有者唯一有权限访问ACL，拥有其所有控制权，但是无权将控制权分配给其他主体。例如UNIX系统。
   （3）自由型：有主型+可以分配修改其拥有客体的ACL权限给其他主体。

二、强制访问控制模型 MAC

主体和客体都拥有一个固定的安全属性，系统通过比较主体和客体的安全属性，根据访问控制规则强制执行，系统中的客体和主体都无权更改。能够有效防止特洛伊木马。

tips: 保护敏感信息使用MAC，需要灵活保护考虑共享信息使用DAC

三、BLP模型 Bell-LaPadula

模拟军事安全，低级不能向高级读、高级不能向低级写，若要通信，只有升降级别。（但是升降级通信之后可能会泄露高级别数据）
安全策略：

1. 自主安全策略：使用访问控制矩阵，按照矩阵内部表示进行访问
2. 强制安全策略：对主体和客体定义安全级（由密级和范畴构成）
   （1）简单安全规则：主体可以读客体：当主体安全级可以支配客体and主体对可以有自主性读权限
   （2）*-规则：主体可以写入客体：当客体安全级可以支配主体安全级and主体对客体有自主型写权限。

四、Biba模型

与BLP对偶，按照完整性对主体和客体划分级别，不下读，不上写，防止非授权用户篡改信息，但是可能会泄密。
3. 主体对客体读：当客体完整性级别支配主体完整性级别，即不下读
4. 主体对客体写：当主体完整性级别支配客体完整性级别，即不上写

五、Clark-Wilson模型

确保商业数据完整性

1. 数据的完整性：如果数据满足给定条件，则称数据处于一致性状态。在每次操作前后数据都应该满足这个一致性条件。
2. 数据操作的完整性：需要有人检查或验证事务处理是否被正确执行，一个事务需要两个或两个以上不同的人来执行。

六、Chinese Wall模型

用于解决商业应用中的利益冲突问题。用户不能访问利益冲突类的数据集。

例如石油公司A,B和银行A，如果用户访问了石油公司A则不能访问石油公司B，但是可以访问银行A。

围绕用户已有信息建立Chinese Wall，可以任务在墙外的任何数据集均和墙内数据集同属于一个利益冲突组，用户仍然可以自由访问与墙内信息属于不同利益冲突组的信息，但是Chinese Wall会根据新的数据集修改形状。

七、基于角色的访问控制 RBAC

系统内设置了若干角色，要求区分权限Authority和职责Responsibility

1. RBAC0：基本模型，规定了RBAC系统的最小需求，四个基本要素：用户U、角色R、会话S、权限P
2. RBAC1：RBAC0+角色等级
3. RBAC2：RBAC0+约束
4. RBAC3：包含RBAC1+RBAC2

八、基于规则的访问控制 RB-ERBAC

RBAC+规则

1. 功能级访问控制模型：基于企业定义的规则集合动态地为用户分配角色，管理权限
2. 数据级访问控制模型：对系统中包含的数据项进行必要的访问权限管理，包括用户身份认证、方法拦截器、过滤器、权限管理控制器、规则引擎等

九、特权管理基础设施 PMI

在多应用环境中的权限管理和访问控制机制，将权限管理和访问控制从具体应用系统中分离出来，使得访问控制机制和应用系统之间能够灵活而方便地结合。

主要功能：

1. 对权限管理进行系统地定义和描述
2. 系统地建立起对用户身份到应用授权的映射
3. 支持应用访问控制

PMI基于PKI提供的可信身份认证服务基础上
PMI主要进行授权管理，证明该用户有什么权限，“你能干什么”
PKI主要进行身份鉴别，证明用户身份，“你是谁
”