访问控制技术研究论文[访问控制技术研究]
关键词:访问控制；角色访问控制；任务访问控制
一、访问控制的概念和原则
访问控制起源于20世纪60年代，是一种重要的信息安全技术。访问控制是从访问控制的角度来描述安全系统和建立安全模型的方法。通过某种手段明确授予或限制访问能力和范围，从而限制对关键资源的访问，防止非法用户入侵或合法用户无意操作造成损害。访问控制一般包括主体(简写为S)、客体(简写为O)和控制策略(简写为K)三个要素。主体是指发出访问操作和访问请求的主动方，通常指用户或进程；对象是信息实体，指系统中的信息和资源，可以是文件、数据、页面、程序等。控制策略是主体对对象的一组操作行为和约束，规定了哪些主体可以访问相应的对象，以及拥有多大的访问权限。访问控制系统的三个要素之间的行为关系如图1所示。
当主体提出一系列正常的请求信息时，通过信息系统的入口到达控制规则集所监控的监视器，控制策略判断是允许还是拒绝这个请求。所以在这种情况下，需要先确定合法主体，而不是假骗子，也就是鉴定主体。主体只有经过验证才能访问对象，但不保证有权操作对象。对象对主体的具体约束由访问控制列表控制，对主体的验证一般会识别用户的身份和用户密码。访问控制的目的是限制访问主体对访问对象的访问权限。为了实现这一目标，访问控制需要完成以下两项任务:
(1)识别并确认访问系统的用户。
(2)决定用户可以对系统资源拥有何种访问权限[1]
在GB/T187994.3中，定义了访问控制系统所需的一些基本功能组件，并描述了功能组件之间的通信状态。
访问控制的功能组件包括四个部分:发起者、访问控制执行功能(AEF)、访问控制决策功能(ADF)和目标。发起者是指信息系统中系统资源的使用者，是访问控制系统的主体；目标是指发起方访问或尝试访问的基于计算机或基于通信的实体，是访问控制系统中的对象；AEF的作用是在发起方和目标方之间搭建一座沟通的桥梁，它必须根据ADF的授权查询指令实现上述动作，可以说是信息系统中访问控制的核心。当ADF判断发起方的访问请求时，它基于一组安全访问策略。
二。自主访问控制技术
自主访问控制(DAC)最早出现在20世纪70年代初的分时系统中。它是多用户环境中最常用的访问控制技术，在目前流行的操作系统中被广泛使用。DAC模型是一种基于自主访问策略的模型，它允许合法用户以用户或用户组的身份访问策略中指定的对象，同时防止未经授权的用户访问对象。对象的所有者(即资源所有者)有全权管理对象的访问授权，并有权公开或修改对象的相关信息。因此，有学者称之为基于DAC master的访问控制。为了提高效率，系统不保存整个访问控制矩阵，在具体实现中基于访问控制矩阵的行或列来实现访问控制。
自主访问控制的特点是资源的所有者将访问权限授予其他用户或用户组后，被授权的用户可以独立访问资源或将权限传递给其他用户。缺点是资源管理分散；用户之间的关系无法在系统中得到体现，难以管理；信息很容易泄露，无法抵御特洛伊的攻击。
三。强制访问控制技术
强制访问控制(MAC)最早出现在1965由AT&: Multics系统，T和MIT联合开发的安全操作系统，在美国国防部1983可信计算机系统评估准则中，被作为B级安全系统的主要评估标准之一。
MAC模型是一个多级访问控制策略模型。其主要特点是系统对访问主体和受控对象实施强制访问控制。常用的强制访问控制是指预定义用户的信任级别和资源的安全级别。当用户请求访问时，系统会对它们进行比较，以确定访问是否合法。在强制访问控制系统中，所有主体(用户、进程)和对象(文件、数据)都被分配了安全标签，这些标签标识了安全级别。
在强制策略中，资源访问授权是根据资源和用户的相关属性确定的，或者由特定用户(通常是安全管理员)指定。其特点是强制规定访问用户必须或不得访问资源或执行某些操作。资源的特征在于对对象的强制访问。目前，强制访问控制策略主要用于军事系统或安全性要求高的系统[2]。强制访问控制策略对特洛伊攻击有一定的抵抗能力。即使用户进程被特洛伊木马非法控制，机密信息也不能随意传播。强制访问控制的缺点主要表现在其使用不灵活，应用领域狭窄；另外，强制访问控制对授权的可管理性不够重视，工作量太大，管理不方便，不灵活，过于强调保密性，没有充分考虑系统的持续工作能力。
4.基于角色的访问控制技术
基于角色的访问控制(RBAC)模型是一种流行的高级安全访问控制模型。RBAC的概念始于20世纪70年代的多用户多机系统。在1992中，D.Ferraiolo和R.Kuhn在现有RBAC概念的基础上正式定义了RBAC模型。通过引入“角色”的概念，RBAC模型将访问控制中的主客体和相应的权限进行了解耦。RBAC中的基本概念包括用户、角色、权限和会话。
RBAC模型的基本思想是在用户和权限之间引入角色的概念，用角色实现用户和权限的逻辑隔离。所谓角色，就是访问主体在系统中可以执行的操作或者可以访问的服务的集合。RBAC最大的优势在于管理的简化。RBAC系统建立后，主要的管理工作是授权或取消用户的角色。在RBAC系统中，权限不是直接分配给用户的，而是先分配给角色，然后系统给用户分配一定的角色，让用户根据角色获得相应的访问权限。当系统功能发生变化或演化时，只需要删除角色的旧功能，添加新功能，或者定义新角色，而不需要更新每个用户的权限设置，大大简化了权限的管理。