訪問控制訪問控制的類型

時間：2022-02-14 11:04:02 | 來源：信息時代

時間：2022-02-14 11:04:02 來源：信息時代

訪問控制可分為自主訪問控制和強制訪問控制兩大類。自主訪問控制，是指由用戶有權對自身所創(chuàng)建的訪問對象(文件、數(shù)據(jù)表等)進行訪問，并可將對這些對象的訪問權授予其他用戶和從授予權限的用戶收回其訪問權限強制訪問控制，是指由系統(tǒng)(通過專門設置的系統(tǒng)安全員)對用戶所創(chuàng)建的對象進行統(tǒng)一的強制性控制，按照規(guī)定的規(guī)則決定哪些用戶可以對哪些對象進行什么樣操作系統(tǒng)類型的訪問，即使是創(chuàng)建者用戶，在創(chuàng)建一個對象后，也可能無權訪問該對象。

基于對象的訪問控制模型

基于對象的訪問控制（OBACModel：Object-basedAccessControlModel）：DAC或MAC模型的主要任務都是對系統(tǒng)中的訪問主體和受控對象進行一維的權限管理，當用戶數(shù)量多、處理的信息數(shù)據(jù)量巨大時，用戶權限的管理任務將變得十分繁重，并且用戶權限難以維護，這就降低了系統(tǒng)的安全性和可靠性。對于海量的數(shù)據(jù)和差異較大的數(shù)據(jù)類型，需要用專門的系統(tǒng)和專門的人員加以處理，要是采用RBAC模型的話，安全管理員除了維護用戶和角色的關聯(lián)關系外，還需要將龐大的信息資源訪問權限賦予有限個角色。當信息資源的種類增加或減少時，安全管理員必須更新所有角色的訪問權限設置，而且，如果受控對象的屬性發(fā)生變化，同時需要將受控對象不同屬性的數(shù)據(jù)分配給不同的訪問主體處理時，安全管理員將不得不增加新的角色，并且還必須更新原來所有角色的訪問權限設置以及訪問主體的角色分配設置，這樣的訪問控制需求變化往往是不可預知的，造成訪問控制管理的難度和工作量巨大。在這種情況下，有必要引入基于受控對象的訪問控制模型?？刂撇呗院涂刂埔?guī)則是OBAC訪問控制系統(tǒng)的核心所在，在基于受控對象的訪問控制模型中，將訪問控制列表與受控對象或受控對象的屬性相關聯(lián)，并將訪問控制選項設計成為用戶、組或角色及其對應權限的集合；同時允許對策略和規(guī)則進行重用、繼承和派生操作。這樣，不僅可以對受控對象本身進行訪問控制，受控對象的屬性也可以進行訪問控制，而且派生對象可以繼承父對象的訪問控制設置，這對于信息量巨大、信息內容更新變化頻繁的管理信息系統(tǒng)非常有益，可以減輕由于信息資源的派生、演化和重組等帶來的分配、設定角色權限等的工作量。OBAC從信息系統(tǒng)的數(shù)據(jù)差異變化和用戶需求出發(fā)，有效地解決了信息數(shù)據(jù)量大、數(shù)據(jù)種類繁多、數(shù)據(jù)更新變化頻繁的大型管理信息系統(tǒng)的安全管理。OBAC從受控對象的角度出發(fā)，將訪問主體的訪問權限直接與受控對象相關聯(lián)，一方面定義對象的訪問控制列表，增、刪、修改訪問控制項易于操作，另一方面，當受控對象的屬性發(fā)生改變，或者受控對象發(fā)生繼承和派生行為時，無須更新訪問主體的權限，只需要修改受控對象的相應訪問控制項即可，從而減少了訪問主體的權限管理，降低了授權數(shù)據(jù)管理的復雜性。

基于任務的訪問控制模型

基于任務的訪問控制模型（TBACModel，Task-basedAccessControlModel）是從應用和企業(yè)層角度來解決安全問題，以面向任務的觀點，從任務（活動）的角度來建立安全模型和實現(xiàn)安全機制，在任務處理的過程中提供動態(tài)實時的安全管理。在TBAC中，對象的訪問權限控制并不是靜止不變的，而是隨著執(zhí)行任務的上下文環(huán)境發(fā)生變化。TBAC首要考慮的是在工作流的環(huán)境中對信息的保護問題：在工作流環(huán)境中，數(shù)據(jù)的處理與上一次的處理相關聯(lián)，相應的訪問控制也如此，因而TBAC是一種上下文相關的訪問控制模型。其次，TBAC不僅能對不同工作流實行不同的訪問控制策略，而且還能對同一工作流的不同任務實例實行不同的訪問控制策略。從這個意義上說，TBAC是基于任務的，這也表明，TBAC是一種基于實例（instance-based）的訪問控制模型。TBAC模型由工作流、授權結構體、受托人集、許可集四部分組成。任務（task）是工作流程中的一個邏輯單元，是一個可區(qū)分的動作，與多個用戶相關，也可能包括幾個子任務。授權結構體是任務在計算機中進行控制的一個實例。任務中的子任務，對應于授權結構體中的授權步。授權結構體（authorizationunit）：是由一個或多個授權步組成的結構體，它們在邏輯上是聯(lián)系在一起的。授權結構體分為一般授權結構體和原子授權結構體。一般授權結構體內的授權步依次執(zhí)行，原子授權結構體內部的每個授權步緊密聯(lián)系，其中任何一個授權步失敗都會導致整個結構體的失敗。授權步（authorizationstep）表示一個原始授權處理步，是指在一個工作流程中對處理對象的一次處理過程。授權步是訪問控制所能控制的最小單元，由受托人集（trustee-set）和多個許可集（permissionsset）組成。受托人集是可被授予執(zhí)行授權步的用戶的集合，許可集則是受托集的成員被授予授權步時擁有的訪問許可。當授權步初始化以后，一個來自受托人集中的成員將被授予授權步，我們稱這個受托人為授權步的執(zhí)行委托者，該受托人執(zhí)行授權步過程中所需許可的集合稱為執(zhí)行者許可集。授權步之間或授權結構體之間的相互關系稱為依賴（dependency），依賴反映了基于任務的訪問控制的原則。授權步的狀態(tài)變化一般自我管理，依據(jù)執(zhí)行的條件而自動變遷狀態(tài)，但有時也可以由管理員進行調配。一個工作流的業(yè)務流程由多個任務構成。而一個任務對應于一個授權結構體，每個授權結構體由特定的授權步組成。授權結構體之間以及授權步之間通過依賴關系聯(lián)系在一起。在TBAC中，一個授權步的處理可以決定后續(xù)授權步對處理對象的操作許可，上述許可集合稱為激活許可集。執(zhí)行者許可集和激活許可集一起稱為授權步的保護態(tài)。TBAC模型一般用五元組（S，O，P，L，AS）來表示，其中S表示主體，O表示客體，P表示許可，L表示生命期（lifecycle），AS表示授權步。由于任務都是有時效性的，所以在基于任務的訪問控制中，用戶對于授予他的權限的使用也是有時效性的。因此，若P是授權步AS所激活的權限，那么L則是授權步AS的存活期限。在授權步AS被激活之前，它的保護態(tài)是無效的，其中包含的許可不可使用。當授權步AS被觸發(fā)時，它的委托執(zhí)行者開始擁有執(zhí)行者許可集中的權限，同時它的生命期開始倒記時。在生命期期間，五元組（S，O，P，L，AS）有效。生命期終止時，五元組（S，O，P，L，AS）無效，委托執(zhí)行者所擁有的權限被回收。TBAC的訪問政策及其內部組件關系一般由系統(tǒng)管理員直接配置。通過授權步的動態(tài)權限管理，TBAC支持最小特權原則和最小泄漏原則，在執(zhí)行任務時只給用戶分配所需的權限，未執(zhí)行任務或任務終止后用戶不再擁有所分配的權限；而且在執(zhí)行任務過程中，當某一權限不再使用時，授權步自動將該權限回收；另外，對于敏感的任務需要不同的用戶執(zhí)行，這可通過授權步之間的分權依賴實現(xiàn)。TBAC從工作流中的任務角度建模，可以依據(jù)任務和任務狀態(tài)的不同，對權限進行動態(tài)管理。因此，TBAC非常適合分布式計算和多點訪問控制的信息處理控制以及在工作流、分布式處理和事務管理系統(tǒng)中的決策制定。

基于角色的訪問控制模型

基于角色的訪問控制模型（RBACModel，Role-basedAccessModel）：RBAC模型的基本思想是將訪問許可權分配給一定的角色，用戶通過飾演不同的角色獲得角色所擁有的訪問許可權。這是因為在很多實際應用中，用戶并不是可以訪問的客體信息資源的所有者（這些信息屬于企業(yè)或公司），這樣的話，訪問控制應該基于員工的職務而不是基于員工在哪個組或是誰信息的所有者，即訪問控制是由各個用戶在部門中所擔任的角色來確定的，例如，一個學?？梢杂薪坦?、老師、學生和其他管理人員等角色。RBAC從控制主體的角度出發(fā)，根據(jù)管理中相對穩(wěn)定的職權和責任來劃分角色，將訪問權限與角色相聯(lián)系，這點與傳統(tǒng)的MAC和DAC將權限直接授予用戶的方式不同；通過給用戶分配合適的角色，讓用戶與訪問權限相聯(lián)系。角色成為訪問控制中訪問主體和受控對象之間的一座橋梁。角色可以看作是一組操作的集合，不同的角色具有不同的操作集，這些操作集由系統(tǒng)管理員分配給角色。在下面的實例中，我們假設Tch1，Tch2，Tch3……Tchi是對應的教師，Stud1，Stud2，Stud3…Studj是相應的學生，Mng1，Mng2，Mng3…Mngk是教務處管理人員，那么老師的權限為TchMN={查詢成績、上傳所教課程的成績}；學生的權限為StudMN={查詢成績、反映意見}；教務管理人員的權限為MngMN={查詢、修改成績、打印成績清單}。那么，依據(jù)角色的不同，每個主體只能執(zhí)行自己所制定的訪問功能。用戶在一定的部門中具有一定的角色，其所執(zhí)行的操作與其所扮演的角色的職能相匹配，這正是基于角色的訪問控制（RBAC）的根本特征，即：依據(jù)RBAC策略，系統(tǒng)定義了各種角色，每種角色可以完成一定的職能，不同的用戶根據(jù)其職能和責任被賦予相應的角色，一旦某個用戶成為某角色的成員，則此用戶可以完成該角色所具有的職能。