访问控制技术研究综述张玲玲.pdfVIP

科学之友 Friend of Science Amateurs 2009 年08月(23) B 访问控制技术研究综述 张玲玲 （山西轻工职业技术学院，山西 太原 030013） 摘 要：访问控制技术是确保信息系统安全的一种重要技术。文章介绍了访问控制技术 的一般原理，阐述了传统的访问控制模型、当前比较流行的基于角色的访问控制模型和 基于任务的访问控制模型；另外还介绍了目前人们研究的其他几种访问控制模型；最后 总结全文，指出访问控制技术发展的一个趋势。 关键词：访问控制；基于角色的访问控制；基于任务的访问控制 中图分类号：TP309 文献标识码：A 文章编号：1000- 8136(2009)23- 0144- 03 访问控制起源于20 世纪60 年代，是一种重要的信息安全技 系统对访问主体和受控对象实行强制访问控制，系统事先给访问 术。所谓访问控制，就是通过某种途径显式地准许或限制访问能 主体和受控对象分配不同的安全级别属性，在实施访问控制时， 力及范围，从而限制对关键资源的访问，防止非法用户侵入或者 系统先对访问主体和受控对象的安全级别属性进行比较，再决定 合法用户的不慎操作造成破坏。访问控制一般包括主体、客体和 访问主体能否访问该受控对象。MAC 对资源管理集中进行严格 安全访问规则3 个元素。主体是指发出访问操作、存取要求的主 的等级分类，这种模型对权限的控制过于严格，而且灵活性较差， 动方，通常指用户或某个进程；客体是一种信息实体，指系统中的 一般只用于安全级别较高的军事领域。 信息和资源，可以是文件、数据、页面、程序等；访问规则规定了哪 些主体能够访问相应的客体，访问权限有多大。 3 基于角色的访问控制 1 访问控制一般原理 基于角色的访问控制（Role- based Access Control ,RBAC）模 型是目前比较流行和先进的安全访问控制模型。RBAC 的概念开 在访问控制中，访问可以对一个系统或在一个系统内部进 始于20 世纪70 年代的多用户和多机系统中，1992 年，D.Ferraio- 行。在访问控制框架内主要涉及请求访问、通知访问结果以及提 lo 和R.Kuhn 在已有RBAC 概念的基础上，形式化地定义RBAC 交访问信息。访问控制的一般模型见图 1。 模型。 RBAC 模型通过引入“角色”的概念，将访问控制中的主体对 主体 访问控制实施模块 客体 象和对应权限解耦。RBAC 中的基本概念有USERS(用户)，ROLES （角色），PERMISSIONS （权限），SESSIONS（会话）。基本思想是将 访问权限赋给角色，再将角色赋给用户，通过角色用户才能获得 访问控制决策模块 访问权限。 图1 访问控制的一般模型 UA PA P U R PERMISSIONS 该模型包含了主体