认证与访问控制（崔永泉）访问控制第八章-基于动态角色映射的多域访问控制.pptVIP

考虑如下情形，域D2要和D1进行互操作，并且域D1和D0要互操作，这并不意味着D2和D0想要互操作。即使D0不想和D2进行互操作，来自于D2的主体可以首先进入D1然后渗透进入D0 。因此，我们的角色转换模型不能用于多域穿梭的角色转换 IRBAC模型安全性分析 2.域穿梭引发的安全隐患 ②隐蔽提升 域穿梭带来的另一个问题就是主体能够穿越域边界，并且能够以比起始角色更高级的角色返回到他的起始域 实际上，一个主体能通过多域穿梭隐蔽地提升它在角色层次中的级别 IRBAC模型安全性分析 为了避免“渗透”和“隐蔽提升”，转换模型应当限定只对单域穿梭有效 每个域都应当转换一个主体的“起始”角色，而不是来自于前一个域中的转换角色。这将保证除域穿梭外，角色转换模型是有效的 主体的起始域和角色名称可作为标记，用来避免“渗透”和“隐蔽提升” 然而，欺诈域总是存在的。这需要所有的域协同合作，因此，没有域之间的协作，很可能存在“渗透”和“隐蔽提升” IRBAC模型安全性分析 * Page: * 提纲 多域安全互操作引言 基本概念 关联类型 建立关联的策略 IRBAC模型与安全性分析 模型适应性 模型应用的过程 模型的适应性 1.如果有n个域需要两两互操作，则需要构造 个域间的角色转换。 以n=10为例，则为90个域间的角色转换 2.每一个域(本地域)的安全员，要了解n-1个域 的安全策略和角色层次 3.当外域角色层次(或本地域角色层次)发生变 化时，需要通过协议的方式被告知,本地域的 安全员要调整其原有的角色转换关系 模型的适应性 4.渗透和隐蔽提升问题,如前所述，可 用适当的策略进行限制，因此，这一 控制模型仅适用于域个数不多，特别 是仅有两个域的情形 模型的适应性 * Page: * 提纲 多域安全互操作引言 基本概念 关联类型 建立关联的策略 IRBAC模型与安全性分析 模型适应性 模型应用的过程 实现的大致过程 1.本地域安全员通过角色编辑器建立关联 2.策略服务器遍历所有的关联。构造一个本地 域角色的所有入口点的列表 3.外域主体向本地域策略服务器提供它的证书 4.策略服务器将该主体(主体的外域角色)的入 口列表添加到该外域角色的证书中，转换 完成 Role Editor－角色编辑器 应用情况 移动网络：移动网络涉及各种域之间的协作。主体不断地进入离开各种域。在这种情况下，该角色转换模型能够为主体提供有效的角色转换 移动代理：当移动代理在域间穿梭漫游于网络时，为这些代理提供角色转换是非常有用的。类似于移动网络，我们的转换模型将为移动代理提供更好的安全服务 * 基本概念 1.管理域(“域”，“安全域”) 是指“被单一的管理权限所管辖，由多个主 机，路由器和互联的网络组成的一个集合体” 2.角色关联 将外域的某个角色a转换为本地域的某个角色 b，使a在本地域中获得b的权限，称a关联到b 用符号 表 示。(为方便起见，常简化表 示为(a,b)) 3.符号 表示从 到 的所有关联的集合，因 此有 角色层次之间的关联 * Page: * 提纲 多域安全互操作引言 基本概念 关联类型 建立关联的策略 IRBAC模型与安全性分析 模型适应性 模型应用的过程 关联的类型 定义两种关联：可传递关联和非传递关联 1.可传递关联 设有关联 若对于 对于 则称这一关联为可传递关联 2.非传递关联 设有关联 ，但不 允许 的祖先(即 级别高于 的角色)继承这一关联。这样的关联 称为非传递关联 记作 关联的类型 Admin Professor Janitor Student Guest Admin Janitor Manager Employee Guest NT H0—本域角色层次 H1—外域角色层次 1 2 3 可传递关联和非传递关联 * Page: * 提纲 多域安全互操作引言 基本概念 关联类型 建立关联的策略 IRBAC模型与安全性分析 模型适应性 模型应用的过程 建立关联的策略 在本地域和外域角色层次之间，通过使用可传递关联和非传递关联，我们可以创建一个组合偏序关系，并且定义一种安全策略 这些策略可以分成以下三类： 1.缺省策略 这种策略是在外域角色集和本地域角色 (本地域