认证与访问控制（崔永泉）访问控制第三章-访问控制基础知识 new.pptVIP

* * 职责分离 基于计算机的事务处理也一样，必须有人来检验事务处理是否被正确实现 由谁来检查和验证事务处理是否被正确执行呢? 例如，当一家公司收到一张发票时，采购部门就需要采取若干步骤来支付它 必须有人曾经请求过某项服务，并确定过支付这项服务的账号他必须使发票生效(开出账单的服务是否确实被提供?) 确认支付服务费用的授权账号被登入借方，且支票已经填好并经过签字 如果是一个人执行这些所有的步骤，那么他就可以很容易地支付伪造发票了；然而，如果需要两个或两个以上不同的人执行这些步骤，那么只有多人合谋才能欺骗公司。需要至少两个人来处理这个过程就是职责分离原则的一个实例 职责分离 基于计算机的事务处理也一样，必须有人来检验事务处理是否被正确实现 职责分离的原则要求检验者和实现者是不同的人 要使用一个事务处理来破坏数据(或者通过不正当手段改变数据或者将数据置于一个不一致性状态)，就必须有两个不同的人员犯同样的错误，或者他们合谋担保该良定义事务处理已被正确实现 Clark-Wilson中的访问控制策略 用程序而不是安全级别来标记主体和客体 程序作为主体和客体之间的中间控制层 访问控制： 定义可访问特定数据项(数据类型)的操作(特定程序) 定义主体(角色)可实施的访问操作(特定程序) 通用操作系统(BLP)和面向应用的IT系统(Clark-Wilson) 区别 BLP中的访问操作简单、通用、适合操作系统 Clark-Wilson中的访问操作是执行复杂的特定应用操作的程序 Clark-Wilson中的访问控制策略 安全策略??访问控制 鉴别用户 为每个良定义的事物程序指定权限 指定每个用户可以执行的程序 审计相关事件 采用引用监控器 总之，Clark-Wilson模型考虑以下几点 主体必须被识别和认证 客体只能通过一组规定的程序进行操作 主体只能执行一组规定的程序 必须维护一个正确的审计日志 系统必须被证明能够正确工作 Clark-Wilson模型形式化描述 两类数据项（CDI、UDI） 两组过程（TP、IVP） 五条证明规则（CR1~5） 四条实施规则（ER1~4） Clark-Wilson模型形式化描述 两类数据项（CDI、UDI） 约束型数据项CDI（Constrained Data Items） 安全策略所控制的数据项 非约束型数据项UDI（Unconstrained Data Items） 不从属于完整性控制的数据，例如系统输入 两类过程（TP、IVP） 转换过程TP（Transformation Procedures） 将系统数据从一个有效状态转换为另一个有效状态，TP实现的是良定义的事物处理 完整性验证程序IVP（Integrity Verification Procedures） 在IVP执行时，他检验CDI是否满足完整性约束。如果符合，则称系统处于一个有效状态 Clark-Wilson模型形式化描述 验证Certification和执行Enforcement控制着模型中所有定义的数据 验证由系统管理员、系统的拥有者行使 执行由系统行驶 Clark-Wilson模型形式化描述 证明规则（certification rule, CR） 安全属性是通过五条证明规则定义的，这些证明规则说明了为使安全策略符合应用需求而应该进行的检查 CR1：IVP必须确保当IVP运行时所有CDI处于有效状态(CDI上的 完整性检查) CR2：TP必须被证明是有效的，即有效的CDI总是被变换成有效 的CDI。每个TP获准访问一组特定的CDI CR3：访问规则必须满足任何责任分离要求 CR4：所有TP必须写入一个只能添加的日志中 CR5：任何一个接受UDI作为输入的TP，要么必须将UDI转换成CDI，要么必须拒绝该UDI，并且不进行任何变换 实施规则（enforcement rule, ER） 四条实施规则描述了应实施安全策略的计算机系统其内部的安全机制，这些规则同BLP中的自主访问控制有些类似 ER1：系统必须维护和保护(CDIa, CDIb, …)列表，该列表给出了TP获准访问的CDI ER2：系统必须维护和保护(TP1, TP2, …)列表，该列表规定了用户可以执行的TP ER3：系统必须认证每一个请示执行TP的用户 ER4：只有可以授予TP访问规则的主体才能修改列表中相应的表项，这个主体必须不具有在该TP上的执行权限 CW模型实际上是设计安全策略的一个框架和指导方针，而不是一个具体安全策略的模型 内部一致性 职责分离 日志规则 输入数据处理规则 实施规则4 Clark-Wilson模型 Clark-Wilson模型 Ch