數據訪問控制

第三章數據訪問控制劉曉梅1內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅2訪問控制介紹

訪問控制是可以幫助系統管理員直接或者間接可控地對系統行為、使用和內容實施控制的機制的集合。管理員可以根據訪問控制定義用戶可以訪問哪些資源，可以進行哪些操作。通常，訪問控制批準或者限制任何對資源的訪問，監控和記錄訪問企圖，識別訪問用戶，并且確定其訪問是否得到授權的硬件/軟件/策略。3訪問控制概念訪問控制：針對越權使用資源的防御措施目標：防止對任何資源（如計算資源、通信資源或信息資源）進行未授權的訪問，從而使資源在授權范圍內使用，決定用戶能做什么，也決定代表一定用戶利益的程序能做什么。未授權訪問：包括未經授權的使用、泄露、修改、銷毀信息以及頒發指令等。非法用戶對系統資源的使用合法用戶對系統資源的非法使用作用：機密性、完整性、和可用性4訪問控制概念訪問是存在主體和客體之間的信息流訪問控制是可以幫助系統管理員直接或者間接可控地對系統行為、使用和內容實施控制的機制的集合。主體：訪問者（用戶、程序、進程、文件、計算機）客體：訪問對象（程序、進程、文件、計算機、數據庫、打印機、存儲介質）操作：控制主體對客體的訪問權限（read,write,excute）和訪問方式5訪問控制概念信息分級定義評估組織的信息資產的風險等級，保障信息資產確實得到適當的安全保護。原因對所有的信息資產實施同一級別的安全保護不但可能會導致資源的浪費，而且會導致某些資產過保護而某些資產則保護力度不足。信息分級的好處極大提升組織的安全意識；關鍵信息被識別出來，同時得到更好的保護；對敏感信息的處理有了更清晰的指導；建立了資產的所有關系以及管理員和用戶的關系；減少非敏感信息存儲的開銷。6訪問控制概念信息分級價值（value）價值是最通常的數據分類標準，如果信息對一個組織或者其競爭對手有價值，就需要分類。壽命（age）隨著時間的推移，信息價值會降低，其分類也會降低。例如，政府部門，某些分類檔案會在預定的時間期限過后自動解除分類。使用期（usefullife）如果由于新信息的替代、公司發生的真實變化或者其他原因，信息過時了，可以對其解除分類。人員關聯（personnelassociation）如果信息與特定個人相關，或者法律（如隱私法）、規章和責任要求中指出的，需要分類。例如，如果調查信息揭示了調查者的名字，就需要保留分類。7訪問控制概念信息分級所有者（owner）通常是管理層的一員，對信息的保護和使用負有最終的責任；負有“適度關注（duecare）”責任，保障信息得到合適的安全控制；決定信息的安全級別；指派管理員數據日常保護以及維護的職責。管理者（custodian）負責數據的日常保護和維護；通常由IT人員擔當；負有“適度勤勉（duediligence）”責任；日產工作包括周期的備份、恢復以及驗證數據的完整性。用戶（user）在相關工作中使用數據的任何人。8內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅9訪問控制的步驟1、Identification：宣稱用戶的身份確定用戶：確定用戶是管理資源的第一步；標示誰有訪問權限；訪問權限與用戶的需要和信任的級別。2、Authentication：驗證用戶的身份確定資源：資源可是信息、應用、服務、打印機、存儲處理以及任何信息資產；確定資源的CIA。3、Authorization：指定使用確定用戶的級別或者是控制級別；確定用戶許可的操作。4、Accountability：可追溯性/責任確定員工對其行為應該承擔的責任，記錄了用戶所做的以及時間。10身份識別唯一身份（uniqueidentity）的宣稱；應用訪問控制關鍵的第一步；是可追溯性（accountability）的前提；有關身份的三個最佳安全實踐：唯一性：在一個控制環境中的獨一無二的身份；非描述性的：身份標識應當不暴露用戶的工作角色；發布：發布身份信息的過程必須是安全和存檔的；身份標識的一般形式UserNameUserIDAccountNumberPersonalIdentificationNumber(PIN)11身份管理身份管理概述（identitymanagement）在管理不同用戶和技術的環境中，提高效率的一系列技術的集合；在企業中，身份管理涉及員工身份（identity）、驗證（authentication）、授權（authorization）、保護（protection）和管理（manegement）;身份管理面臨的挑戰（challenges）一致性（consistent）:輸入不同系統的用戶數據應當保持一致；效率（efficiency）:更好的選擇是一個用戶名可以訪問多個系統；可用性（usability）：對用戶而言，多個系統、多個用戶名和多密碼可能是個較大的負擔；可靠性（Reliability）:用戶個人數據必須是可靠的；12身份管理身份管理技術目錄（directories）包含分層的對象，存儲了有關用戶（user）、組（group）、系統、服務器、打印機等相關信息；Web訪問管理典型的方式是在web服務器前端使用插件；密碼管理（passwordmanagement）遺留的單點登錄（legacysinglesignon）提供一個用戶身份的集中存儲，用戶登錄通過一次驗證，然后可以訪問其他系統而不需要反復驗證；賬號管理（accountmanagement）用戶賬號的創建（creation）、更改（change）、以及撤銷（decommission）；賬戶管理是訪問控制最需要投入財力和時間的且有很大潛在風險的一個環節。Profileupdate:用戶身份信息更新13身份管理目錄技術目錄服務目錄服務就是按照樹狀信息組織模式，實現信息管理和服務接口的一種方法。目錄服務系統一般由兩部分組成。第一部分是數據庫，一種分布式的數據庫，且擁有一個描述數據的規劃；第二部分則是訪問和處理數據庫有關的詳細的訪問協議。典型的方式是在web服務器前端使用插件；目錄服務與關系數據庫的區別目錄不支持批量更新所需要的事務處理功能，目錄一般只執行簡單的更新操作，適合于進行大量的數據的檢索；目錄具有廣泛復制信息的能力，從而在縮短響應時間的同時，提高了可用性和可靠性。14身份管理Web協議（即HTTP）是一個無狀態的協議瀏覽器和服務器之間有約定：通過使用cookie技術來維護應用的狀態Web-SSO完全可以利用Cookie結束來完成用戶登錄信息的保存，將瀏覽器中的Cookie和上文中的Ticket結合起來，完成SSO的功能瀏覽器Webserver申請頁面1返回頁面1申請頁面2返回頁面2瀏覽器Webserver申請頁面1返回頁面1，并設置cookie申請頁面2，并帶上cookie返回頁面215鑒別驗證（validate）用戶宣稱其身份有效的過程（process）；驗證的類型消息驗證——一個人所知道的（whatoneknows）;所有關系驗證——一個人所擁有的（whatonehas）;生物特征驗證——一個人是什么或者做了什么（whatoneisordoes）.雙因素驗證（twofactorsauthentication）以上任何兩種因素結合；如：ATMCard+PIN，token,Creditcard+signature三因素驗證（threefactorsauthentication）Includingallthreefactors16鑒別密碼最常用的驗證方式也是最脆弱的方式；類型：靜態密碼動態密碼（dynamicpwd）：周期變更，one-time-password;Passphrase：比密碼更長，通常是個虛擬密碼；認知密碼：基于個人事實，興趣以及個人相關的其他方面；密碼驗證存在的問題容易攻擊：字典攻擊（dictionaryattack）是可行攻擊方式；不便利：組織通常給用戶發布計算機產生的密碼，往往這些密碼難以記憶；可否認性（repudiable）:不像一個手寫的簽名，如果一個交易的完成僅僅是依靠一個密碼，那么沒有任何實際的證據表明是某個用戶完成的。17鑒別生物技術什么是生物技術Biometricsisthescienceofmeasuringandanalyzingbiologicalinformation.生物技術是度量（measures）和分析生物信息的科學。為什么使用生物技術唯一性(Unique)高級別的安全Moreadvantages:remember(whatoneknows);carriage(whatonehas);with(whatoneis)如何工作的注冊（enrollment）例行工作（routinework）18鑒別生物技術身份標識（identification）使用個人可度量的生物特征（measurablephysicalcharacteristics）來證明他的身份；在許多可能的主體中標識出一個特定的主體；完成一個是一對多（onetomany）的匹配。驗證（authentication）鑒別身份是生物技術最主要的應用；通過人的生物特征（biometricstraits）來驗證；完成一個一對一（onetoone）的匹配。阻止欺詐（Fraudprevetion）是生物技術的另一個運用19鑒別生物技術遺傳特性面部識別DNA匹配手型聲音辨認Randotypictraits指紋眼睛掃描血脈模式行為特征簽名分析擊鍵動作20鑒別生物技術度量對生物系統的準確性（accuracy）或敏感度（sensitivity）的調整將導致兩類錯誤：第一類錯誤（假陽性，falsepositive）當精確度提高后，一些合法用戶將錯誤的拒絕；錯誤拒絕率，錯誤拒絕率越低，生物鑒別系統越好。第二類錯誤（假陰性，falsenegative）當精確性降低時，那么一些非法的用戶將

可能會被錯誤接受；錯誤接受率，錯誤接受率越低，生物鑒別

系統越好。生物系統的度量錯誤交叉率（CER，crossequalrate），相

當錯誤率（EER,equalerrorrate）錯誤交叉率越低，那么生物系統的性能越好FARFRRSensitivity%CER21鑒別生物技術度量優化生物技術（optimalCER）其他方面的考慮對偽造的抵制數據存儲需求用戶可接受度可用性和精確性22鑒別令牌令牌設備是常見的一次性密碼（One-TimePassword,OTP）實現機制，為用戶生成向身份驗證服務器提交的一次性密碼。令牌設備與用戶訪問的計算機分離，它與身份驗證服務器以某種方式同步，從而對用戶進行身份驗證。同步模式基于時間同步基于計數器同步異步模式23鑒別令牌操作模式基于時間同步模式圖1圖224鑒別令牌操作模式異步模式挑戰/響應

(1)工作站上顯示挑戰值

（2）用戶將挑戰值輸入令牌設備

（3）令牌設備向用戶提供一個不同的值

（4）用戶將新值和PIN輸入工作站

（5）新值發送至服務器上的身份驗證服務

（6）身份驗證服務期望特定值

（7）用戶通過身份驗證并被允許訪問工作站

.5.25應用單點登錄（singlesignon）一旦驗證通過就可以訪問其他網絡資源；Kerberos一種網絡驗證協議（networkauthenticationprotocol）,由MIT的雅典娜項目開發；SESAMESecureEuropeanSystemforApplicationsinaMulti-VendorsEnvironment;解決Kerboros的一些缺點；安全域（securitydomain）在共享統一的安全策略和管理的領域（realm）之間建立信任；訪問主客體以及相關操作事先定義好的；26應用單點登錄（singlesignon）單點登錄技術使用戶輸入一次憑證就能夠訪問指定域內的所有預授權資源。實施更健壯的密碼策略27應用單點登錄實現LoginScripts登陸腳本腳本里面包含用戶名、口令、環境參數、登錄命令的批處理文件或者腳本KerberosSESAME(SecureEuropeanSystemforApplicationsinaMulti-VendorsEnvironment)瘦客戶機目錄服務，如LDAP、DNS、ActiveDirectory28應用KerberosKerberos鑒別系統MIT設計，Athena工程的一部分，名字來源于希臘神話，一只名叫Kerberos的三頭狗，是地獄的門衛，Currentlyinversion5鑒別和密鑰分發兩個目的對主機上的多種服務提供不可偽造的證書，以識別單個用戶每個用戶和每個服務都與Kerberos密鑰分發中心共享一個密鑰，這些密鑰作為分發會話密鑰的主密鑰，也作為KDC的證據，保證包含在報文中的信息的正確性能夠解決的問題身份認證（Authentication），數據完整性（Integrity），保密性（Confidentiality）在使用Kerberos之前，必須和服務器互換秘密密鑰（secretkey）,當你連接到系統，告訴服務器你的用戶ID，服務器會返回一個經過加密的票據（ticket）。如果你的身份無誤，你自然知道密鑰并解密票據，最終你會取得信息的訪問權，否則你的訪問請求會遭到拒絕。29應用Kerberos組成KDC（KeyDistributionCenter）保存所有用戶及服務的key，提供認證服務和key交換功能，client和service信任KDC，這種信任是Kerberos安全的基礎。AS（AuthenticationService）是KDC的一部分，負責認證PrincipalTGS（TicketGrantingService）也是KDC的一部分，負責生成ticket并處理之（授權）Ticket一個記錄，客戶可以用它來向服務器證明自己的身份，其中包括客戶的標識、會話密鑰、時間戳，以及其他一些信息。Ticket中的大多數信息都被加密。Principal主體，由KDC提供安全服務的實體，可能是用戶、應用程序或services30應用Kerberos組成兩種票據票據許可票據（Ticketgrantingticket）客戶訪問TGS服務器需要提供的票據，目的是為了申請某一個應用服務器的“服務許可票據”；票據許可票據由AS發放；服務許可票據（Servicegrantingticket）是客戶時需要提供的票據；31應用Kerberos通信過程（1）用戶向AS進行身份驗證（2）AS向用戶發送初始票證TGT（3）用戶請求訪問文件服務器（4）TGS使用會話密鑰創建新的票證，兩個實例（5）用戶提取一個會話密鑰，并將票證發送至文件服務器用戶委托人KDCASTGS（1）（2）（3）（4）文件服務器委托人（5）32應用Kerberos總結在KDC上用戶必須有一個賬號KDC必須是一個受信任的服務器KDC與每一個用戶共享DES密鑰當用戶訪問主機或者應用時，必須向KDC申請票據用戶向應用提供票據和身份驗證33應用Kerberos弱點KDC可以是一個單一故障點KDC必須能夠實時處理接受到的大量請求Kerberos要求客戶端和服務器的時鐘同步秘密密鑰、會話密鑰存放在用戶工作站中，容易受到攻擊（DES）34內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅35訪問控制模型介紹自主訪問控制（DAC,DiscretionaryAccessControl）訪問是基于用戶的授權對象的屬主創建或授予其他用戶訪問的權利主要應用是把保護數據同非授權用戶分離依靠對象屬主（owner）來控制訪問桔皮書：C-levelUsedbyUnix,NT,NetWare,Linux,VINES等DAC類型：Identity-base：基于用戶和資源標識User-directed：直接面向用戶進行限制36訪問控制模型介紹Identity-baseAC身份型訪問控制基于對象標識標識既可以是用戶又可以是組成員數據所有者可以選擇允許Bob（用戶）和Accounting組（組成員）訪問他的文件37訪問控制模型介紹強制訪問控制（MAC，Mandatory

access

control）一般來說，比DAC更安全指定每個客體的敏感標簽，同時只允許那些不低于客體標簽等級的用戶訪問只有管理員才能更改客體級別，而不是客體的屬主桔皮書：B-level使用在安全要求比較高的場所，如軍隊里強制訪問控制難以配置和實施38訪問控制模型介紹強制訪問控制MACSecurityPolicy:Public:僅能訪問PublicLevelOfficers:能訪問Officers和PublicLevelExecutive：能訪問Public、fficers和ExecutiveLevelUser：JohnSubjectLevel：OfficersUser：AmySubjectLevel：PublicUser：MarySubjectLevel：ExecutiveReports.docSensitivityLevel：Officers39訪問控制模型介紹基于角色訪問控制（RBAC，Role-BasedAccessControl）使用集中（central）的訪問控制來決定主體和客體之間的交互；允許對資源的訪問是建立在用戶所持的角色的基礎上的；管理員給用戶分配較色同時給角色賦予一定權限，比如訪問控制是以工作職責為基礎的；控制機制：用戶具有某個角色、賦予角色某些權限40訪問控制模型介紹基于角色訪問控制（RBAC）職責分離（separateofduty）主要目的是防止欺詐和錯誤；對于某一特定操作在多個用戶細分工作任務和相關的權限；建立檢查-平衡機制（check-balancemechanism）,相互監督工作輪換，雙重控制(dualcontrol)，雙人操作(two-mancontrol)，強制休假(mandatoryvacation)最小特權(leastprivilege)要求用戶或進程被給予不超過其工作需要的額外的操作權限識別用戶的工作職責，以及完成該工作所需的最小權限集Need-to-know41訪問控制模型介紹基于角色訪問控制（RBAC）靜態和動態靜態職責分離相對簡單，是由單個的工作角色以及指派給用戶的一些特定的角色的元素來決定；動態職責分離比較復雜，在系統的操作過程中決定。適用性必須考慮兩大不同因素：職能的敏感性和工作處理流程的分發特性評估指定處理的重要性以及同企業安全風險、操作和信息資產的關系；分發元素識別元素，重要性和嚴重程度可操作性用戶技能和可用性42訪問控制模型介紹核心RBAC用戶、角色、權限應根據安全策略進行定義和對應用戶和角色是一對多的關系用戶可以屬于多個組，并擁有每個組所享有的各種特權43訪問控制模型介紹層次化RBAC該模型對應特定環境中的組織機構和功能描述。各種業務已經建立在一個人員層次化結構中，所以該組件非常有用。行政管理系統中的位置越高，所擁有的訪問權限就越多。44訪問控制模型介紹訪問控制模型總結：DAC：數據所有者決定誰能訪問資源，ACL用于實施安全策略MAC：操作系統通過使用安全標簽來實施系統的安全策略RBAC：訪問決策基于主體的角色或功能位置45內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅46訪問控制技術介紹基于規則的訪問控制使用特定規則來規定主體和客體之間可以做什么，不可以做什么系統管理員為用戶創建規則指定權限基于以下規則：IfXthenY創建一套規則，用戶在訪問系統前都要先檢測規則是一種強制型控制，規則由管理員制定，用戶不能更改典型應用：路由器、包過濾防火墻、代理47訪問控制技術介紹限制接口例：menusandshells、databaseviews、physicallyconstrainedinterfaces基于內容的訪問控制對客體的訪問基于客體的內容基于上下文的訪問控制基于一組信息的上下文做出訪問決策48訪問控制技術介紹訪問控制矩陣(AccessControlMatrix)訪問能力表(CapabilityTables)訪問控制列表（AccessControlLists）目標用戶目標x目標y目標z用戶aR、W、OwnR、W、Own用戶bR、W、Own用戶cRR、W用戶dRR、W49內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅50訪問控制層次訪問控制列表需要用戶名和密碼進行身份驗證入侵檢測系統周邊安全51內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅52控制分類介紹管理性的（administrative）描述了控制系統所有的行為、策略和管理；定義了管理控制環境的角色、責任、策略以及管理職能。技術的（technical）落實安全策略的應用在所有基礎設施和系統上的各種機制；在控制被應用以及驗證的控制環境中的電子控制手段。物理的（physical）非技術性的環境，涉及廣泛的控制范圍，從門禁、環境控制窗口、建設標準以及門衛等。53控制分類介紹預防性的（preventative）阻止未授權行為，預防安全事件的發生；例：柵欄、安全策略、安全意識（securityawareness）、反病毒、身份識別、鑒別；威懾性的（deterrent）阻礙安全事件發生；例：潛在的處罰、身份識別、監視和審計（monitoringandauditing）;檢測性的（detective）識別正在發生的安全事件（securityevents）例：門衛（guard）、事件調查（incidentsinbestigation）、入侵檢測（IDS）糾正性的（corrective）改善環境/減少損失和恢復控制；恢復性的（recovery）恢復到正常的狀態補償性的（compensating）54內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅55訪問控制集中管理訪問控制集中管理集中式訪問控制所有的授權和校驗工作集中在單一實體或位置上優點嚴格控制，統一訪問，高效方便缺點中心負載，單點故障例子RADIUS（RemoteAuthenticationDial-inUserService）-centralizedserverforsinglepointofnetworkauthenticationTACACS(TerminalAccessControllerAccessControlSystem)-centralizeddatabasewithaccountsthatauthorizesdatarequests56訪問控制集中管理RADIUS遠程撥入用戶認證服務認證服務器/動態密碼提供密碼管理功能可以實現認證、授權、日志57訪問控制集中管理TACACSTerminalAccessControllerAccessControlSystem與RADIUS一樣，包含集中數據庫，在服務器端驗證用戶使網絡設備能夠根據用戶名和靜態密碼認證用戶實現3A，認證、授權和審計三個版本TACACS:網絡設備查詢服務器驗證密碼ExtendedTACACS（XTACACS）TACACS+增加了（動態密碼）通過安全令牌實現雙因素認證

58訪問控制集中管理TACACS59訪問控制集中管理RADIUSTACACS+數據包傳輸UDPTCP數據包加密僅加密在RADIUS客戶端與RADIUS服務器之間傳送的認證信息加密客戶端與服務器之間的所有流量AAA支持組合身份驗證和授權服務使用AAA體系結構，分離身份驗證、授權和審計多協議支持在PPP連接上工作支持其他協議，如AppleTalk、NetBIOS和IPX響應在對某位用戶進行身份驗證時使用挑戰/響應；它適用于所有AAA活動對每個AAA進程都使用多挑戰響應；每個AAA活動都必須進行身份驗證60

訪問控制分散管理

訪問控制分散管理分散的訪問控制資源所有者決定訪問控制優點：根據用戶授權，不存在單點缺點：缺乏一致性61內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅62訪問控制實踐拒絕未知用戶或匿名賬戶對系統的訪問限制和監控管理員以及其他高級賬戶的使用在登陸嘗試失敗次數達到特定值后掛起或延遲訪問功能用戶一離開公司，就立刻刪除他的賬戶實施“知其所需”和最小特權原則禁止不必要的系統功能、服務和端口更換為賬戶設置的默認密碼限制和監控全局訪問規則確保登錄ID不是對工作職能的描述從資源訪問列表中刪除多余的用戶ID、賬戶和角色型賬戶實現密碼需求（長度、內容、生命期、分發、存儲和傳輸）。63內容目錄訪問控制基本概念訪問控制步驟與應用訪問控制模型訪問控制技術訪問控制層次控制的分類訪問控制的管理訪問控制實踐訪問控制的威脅64訪問控制的威脅針對訪問控制的攻擊Bruteforce暴力攻擊應對措施：增加登陸時間間隔，鎖定用戶，限制登陸失敗IP等字典攻擊應對措施：使用一次性密碼令牌、使用非常難以猜測的密碼、頻繁更換密碼、使用字典破譯工具來查找用戶選定的弱密碼、在密碼內使用特殊的字符、數字以及大小寫字母等拒絕服務攻