第六章
访问控制技术
第一节 访问控制概述
第二节 访问控制的类型
第三节 安全模型
第四节 访问控制模型的实现
第六章 访问控制技术
一
访
问
控
制
的
基
本
任
务
访问控制的基本任务是对
计算机及其网络系统采取有效
的安全防范措施，防止非法用
户进入系统及合法用户对系统
资源的非法使用。
第一节 访问控制概述
第六章 访问控制技术
认证就是证实用户的身份，
认证必须和标识符共同起作用。
一
访
问
控
制
的
基
本
任
务
第一节 访问控制概述
1．用户身份认证
第六章 访问控制技术
系统正确认证用户以后，根据不
同的ID分配给不同的使用资源，这项
任务称作授权。授权的实现是靠访问
控制完成的。
一
访
问
控
制
的
基
本
任
务
第一节 访问控制概述
2．授权
第六章 访问控制技术
如何决定用户的访问权限：
（1）用户分类
用户
特殊用户 一般用户
作审计的
用户
作废用户
一
访
问
控
制
的
基
本
任
务
第一节 访问控制概述
第六章 访问控制技术
如何决定用户的访问权限：
（2）资源及使用
磁盘与磁带上的数据集、远程终
端信息管理系统的事物处理组、顾客
（用户）信息管理系统事物处理组和
程序说明块（PSB）、数据库中的数据
、应用资源等。
一
访
问
控
制
的
基
本
任
务
第一节 访问控制概述
第六章 访问控制技术
如何决定用户的访问权限：
访问规则规定若干条件，在这些条件
下可准许访问一个资源。一般地讲，规则
使用户和资源配对，然后指定该用户可在
该资源上执行哪些操作。
一
访
问
控
制
的
基
本
任
务
第一节 访问控制概述
第六章 访问控制技术
（3）访问规则
对该文件提供附加保护，使非
授权用户不可读，对于有时可能被
截获的文件的附加保护是对文件进
行加密。
一
访
问
控
制
的
基
本
任
务
第一节 访问控制概述
第六章 访问控制技术
3．文件保护
记录用户的行动，以说明安全
方案的有效性。审计是记录用户使
用系统所进行的所有活动的过程，
即记录用户违反安全规定的时间、
日期以及用户活动。
一
访
问
控
制
的
基
本
任
务
第一节 访问控制概述
第六章 访问控制技术
4．审计
二
访
问
控
制
的
层
次
权限
控制
目录级
安全
控制
属性安全
控制
服务器
安全
控制
入网
访问控制
访问
控制
第一节 访问控制概述
第六章 访问控制技术
访问控制是指主体依据某些控
制策略或权限对客体本身或其他资
源进行的不同授权访问。访问控制
包括三个要素：主体、客体和控制
策略。
第一节 访问控制概述
第六章 访问控制技术
三
访
问
控
制
的
要
素
访问控制策略是计算机安全防范和保护
的核心策略之一，其任务是保证计算机信息
不被非法使用和非法访问，为保证信息基础
的安全性提供一个框架，提供管理和访问计
算机资源的安全方法，规定各部门要遵守的
规范及应负的责任，使得计算机网络系统的
安全有了可靠的依据。
第一节 访问控制概述
第六章 访问控制技术
四
访
问
控
制
策
略
1. 访问控制策略的实施原则
最小特权原则
最小泄漏原则
多级安全策略
第一节 访问控制概述
第六章 访问控制技术
四
访
问
控
制
策
略
2. 访问控制策略的实现
基于身份的安全策略
基于规则的安全策略
第一节 访问控制概述
第六章 访问控制技术
四
访
问
控
制
策
略
第一节 访问控制概述
第二节 访问控制的类型
第三节 安全模型
第四节 访问控制模型的实现
第六章 访问控制技术
第六章 访问控制技术
第二节 访问控制的类型
访问控制机制可以限制对
系统关键资源的访问，防止非
法用户进入系统及合法用户对
系统资源的非法使用。
第六章 访问控制技术
第二节 访问控制的类型
第六章 访问控制技术
自主访问控制（DAC）
强制访问控制（MAC）
基于角色的访问控制（RBAC）
一
自
主
访
问
控
制
自主访问控制是基于对主体及
主体所属的主体组的识别来限制对
客体的访问。
第六章 访问控制技术
第二节 访问控制的类型
1．自主访问控制的实现方法
（1）基于行的自主访问控制
权力表（capabilitieslist）
前缀表（profiles）
口令 (password)
第六章 访问控制技术
第二节 访问控制的类型
一
自
主
访
问
控
制
1．自主访问控制的实现方法
（2）基于列的自主访问控制
保护位(protection bits)
访问控制表(access control list)
第六章 访问控制技术
第二节 访问控制的类型
一
自
主
访
问
控
制
2．自主访问控制的类型
等级型(hierarchical)
有主型（owner）
自由型（laissez-faire）
第六章 访问控制技术
第二节 访问控制的类型
一
自
主
访
问
控
制
3．自主访问控制模式
①读—拷贝
②写—删除
③运行
④无效
第六章 访问控制技术
第二节 访问控制的类型
一
自
主
访
问
控
制
（1）文件
3．自主访问控制模式
③对目录与文件都实施访问控制。
第六章 访问控制技术
第二节 访问控制的类型
一
自
主
访
问
控
制
（2）目录
①对目录 而不对文件实施访问控制；
②对文件而不对目录实施访问控制；
二
强
制
访
问
控
制
强制访问控制是指用户和文件
都有一个固定的安全属性，系统利
用安全属性来决定一个用户是否可
以访问某个文件。
第六章 访问控制技术
第二节 访问控制的类型
二
强
制
访
问
控
制
（2）过程控制
第六章 访问控制技术
第二节 访问控制的类型
1. 防止特洛伊木马的强制访问控制
（1）限制访问控制的灵活性
二
强
制
访
问
控
制
②仅当用户的安全级不高于文件的安全级
时，该用户才能写该文件。
第六章 访问控制技术
第二节 访问控制的类型
2. Unix文件系统的强制访问控制
（1）Multics方案
①仅当用户的安全级不低于文件的安全级
时，该用户才能读该文件。
③文件访问与文件名的隐蔽
第六章 访问控制技术
第二节 访问控制的类型
2. Unix文件系统的强制访问控制
二
强
制
访
问
控
制
（2）Tim Thomas方案
①文件名的安全级
②隐蔽文件名的实现
三、
基
于
角
色
的
访
问
控
制
基于角色的访问控制是指在
访问控制系统中，按照用户所承
担的角色的不同而给予不同的操
作集。其核心思想就是将访问权
限与角色相联系，通过给用户分
配合适的角色，让用户与访问权
限相联系。
第六章 访问控制技术
第二节 访问控制的类型
第一节 访问控制概述
第二节 访问控制的类型
第三节 安全模型
第四节 访问控制模型的实现
第六章 访问控制技术
第六章 访问控制技术
一
概
述
第三节 安全模型
设计安全模型的主要目的是
确定系统安全访问控制策略、决
定系统内部主体对客体的访问和
监控方式等。
第六章 访问控制技术
1. 设计安全模型的目的
（1）能充分体现预定的安全需要，应清
楚地、准确地表达安全策略。
（2）模型的安全表达是无二意性的。
（3）模型应该是简单的、抽象的、易于
理解和实现，而且易于验证。
（4）安全模型应当只涉及安全性质，对
系统的其他功能及实现不能有影响和太大
的削弱。
第六章 访问控制技术
第三节 安全模型
一
概
述
2. 安全模型的特点
形式化描述是表达安全模型的安
全状态和约束条件的形式，需要用一
种描述语言及相应自动工具完成。
第六章 访问控制技术
第三节 安全模型
一
概
述
3. 形式化描述
安全模型的数学描述方法是将
系统的安全对象、安全规则加以抽
象和转换，用数学上的变量、函数
和数学表达式来描述。
第六章 访问控制技术
第三节 安全模型
一
概
述
4. 数学描述
二
安
全
模
型
的
类
型
它的实现技术是将系统的安全状态表示
成一个大的访问矩阵A，其中矩阵的每一行
表示系统中的一个主体而矩阵的每一列表示
系统的一个客体，矩阵中的元素aij表示第i
个主体对第j个客体的访问模式。
第六章 访问控制技术
第三节 安全模型
1.访问型模型
信息流控制模型的着眼点，是信息根据
某种因果关系的流动。规定信息可以流通的
安全有效路径。关键技术在于信息流模型需
要进行彻底的信息流分析，找出系统所有的
信息流并根据信息流的安全要求，判定是否
为异常流，依此反复修改系统描述或模型，
直到所有信息流都不是异常流为止。
第六章 访问控制技术
第三节 安全模型
二
安
全
模
型
的
类
型
2. 信息流模型
无干扰型模型的主要技术
是将各个主体相互隔离，使其
在不同的领域中运行，以便防
止相互干扰。
第六章 访问控制技术
第三节 安全模型
二
安
全
模
型
的
类
型
3. 无干扰型模型
状态机模型是将系统描述成一个抽象
的数学状态机。在这种模型中，用状态变
量表示机器安全操作对象的状态，用状态
转换函数或操作规则描述这些状态变量是
怎么变化的,系统的安全状态变量和状态
转换函数构成状态机安全模型的总体。
第六章 访问控制技术
第三节 安全模型
二
安
全
模
型
的
类
型
4. 状态机模型
多级安全模型是对访问或信息
流的控制分级分层次的结构。其多
级安全规则的目的是防止混淆隔离
集的界限，防止主体得到超过其密
级许可等级的客体信息。
第六章 访问控制技术
第三节 安全模型
二
安
全
模
型
的
类
型
5. 多级安全模型
三
典
型
安
全
模
型
介
绍
（1）信息流模型的组成
信息流模型
客体集合 进程集合 安全类集合
类间
复合操作符
流关系
第六章 访问控制技术
第三节 安全模型
1．信息流模型
信息流动策略规定：信息必
须由低安全类向高安全类或同安
全类间流动，而不允许信息由高
类向低类或无关类流动。
第六章 访问控制技术
第三节 安全模型
三
典
型
安
全
模
型
介
绍
（2）信息流动策略
流控制规则包括信息流的安全性、
完备性和流动信道的概念以及明流、
暗流安全性的实现和安全流的访问控
制规则等。
第六章 访问控制技术
第三节 安全模型
三
典
型
安
全
模
型
介
绍
（3）流控制规则
状态机模型的关键技术是将系统
的操作对象的状态抽象为状态变量，
对系统的运作抽象为状态转换函数或
操作规则。
第六章 访问控制技术
第三节 安全模型
三
典
型
安
全
模
型
介
绍
2．状态机模型
2．状态机模型
定义状态变量 定义安全状态 定义状态转换函数
证明转换函数是否可保证安全状态 定义并证明初始状态
第六章 访问控制技术
第三节 安全模型
三
典
型
安
全
模
型
介
绍
（1）构造状态机模型的步骤
（2）构造状态机安全模型举例
一般按以下步骤设计：
①抽象描述安全系统并定义状态变量
②定义安全状态
③定义转换函数
④证明转换函数的安全性
⑤定义初始状态并证明安全性
第六章 访问控制技术
第三节 安全模型
三
典
型
安
全
模
型
介
绍
BLP模型是遵守军事安全策略的多
级安全模型。其技术实质是一种形式
化的、描述一组访问规则的状态转换
模型，它将系统实体抽象为主体和客
体两类集合，定义了安全状态的概念
并证明状态变换的安全性。
第六章 访问控制技术
第三节 安全模型
三
典
型
安
全
模
型
介
绍
3．Bell＆La Padula安全模型
第一节 访问控制概述
第二节 访问控制的类型
第三节 安全模型
第四节 访问控制模型的实现
第六章 访问控制技术
第六章 访问控制技术
一
访
问
控
制
模
型
的
实
现
机
制
第四节 访问控制模型的实现
是以文件为中心建立的访问权
限表。访问控制表的优点在于实现
简单，任何得到授权的主体都可以
有一个访问表。
第六章 访问控制技术
1．访问控制表
一
访
问
控
制
模
型
的
实
现
机
制
第四节 访问控制模型的实现
对每个主体而言，都拥有对哪
些客体的哪些访问权限；而对客体而
言，又有哪些主体对它可以实施访问；
将这种关联关系加以阐述，就形成了
控制矩阵。
第六章 访问控制技术
2．访问控制矩阵
一
访
问
控
制
模
型
的
实
现
机
制
第四节 访问控制模型的实现
指请求访问的发起者所拥有的
一个有效标签，它授权标签表明的
持有者可以按照何种访问方式访问
特定的客体。访问控制能力表是以
用户为中心建立访问权限表。
第六章 访问控制技术
3. 能力
一
访
问
控
制
模
型
的
实
现
机
制
第四节 访问控制模型的实现
限制和附属在主体或客体上的一
组安全属性信息。安全标签的含义比
能力更为广泛和严格，因为它实际上
还建立了一个严格的安全等级集合。
第六章 访问控制技术
4．安全标签
一
访
问
控
制
模
型
的
实
现
机
制
第四节 访问控制模型的实现
（1）接入访问控制
（2）资源访问控制
（3）网络端口和节点的访问控制
第六章 访问控制技术
5．访问控制实现的具体类别
二
访
问
控
制
模
型
的
实
现
方
法
1．System V/MLS实现方法
2．Lipner实现方法
3．BK实现方法
第六章 访问控制技术
第四节 访问控制模型的实现
