CISP学习指南：访问控制

访问控制是信息安全的核心机制，通过限制对资源的访问来保护信息资产的机密性、完整性和可用性。

一、访问控制概述

1.1 访问控制的定义与作用

访问控制在教务系统中的作用：

1. 身份鉴别 ≠ 全部权限
   • 身份鉴别只是确认“你是谁”
   • 访问控制决定“你能做什么”
   • 合法用户也需要权限管理
2. 最小权限原则
   • 用户只能访问完成工作所需的资源
   • 不因为是合法用户就给予所有权限
   • 每个用户的权限根据角色确定
3. 共享与安全的平衡
   • 允许合理的资源共享
   • 但必须在安全的框架内
   • 通过访问控制实现平衡

1.2 主体和客体

访问控制模型将实体划分为主体和客体两类，通过对主体身份的识别来限制其对客体的访问权限。

主体、客体和访问权限的关系：

主体类型：
├── 用户（User）
│   ├── 人类用户
│   ├── 系统用户
│   └── 服务账户
├── 进程（Process）
│   ├── 用户进程
│   └── 系统进程
├── 程序（Program）
│   ├── 应用程序
│   └── 系统程序
└── 设备（Device）
    ├── 网络设备
    └── 外设

常见的客体类型：

客体类型：
├── 文件（File）
│   ├── 普通文件
│   ├── 配置文件
│   └── 日志文件
├── 目录（Directory）
│   ├── 文件夹
│   └── 目录树
├── 数据库（Database）
│   ├── 表
│   ├── 视图
│   └── 存储过程
├── 网络资源（Network Resource）
│   ├── 网络共享
│   └── 网络服务
└── 设备（Device）
    ├── 打印机
    └── 存储设备

访问权限的类型：

Unix/Linux目录权限示例：

# 目录权限
# drwxr-xr-x
# d: 目录
# rwx: 所有者权限（读、写、执行）
# r-x: 组权限（读、执行）
# r-x: 其他用户权限（读、执行）
# 目录权限含义：
# r (read): 可以列出目录内容
# w (write): 可以在目录中创建、删除文件
# x (execute): 可以进入目录
# 没有权限的结果：拒绝访问
# 但“拒绝访问”不是一种权限

1.3 访问控制的目标

访问控制的三大目标是保护信息的机密性、完整性和可用性（CIA三要素）。

二、安全模型分类

2.1 机密性模型

保护分级信息机密性的模型： 保护分级信息机密性的模型包括：Bell-LaPadula模型和信息流模型。

2.2 完整性模型

保护数据完整性的模型： 完整性模型包括：Biba模型和Clark-Wilson模型。

2.3 多边安全模型

多边安全模型： 多边安全模型包括：Chinese Wall模型和BMA模型。

三、Bell-LaPadula模型（BLP）

3.1 BLP模型规则

BLP模型基于两种规则保障数据的机密性和敏感度：

安全级别（从低到高）：
公开 < 内部 < 机密 < 绝密
用户级别：机密
✅ 可以读取：公开、内部、机密（向下读）
❌ 不能读取：绝密（不能上读）
✅ 可以写入：机密、绝密（向上写）
❌ 不能写入：公开、内部（不能下写）

3.2 BLP模型的应用

BLP模型适用场景：

四、Biba模型

4.1 Biba模型规则

Biba模型基于两种规则保障数据的完整性：

完整性级别（从低到高）：
未验证 < 已验证 < 可信 < 高度可信
用户级别：已验证
✅ 可以读取：已验证、可信、高度可信（向上读）
❌ 不能读取：未验证（不能下读）
✅ 可以写入：未验证、已验证（向下写）
❌ 不能写入：可信、高度可信（不能上写）

4.2 BLP vs Biba对比

两种模型的对比：

五、访问控制实现机制

5.1 访问控制实现方法

在实现访问控制时，有多种不同的机制和模型可以选择。对于大量用户的信息系统，需要考虑时间和资源消耗。

5.2 ACL vs CL对比

两种机制的核心区别：

详细对比：

5.3 大量用户系统的最佳选择

场景：企业信息系统
- 用户数量：10,000人
- 资源数量：1,000个文件/系统
使用ACL：
├── 存储：1,000个资源 × 平均100个用户 = 100,000条记录
├── 检查：直接定位资源，查找用户
└── 时间：O(1)
使用CL：
├── 存储：10,000个用户 × 平均10个资源 = 100,000条记录
├── 检查：需要遍历用户列表找到用户
└── 时间：O(n)，最坏情况需要检查10,000个用户
结论：ACL更高效

5.4 访问控制实现方案对比

各种方案对比：

• 是实现自主访问控制的机制
• 适合大量用户的系统
• 时间和资源消耗合理
• 广泛应用于实际系统 能力表（CL）
• 也是实现自主访问控制的机制
• 不适合大量用户的系统
• 权限检查需要遍历用户列表
• 时间消耗高 BLP模型
• 是安全模型，不是实现机制
• 用于强制访问控制，不是自主访问控制
• 主要保护机密性
• 不适用于大量用户系统的实现 Biba模型
• 是安全模型，不是实现机制
• 用于强制访问控制，不是自主访问控制
• 主要保护完整性
• 不适用于大量用户系统的实现

5.5 实现机制 vs 安全模型

关键区别：

• 实现机制：回答“如何实现”的问题
• 安全模型：回答“保护什么”的问题
• ACL和CL可以用来实现BLP或Biba模型
• 但BLP和Biba本身不是实现机制

5.6 ACL实际应用示例

Unix/Linux文件系统的ACL：

# 查看ACL
getfacl /path/to/file
# 输出示例
# file: /path/to/file
# owner: user1
# group: group1
user::rw-
user:user2:r--
group::r--
mask::r--
other::---
# 设置ACL
setfacl -m u:user2:r /path/to/file

Windows文件系统的ACL：

文件：project.docx
ACL：
  - 用户1 (所有者): 完全控制
  - 用户2: 读取、写入
  - 用户3: 只读
  - 组A: 读取、写入
  - Everyone: 拒绝访问

数据库系统的ACL：

-- 表的ACL
GRANT SELECT, INSERT ON employees TO user1;
GRANT SELECT ON employees TO user2;
GRANT ALL PRIVILEGES ON employees TO admin;
-- 查看权限
SHOW GRANTS FOR user1;

六、Kerberos协议

6.1 Kerberos协议概述

Kerberos是一种常用的集中访问控制协议，通过可信第三方的认证服务，减轻应用服务器的负担。 Kerberos运行环境组成：

6.2 Kerberos认证流程

Kerberos协议的三个阶段：

三个阶段详解： 阶段1：获得票据许可票据（TGT）

6.3 Kerberos的优势

Kerberos的核心优势：

优势详解：

6.4 Kerberos的关键概念

重要术语：

Kerberos关键概念：
├── KDC（Key Distribution Center）
│   ├── AS（Authentication Server）
│   │   ├── 验证用户身份
│   │   └── 颁发TGT
│   └── TGS（Ticket Granting Server）
│       ├── 验证TGT
│       └── 颁发服务票据
├── 票据类型
│   ├── TGT（Ticket Granting Ticket）
│   │   ├── 票据许可票据
│   │   ├── 用于请求服务票据
│   │   └── 有效期：8-10小时
│   └── Service Ticket
│       ├── 服务票据
│       ├── 用于访问特定服务
│       └── 有效期：5分钟-8小时
├── 主体（Principal）
│   ├── 用户主体：user@REALM
│   └── 服务主体：service/host@REALM
└── 领域（Realm）
    ├── Kerberos管理域
    ├── 通常对应DNS域
    └── 可以建立信任关系

6.5 Kerberos安全特性

安全机制：

6.6 Kerberos应用场景

典型应用：

企业Kerberos部署：
├── KDC服务器
│   ├── 主KDC（kdc1.neo01.com）
│   └── 从KDC（kdc2.neo01.com）
├── 领域配置
│   ├── 领域名：neo01.com
│   ├── KDC地址：kdc1.neo01.com:88
│   └── 管理服务器：kdc1.neo01.com:749
├── 客户端配置
│   ├── /etc/krb5.conf
│   ├── 默认领域：neo01.com
│   └── DNS查找：启用
└── 服务配置
    ├── HTTP/web.neo01.com@neo01.com
    ├── host/server.neo01.com@neo01.com
    └── nfs/fileserver.neo01.com@neo01.com

6.7 Kerberos vs 其他认证协议

认证协议对比：

七、访问控制实施步骤

7.1 访问控制实施流程

访问控制实施流程四要素：

7.2 四要素详解

1. 主体（Subject）

主体：
├── 定义：主动发起访问请求的实体
├── 类型：
│   ├── 用户
│   ├── 进程
│   └── 程序
├── 职责：
│   ├── 发起访问请求
│   ├── 提供身份信息
│   └── 等待访问结果
└── 示例：用户请求访问文件

2. 访问控制实施部件（Access Control Enforcement）

访问控制实施部件：
├── 定义：执行访问控制决策的部件
├── 职责：
│   ├── 接收主体的访问请求
│   ├── 向决策部件查询权限
│   ├── 执行决策结果
│   └── 允许或拒绝访问
├── 位置：主体和客体之间
└── 示例：操作系统内核、安全网关

3. 客体（Object）

客体：
├── 定义：被访问的资源
├── 类型：
│   ├── 文件
│   ├── 目录
│   ├── 数据库
│   └── 网络资源
├── 特点：
│   ├── 被动接受访问
│   ├── 需要保护
│   └── 有安全属性
└── 示例：被访问的文件

4. 访问控制决策部件（Access Control Decision）

访问控制决策部件：
├── 定义：判断是否允许访问的部件
├── 职责：
│   ├── 存储访问控制策略
│   ├── 存储权限信息
│   ├── 根据策略判断权限
│   └── 返回决策结果
├── 存储内容：
│   ├── ACL（访问控制列表）
│   ├── 权限矩阵
│   └── 安全策略
└── 示例：权限数据库、策略服务器

7.3 访问控制实施详细流程

完整的访问控制过程：

7.4 实际应用示例

文件系统访问控制示例：

场景：用户请求读取文件
1. 主体：用户Alice
   - 发起请求：open("/data/report.txt", READ)
2. 访问控制实施部件：操作系统内核
   - 接收请求
   - 提取信息：用户=Alice, 文件=/data/report.txt, 操作=READ
   - 向决策部件查询
3. 客体：文件/data/report.txt
   - 等待访问
4. 访问控制决策部件：文件系统ACL
   - 查找文件ACL：
     /data/report.txt:
       - Alice: READ, WRITE
       - Bob: READ
       - Group_Finance: READ, WRITE
   - 判断：Alice有READ权限
   - 返回：允许访问
结果：实施部件允许Alice读取文件

7.5 关键理解要点

访问控制实施步骤：
1. 主体 → 发起请求
2. 访问控制实施部件 → 接收并查询
3. 客体 → 被访问的资源
4. 访问控制决策部件 → 判断权限
口诀：主实客决（主体、实施、客体、决策）

八、访问控制策略

7.1 访问控制策略类型

主要访问控制策略：

7.2 强制访问控制（MAC）的特点

MAC vs DAC对比：

强制访问控制（MAC）的特征：
├── 1. 安全属性
│   ├── 主体有安全许可级别
│   ├── 客体有安全分类级别
│   ├── 由系统或安全管理员确定
│   └── 用户不能随意修改
├── 2. 强制执行
│   ├── 系统自动执行
│   ├── 基于安全策略
│   ├── 不依赖用户意愿
│   └── 用户无法绕过
├── 3. 访问决策
│   ├── 比较主体和客体的安全属性
│   ├── 应用安全规则（如BLP、Biba）
│   ├── 系统级控制
│   └── 非用户级控制
└── 4. 应用场景
    ├── 军事系统
    ├── 政府机构
    ├── 高安全要求环境
    └── 多级安全系统

军事系统的MAC实现：
安全级别（从低到高）：
公开 < 内部 < 机密 < 绝密
用户A：
├── 安全许可：机密级
├── 可以访问：公开、内部、机密级文件
├── 不能访问：绝密级文件
└── 用户A无法修改自己的安全许可级别
文件X：
├── 安全分类：绝密级
├── 可被访问：只有绝密级许可的用户
├── 不能被访问：机密级及以下用户
└── 文件的安全分类由系统管理员设定
访问控制决策：
├── 用户A请求访问文件X
├── 系统比较：用户A（机密级） vs 文件X（绝密级）
├── 应用BLP规则：不能上读（No Read Up）
└── 结果：拒绝访问（系统强制执行，用户无法绕过）

5.2 强制访问控制（MAC）

需要安全标签的访问控制策略： **强制访问控制（MAC）**策略需要安全标签。

八、安全模型总结

8.1 模型分类汇总

按保护目标分类：

安全模型分类：
├── 机密性模型
│   ├── Bell-LaPadula模型
│   └── 信息流模型
├── 完整性模型
│   ├── Biba模型
│   └── Clark-Wilson模型
└── 多边安全模型
    ├── Chinese Wall模型（金融）
    └── BMA模型（医疗）

8.2 模型选择指南

根据需求选择合适的模型：

九、总结

访问控制的核心要点：

1. 机密性保护：使用Bell-LaPadula模型和信息流模型
2. 完整性保护：使用Biba模型和Clark-Wilson模型
3. 多边安全：Chinese Wall用于金融，BMA用于医疗
4. BLP规则：上读下写，保护机密性
5. Biba规则：下读上写，保护完整性
6. 强制访问控制：需要安全标签，系统强制执行