淺析計(jì)算機(jī)網(wǎng)絡(luò)訪問控制技術(shù)研究

摘 要：如今，網(wǎng)絡(luò)安全問題迅速地突現(xiàn)出來(lái)，成為困擾和阻礙網(wǎng)絡(luò)技術(shù)進(jìn)一步普及和應(yīng)用的絆腳石。

關(guān)鍵詞：網(wǎng)絡(luò)安全；訪問控制

1 訪問控制的安全意義

近年來(lái)，隨著全球網(wǎng)絡(luò)化熱潮的迅速涌起，計(jì)算機(jī)網(wǎng)絡(luò)正在日益廣泛而深入地滲透到社會(huì)的各個(gè)領(lǐng)域，并深刻地改變著整個(gè)社會(huì)的行為和面貌。尤其在商業(yè)、金融和國(guó)防等領(lǐng)域的網(wǎng)絡(luò)應(yīng)用中，能否保證網(wǎng)絡(luò)具有足夠的安全性是首先要考慮的問題。安全問題若不能有效地得到解決，必然會(huì)嚴(yán)重到影響整個(gè)網(wǎng)絡(luò)事業(yè)的發(fā)展。

2 訪問控制技術(shù)的研究

根據(jù)授權(quán)策略的不同，目前在理論上主要有4種不同類型的訪問控制技術(shù)：自主訪問控制（DAC）、強(qiáng)制訪問控制（MAC）、基于角色的訪問控制（RBAC）和基于任務(wù)的訪問控制（TBAC）。

2.1 自主訪問控制和強(qiáng)制訪問控制

①自主訪問控制（Discretionary Access Control，DAC）DAC 的主要特征體現(xiàn)在主體可以自主地把自己所擁有的對(duì)客體的訪問權(quán)限授予其他主體或者從其他主體收回所授予的權(quán)限，訪問控制的粒度是單個(gè)用戶。DAC是在確認(rèn)主體身份及所屬的組的基礎(chǔ)上，對(duì)訪問進(jìn)行限定的一種控制策略，訪問控制策略保存在一個(gè)矩陣中，行為主體，列為客體。為了提高效率，系統(tǒng)不保存整個(gè)矩陣，在具體實(shí)現(xiàn)時(shí)是基于矩陣的行或列來(lái)實(shí)現(xiàn)訪問控制策略的。目前以基于列客體的訪問控制列表（Access Control List，ACL）采用的最多。ACL的優(yōu)點(diǎn)在于表述直觀、易于理解，而且比較容易查出對(duì)一特定資源擁有訪問權(quán)限的所有用戶。

②強(qiáng)制訪問控制（Mandatory Access Control，MAC）MAC是指系統(tǒng)強(qiáng)制主體服從事先制訂的訪問控制策略。在MAC安全系統(tǒng)中，所有信息都有一個(gè)密級(jí)，例如：絕密級(jí)、機(jī)密級(jí)、秘密級(jí)、無(wú)密級(jí)；每個(gè)用戶也都相應(yīng)地有一簽證。例如要決定是否允許某用戶讀一個(gè)文件，那么就比較該用戶的簽證是否與該文件的密級(jí)相符。安全策略要求，為了合法地得到某一信息，用戶的安全級(jí)必須大于或等于該信息的安全級(jí)，并且該信息屬于用戶的信息訪問類別。可見，MAC通過梯度安全標(biāo)簽實(shí)現(xiàn)單向信息流通模式。

2.2 基于角色的訪問控制

（Role-Based Access Co-ntrol，RBAC）RBAC主要研究將用戶劃分成與其在組織結(jié)構(gòu)體系相一致的角色，以減少授權(quán)管理的復(fù)雜性，降低管理開銷和為管理員提供一個(gè)比較好的實(shí)現(xiàn)復(fù)雜安全策略的環(huán)境。

在應(yīng)用級(jí)信息系統(tǒng)的設(shè)計(jì)中，采用RBAC具有以下優(yōu)勢(shì)：

（1）降低了管理的復(fù)雜度。管理授權(quán)數(shù)據(jù)通常是系統(tǒng)管理員的一項(xiàng)繁重工作，而在RBAC中根據(jù)用戶的能力與責(zé)任把用戶與角色關(guān)聯(lián)，一方面定義角色、添加與刪除角色中的用戶，易于操作；另一方面由于用戶與權(quán)限不直接關(guān)聯(lián)，可以通過改變角色的權(quán)限來(lái)改變?cè)摻巧兴杏脩舻臋?quán)限。

（2）能夠方便地描述復(fù)雜的安全策略。安全的整個(gè)領(lǐng)域既復(fù)雜又廣泛，安全策略實(shí)質(zhì)上表明系統(tǒng)在進(jìn)行一般操作時(shí)，在安全范圍內(nèi)什么是允許的，什么是不允許的。策略通常不作具體規(guī)定，即它只是提出什么是最重要的，而不確切地說(shuō)明如何達(dá)到所希望的這些結(jié)果。策略建立起安全技術(shù)規(guī)范的最高一級(jí)，不像ACL只支持低級(jí)的用戶/權(quán)限關(guān)系。RBAC支持角色/權(quán)限、角色/角色的關(guān)系，由于RBAC的訪問控制是在更高的抽象級(jí)別上進(jìn)行的，系統(tǒng)管理員可以通過定義角色、角色分層、角色約束來(lái)實(shí)現(xiàn)企業(yè)的安全策略，管理用戶的行為。

（3）降低了管理中的錯(cuò)誤。系統(tǒng)管理員一旦完成了角色與角色間關(guān)系的定義，由于角色的職能具有一定的穩(wěn)定性，而用戶的職能變動(dòng)頻繁，所以系統(tǒng)管理員的主要工作就是添加與刪除角色中的用戶，與ACL相比較，操作簡(jiǎn)單方便，減少了出錯(cuò)的風(fēng)險(xiǎn)。

2.3 基于任務(wù)的訪問控制

（Task-Based Access Co-ntrol，TBAC）TBAC是一種新型的訪問控制和授權(quán)管理模式，它非常適合多點(diǎn)訪問控制的分布式計(jì)算和信息處理活動(dòng)以及決策制定系統(tǒng)。TBAC采取面向任務(wù)，而不是傳統(tǒng)的面向主體對(duì)象訪問控制方法。如果實(shí)現(xiàn)TBAC 思想，權(quán)限體系的生成就會(huì)更及時(shí)，而且這些權(quán)限是執(zhí)行操作時(shí)所需的，這一點(diǎn)在包含事務(wù)和工作流的應(yīng)用環(huán)境中尤其適用。TBAC方法還將使自我管理的訪問控制模型提升到更高程度，從而降低總體費(fèi)用。

TBAC模型現(xiàn)在還處于一種高度抽象的概念層次，還沒有具體化，離實(shí)用階段還有一段距離。但它有很廣的潛在應(yīng)用性，從對(duì)客戶——服務(wù)器交互這樣精細(xì)活動(dòng)實(shí)施訪問控制，到對(duì)跨部門和組織邊界的分布式應(yīng)用和工作流這樣的粗單元實(shí)施訪問控制都適用。

TBAC訪問控制涉及到與一定應(yīng)用邏輯一致的任務(wù)完成過程中不同點(diǎn)的授權(quán)，這一點(diǎn)在其他的主體對(duì)象訪問控制方法中不能得到滿足。相比之下，在傳統(tǒng)訪問控制中，訪問控制決策制定太簡(jiǎn)單了，本質(zhì)上與高層應(yīng)用程序語(yǔ)義和要求脫節(jié)。

TBAC從基于任務(wù)的角度來(lái)實(shí)現(xiàn)訪問控制，能有效解決提前授權(quán)問題，是一種主動(dòng)訪問控制模型。它給出了動(dòng)態(tài)授權(quán)的概念。所謂動(dòng)態(tài)授權(quán)，就是將授權(quán)不僅同用戶、角色聯(lián)系，還同任務(wù)相關(guān)。當(dāng)任務(wù)即將執(zhí)行時(shí)，才對(duì)用戶授權(quán)；當(dāng)任務(wù)執(zhí)行完就撤銷用戶的權(quán)限。這樣就可以保證權(quán)限只有在用戶需要時(shí)才得到，滿足最小特權(quán)原則。TBAC在完成任務(wù)的過程中，要監(jiān)視權(quán)限的狀態(tài)，按照進(jìn)行中的任務(wù)狀態(tài)確定權(quán)限是活動(dòng)狀態(tài)或非活動(dòng)狀態(tài)，因此它是積極參與訪問控制管理的。

[參考文獻(xiàn)]

[1]王瑋.小議計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全維護(hù)[J].現(xiàn)代經(jīng)濟(jì)信息，2010，5.

[2]王永剛.淺談?dòng)?jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全[J].計(jì)算機(jī)光盤軟件與應(yīng)用，2010，5.