自主訪問控制研究

孫俊麗

摘 ? ?要： 本文介紹了自主訪問控制的概念，具體分析了兩種實現(xiàn)機制，基于行的實現(xiàn)機制和基于列的實現(xiàn)機制，總結(jié)了自主訪問控制的特點，最后列出了自主訪問控制的局限性。

關(guān)鍵詞： 自主訪問控制 ? ?實現(xiàn)機制 ? ?特點 ? ?局限性

1.自主訪問控制的概念

自主訪問控制（Discretionary Access Control，DAC）是由客體資源的屬主對自己的客體資源進行管理，由屬主自己決定是否將自己的客體資源訪問權(quán)或部分訪問權(quán)授予其他主體，這種控制方式是自主的。也就是說，在自主訪問控制下，用戶可以按自己的意愿，有選擇地與其他用戶共享他的文件。

2. DAC的實現(xiàn)機制

在DAC中，把訪問規(guī)則存儲在訪問控制矩陣中。訪問控制矩陣是實現(xiàn)DAC策略的基本數(shù)據(jù)結(jié)構(gòu)，矩陣的每一行代表一個主體，每一列代表一個客體，某個主體對某個客體的訪問權(quán)限由矩陣中的每個元素表示。通過檢查這個訪問控制矩陣可以了解用戶對任何客體的訪問請求，如果矩陣中主體和客體的交叉點上有訪問類型，那么訪問就被允許，否則就被拒絕。

2.1基于行的DAC

這種機制是把每個主體對所在行上的有關(guān)客體（即非空矩陣元素所對應的那些客體）的訪問控制信息以表的形式附加給主體，根據(jù)表中的內(nèi)容不同又分為不同的具體實現(xiàn)機制。

2.1.1權(quán)限表機制

權(quán)限表中存放著主體可以訪問的每個客體的權(quán)限（如讀、寫、執(zhí)行等），主體只能按賦予的權(quán)限訪問客體。程序中可以包含權(quán)限，權(quán)限也可以存儲在數(shù)據(jù)文件中，為了防止權(quán)利信息被非法修改，可以采用硬件、軟件和加密措施。因為允許主體把自己的權(quán)利轉(zhuǎn)給其他進程，或從其他進程收回訪問權(quán)，權(quán)限表機制是動態(tài)的，所以對一個程序而言，最好把該程序所需要訪問的客體限制在最小范圍內(nèi)。

2.1.2口令機制

每個客體都有一個相應的口令。當主體對一個客體發(fā)出訪問請求時，必須把該客體的口令提供給系統(tǒng)。口令不像權(quán)利那樣是動態(tài)的，由于大多數(shù)實現(xiàn)自主訪問控制的系統(tǒng)利用口令機制時僅允許把一個口令分配給每個客體或每個客體的每種訪問模式。

2.1.3前綴表

前綴表中包含主體可訪問的每個客體的名字及主體對它的訪問權(quán)限。當某個主體要訪問某個客體時，訪問控制機制將檢查該主體的前綴中是否具有它所請求的訪問權(quán)。前綴表機制的實現(xiàn)存在以下困難：主體的前綴表可能很大，增加了系統(tǒng)管理的困難;只能由系統(tǒng)管理員進行修改，管理復雜;撤銷與刪除困難，系統(tǒng)難以決定誰對某一客體具有訪問權(quán)。

2.2基于列的DAC

所謂基于列的自主訪問控制是指把每個客體被所在列上的有關(guān)主體訪問的控制信息以表的形式附加給該客體，然后依次進行訪問控制。它有兩種實現(xiàn)形式：保護位方式和訪問控制表（ACL）方式。

2.2.1保護位機制

保護位對所有主體、主體組及該客體的擁有者指定了一個訪問權(quán)限的集合，UNIX采用了這種機制。在保護位中包含主體組的名字和擁有者的名字。

2.2.2訪問控制表（ACL）機制

任何一個特定的主體是否可對某一個客體進行訪問都可以由訪問控制表決定。它表示訪問控制矩陣的方法是把一個主體明細表附加在客體上。對該客體的訪問權(quán)和主體的身份都存在于該表中的每一項。目前，訪問控制表（ACL）機制是實現(xiàn)自主訪問控制策略的最好方法。

3.DAC的特點

自主訪問控制是訪問控制中最常見的一種方法，允許資源的所有者自主地在系統(tǒng)中決定可存取其資源客體的主體，即主體有自主的決定權(quán)，一個主體可以有選擇地與其他主體共享資源，故此模型靈活性很高。但是由于這種自主性，自主訪問控制是一種比較寬松的訪問控制方式，一個主體的訪問權(quán)限具有傳遞性。在自主訪問控制中，信息總是可以從一個主體流向另一個主體，即使對于高機密的信息也是如此，因此自主訪問控制的安全級別較低。另外，由于同一個用戶對不同的客體資源有不同的存取權(quán)限，不同的用戶對同一客體資源有不同的存取權(quán)限，用戶、權(quán)限、客體資源之間的授權(quán)管理非常復雜。

4.DAC的局限性

自主訪問控制將賦予或取消訪問權(quán)限的一部分權(quán)利留給用戶個人，系統(tǒng)管理者難以確定哪些用戶對客體資源擁有訪問權(quán)限，這樣不利于全局訪問控制的統(tǒng)一。

在許多系統(tǒng)關(guān)系中，用戶對它所能訪問的客體資源并不具有所有權(quán)，系統(tǒng)本身才是系統(tǒng)中資源的真正所有者。

在系統(tǒng)中，一般都希望實現(xiàn)訪問控制與授權(quán)機制的結(jié)果與系統(tǒng)內(nèi)部的規(guī)章制度一致，并且由管理部門統(tǒng)一實施訪問控制，不允許用戶自主地處理，顯然自主訪問控制已不能適應這些需求。

參考文獻：

[1]張鵬.淺談計算機訪問控制技術(shù)[J].科技信息（學術(shù)版），2008.

[2]范九倫，等.訪問控制技術(shù)研究進展[J].小型微型計算機系統(tǒng)，2004.

[3]竇燕.身份認證與訪問控制系統(tǒng)的研究與實現(xiàn)[D].北京大學，2004.

[4]李曉林.信息系統(tǒng)中基于角色的訪問控制[J].微機發(fā)展，2004.

[5]汪厚詳.基于角色的訪問控制研究[J].計算機應用研究，2005.