小白学安全第十八篇之访问控制模型

访问控制模型是规定主体如何访问客体的一种架构,目前主要分为三种:自主访问控制(DAC)、强制访问控制(MAC)、角色型访问控制( RBAC)。每种访问控制模型都具有各自的优缺点,信息系统通常会选取一种或几种访问控制模型来提供必要的保护级别。

自主访问控制

顾名思义,自主访问控制(DiscretionaryAccess Control,DAC)是由客体的属主自主的对客体进行管理,自主的决定是否将访问权限授予其他主体。通俗来说就是:“这是我的东西,我想给谁就给谁,我不想给就不给”。

图片来源于网络

通常我们大多数的操作系统均采用DAC模型,当查看操作系统上的文件权限时,会了解到哪些用户可以访问这些资源,以及允许什么类型的访问,而这些授权操作,都是由创建文件的用户指定的。

DAC模型提供了灵活性与便捷性,但存在一个致命的弱点:当恶意软件(如Wannacry)得到用户权限时,就具有了此用户的权限与许可,可对此用户创建于授权的文件进行操作,也可以以用户的身份进行其他通讯,如邮件、发送数据包等。

为了使现在的操作系统具有强大的功能性,我们必须要选择DAC模型,也正因为如此才存在如此多的攻击方式。

强制访问控制

由于在DAC模式中用户的权利太大,在某些安全性要求较高的信息系统中并不合适,所以强制访问控制模型(MandatoryAccess Control,MAC)应运而生。在MAC中,用户不能进行安装软件、增加用户等操作。MAC是基于标签系统的,系统为主体与客体赋予安全标签,当主体访问客体是,系统根据安全标签中的安全许可进行审核并做出决策。在MAC中,安全策略由管理员配置,访问控制由系统实施,安全策略是高于一切的存在。

2.jpg

图片来源于网络

安全性与便捷性是对立的,由于MAC模式中安全性较高,导致便捷性十分低下。目前仅有少数环境使用这种模型,如军队、政府机构等。与我们最近的MAC系统是由NSA(美国国家安全局)开发的SELinux系统,但实际使用率并不高。

角色型访问控制

第三种访问控制模型是角色型访问控制(Role-BasedAccess Control,RBAC),这种模型使用集中管理的控制方式来决定主体和客体如何交互,更多的用于企业中,根据不同的职位来分配不同的权限。举例来说就是总经理、主管、一般员工、门卫等角色。

3.jpg                                                                          图片来源于网络

角色型访问控制的好处是不用对具体的主体进行权限赋予,只要根据实际的职位将角色赋予即可。当一名主管升职后,仅需要将总经理的身份赋予即可,当新员工入职后,也仅需要赋予门卫或其他职位的权限。

总而言之

三种访问控制模式各有优缺点,并没有好坏之分,更多是要根据实际的需求选择最合适的模式。

未经允许不得转载(声明:本文内容由互联网用户自发贡献自行上传,本网站不拥有所有权,未作人工编辑处理,也不承担相关法律责任。如果您发现有涉嫌版权的内容,欢迎发送邮件至:net-net@foxmail.com进行举报,并提供相关证据,工作人员会在10个工作日内联系你,一经查实,本站将立刻删除涉嫌侵权内容。):策信智库资讯网 » 小白学安全第十八篇之访问控制模型

赞 (0)