身份认证与访问控制课件

第第第第5 5 5 5章章章章 身份认证与访问控制身份认证与访问控制身份认证与访问控制身份认证与访问控制清华大学出版社清华大学出版社高等院校计算机与高等院校计算机与高等院校计算机与高等院校计算机与信息类规划教材信息类规划教材信息类规划教材信息类规划教材第5章 身份认证与访问控制清华大学出版社主编贾铁军 副主编常目目 录录 5.2 数字签名概述数字签名概述 2 5.3 访问控制技术概述访问控制技术概述3 5.4 安全审计概述安全审计概述 4 5.1 身份认证技术概述身份认证技术概述 1 5.5 本章小结本章小结 5目 录 5.2 数字签名概述 2 5.3 访目目 录录教学目标教学目标教学目标教学目标 理解理解身份认证的概念及常用认证方式方法身份认证的概念及常用认证方式方法 了解数字签名的概念、功能、原理和过程了解数字签名的概念、功能、原理和过程 掌握掌握访问控制的概念、原理、类型、机制和策略访问控制的概念、原理、类型、机制和策略 理解理解安全审计的概念、类型、跟踪与实施安全审计的概念、类型、跟踪与实施 了解访问列表与了解访问列表与Telnet访问控制实验访问控制实验重点重点重点重点重点重点重点重点目 录教学目标重点重点5.1 身份认证技术概述身份认证技术概述 5.1.1 5.1.1 5.1.1 5.1.1 身份认证的概念身份认证的概念身份认证的概念身份认证的概念 身份认证基本方法身份认证基本方法有三种：用户物件认证；有关信息确认或体有三种：用户物件认证；有关信息确认或体貌特征识别。貌特征识别。认证认证（Authentication）是指对主客体身份进行确认的过程。）是指对主客体身份进行确认的过程。身份认证身份认证（Identity Authentication）是指网络用户在进入系统）是指网络用户在进入系统或访问受限系统资源时，系统对用户身份的鉴别过程。或访问受限系统资源时，系统对用户身份的鉴别过程。1.身份认证的概念身份认证的概念2.2.2.2.认证技术的类型认证技术的类型认证技术的类型认证技术的类型 认证技术认证技术是用户身份认证与鉴别的重要手段是用户身份认证与鉴别的重要手段，也是计算机系统，也是计算机系统安全中一项重要内容安全中一项重要内容.从鉴别对象上从鉴别对象上,分为分为消息认证消息认证和和用户身份认证用户身份认证:（1）消息认证：用于保证信息的完整性和不可否认性。）消息认证：用于保证信息的完整性和不可否认性。（2）身份认证：鉴别用户身份。包括识别和验证两部分。识别）身份认证：鉴别用户身份。包括识别和验证两部分。识别是鉴别访问者的身份，验证是对访问者身份的合法性进行确认。是鉴别访问者的身份，验证是对访问者身份的合法性进行确认。从认证关系上，身份认证也可分为用户与主机间的认证和主机之间从认证关系上，身份认证也可分为用户与主机间的认证和主机之间的认证，的认证，5.1 身份认证技术概述 5.1.1 身份认证的概念 5.1 身份认证技术概述身份认证技术概述5.1.2 5.1.2 5.1.2 5.1.2 常用的身份认证方式常用的身份认证方式常用的身份认证方式常用的身份认证方式 1.静态密码方式静态密码方式 静态密码方式静态密码方式是指以用户名及密码认证的方式，是指以用户名及密码认证的方式，是最简单最常用的身份认证方法。是最简单最常用的身份认证方法。2.动态口令认证动态口令认证 动态口令动态口令是应用最广的一种身份识别方式是应用最广的一种身份识别方式，基于动态，基于动态口令认证的方式主要有动态安风险和隐患的环境口令认证的方式主要有动态安风险和隐患的环境.短信密码和动态口令牌（卡）两种方式，口令一次一密。短信密码和动态口令牌（卡）两种方式，口令一次一密。3.USB Key认证认证 采用软硬件相结合、一次一密的采用软硬件相结合、一次一密的强双因素（两种认证方法）认强双因素（两种认证方法）认证模式证模式。其身份认证系统主要有。其身份认证系统主要有两种认证模式两种认证模式：基于冲击：基于冲击/响应模响应模式和基于式和基于PKI体系的认证模式体系的认证模式.常用的常用的网银网银USB Key如图如图5-2所示所示.4.生物识别技术生物识别技术 生物识别技术生物识别技术是指通过可测量的生物信息和行为等特征是指通过可测量的生物信息和行为等特征 进行进行身份认证的一种技术。认证系统测量的生物特征一般是用户唯一生身份认证的一种技术。认证系统测量的生物特征一般是用户唯一生理特征或行为方式。生物特征理特征或行为方式。生物特征分为分为身体特征和行为特征身体特征和行为特征两类两类。图图5-1动态口令牌动态口令牌 5.1 身份认证技术概述5.1.2 常用的身份认证方式 5.1 身份认证技术概述身份认证技术概述 4.生物识别技术生物识别技术 生物识别技术生物识别技术是指通过可测量的生物信息和行为等是指通过可测量的生物信息和行为等特征进行身份认证的一种技术。认证系统测量的生物特特征进行身份认证的一种技术。认证系统测量的生物特征一般是用户唯一生理特征或行为方式。征一般是用户唯一生理特征或行为方式。生物特征生物特征分为分为身体特征和行为特征身体特征和行为特征两类两类。5.CA认证认证 国际认证机构国际认证机构通称为通称为CA，是对数字证书的申请者，是对数字证书的申请者发放、管理、取消的机构。发放、管理、取消的机构。用于用于检查证书持有者身份的检查证书持有者身份的合法性，并签发证书，以防证书被伪造或篡改。发放、合法性，并签发证书，以防证书被伪造或篡改。发放、管理和认证是一个复杂的过程，管理和认证是一个复杂的过程，即即CA认证过程，如表认证过程，如表5-1所示。所示。5.1 身份认证技术概述 4.生物识别技术5.1 身份认证技术概述身份认证技术概述表表5-1 5-1 证书的类型与作用证书的类型与作用 证书名称名称证书类型型主要功能描述主要功能描述个人个人证书个人个人证书个人网上交易、网上支付、个人网上交易、网上支付、电子子邮件等相关网件等相关网络作作业单位位证书单位身份位身份证书用于企事用于企事业单位网上交易、网上支付等位网上交易、网上支付等EmailEmail证书用于企事用于企事业单位内安全位内安全电子子邮件通信件通信部部门证书用于企事用于企事业单位内某个部位内某个部门的身份的身份认证服服务器器证书企企业证书用于服用于服务器、安全站点器、安全站点认证等等代代码签名名证书个人个人证书用于个人用于个人软件开件开发者者对其其软件的件的签名名企企业证书用于用于软件开件开发企企业对其其软件的件的签名名注：数字证书标准有注：数字证书标准有：X.509证书、简单证书、简单PKI证书、证书、PGP证书和属性证书证书和属性证书 5.1 身份认证技术概述表5-1 证书的类型与作用 证书名称5.1 身份认证技术概述身份认证技术概述 CA主要职能主要职能是管理和维护所签发的证书，并提是管理和维护所签发的证书，并提供各种证书服务，供各种证书服务，包括包括书的签发、更新、回收、归档书的签发、更新、回收、归档等等.CA系统的系统的主要功能主要功能是管理其辖域内的用户证书是管理其辖域内的用户证书.CA的的主要职能主要职能体现在体现在3个方面个方面：（1）管理和维护客户的证书和证）管理和维护客户的证书和证 书作废表（书作废表（CRL）。）。（2）维护整个认证过程的安全。）维护整个认证过程的安全。（3）提供安全审计的依据。）提供安全审计的依据。5.1 身份认证技术概述 CA主要职能是管理5.1 身份认证技术概述身份认证技术概述5.1.3 5.1.3 身份认证系统概述身份认证系统概述1.1.身份认证系统的构成身份认证系统的构成 身份认证系统的身份认证系统的组成组成包括：包括：认证服务器、认证系统客户端认证服务器、认证系统客户端和认证设备。系统主要通过身和认证设备。系统主要通过身份认证协议和认证系统软硬件份认证协议和认证系统软硬件进行实现。进行实现。其中，其中，身份认证协议身份认证协议又分又分为为：单向认证协议和双向认证：单向认证协议和双向认证协议。若通信双方只需一方鉴协议。若通信双方只需一方鉴别另一方的身份，则称别另一方的身份，则称单项认单项认证协议证协议；如果双方都需要验证；如果双方都需要验证身份，则称身份，则称双向认证协议双向认证协议。如。如图图5-3所示。所示。图图5-3 认证系统网络结构图认证系统网络结构图 5.1 身份认证技术概述5.1.3 身份认证系统概述 5.1 身份认证技术概述身份认证技术概述 【案例案例5-1】AAA认证系统现阶段应用最广认证系统现阶段应用最广。认证认证（Authentication）是验证用户身份与可使用网络服是验证用户身份与可使用网络服务的过程；务的过程；授权授权（Authorization）是依据认证结果是依据认证结果开放网络服务给用户的过程开放网络服务给用户的过程;审计审计（Accounting）是是记录用户对各种网络服务的用量，并计费的过程。记录用户对各种网络服务的用量，并计费的过程。案例案例5-15-15.1 身份认证技术概述 【案例5-1】AAA认证系5.1 身份认证技术概述身份认证技术概述 1）固定口令认证）固定口令认证 固定口令认证方式简单，易受攻击固定口令认证方式简单，易受攻击：（1）网络数据流窃听（）网络数据流窃听（Sniffer）。）。（2）认证信息截取）认证信息截取/重放。重放。（3）字典攻击。）字典攻击。（4）穷举尝试（）穷举尝试（Brute Force）。）。（5）窥探密码。）窥探密码。（6）社会工程攻击。）社会工程攻击。（7）垃圾搜索。）垃圾搜索。2）一次性口令密码体制）一次性口令密码体制 一次性口令认证系统组成：一次性口令认证系统组成：（1）生成不确定因子。）生成不确定因子。（2）生成一次性口令。）生成一次性口令。2.2.常用认证系统及认证方法常用认证系统及认证方法 5.1 身份认证技术概述 1）固定口令认证2.常用认证5.1 身份认证技术概述身份认证技术概述 图图5-4 E-Securer安全认证系统安全认证系统 3）双因素安全令牌及认证系统）双因素安全令牌及认证系统 （1）E-Securer的组成的组成 （2）E-Securer的安全性。的安全性。5.1 身份认证技术概述图5-4 E-Securer安全认证5.1 身份认证技术概述身份认证技术概述 4)单点登入系统单点登入系统 单点登入单点登入（Single Sign On，SSO）也称）也称单次登入单次登入，是在，是在多个应用系统中，用户只需要登入一次就可以访问所有相互多个应用系统中，用户只需要登入一次就可以访问所有相互信任的应用系统。信任的应用系统。单点登入优势单点登入优势体现在体现在5个方面：个方面：（1 1）管理简单。）管理简单。（2 2）管理控制便捷。）管理控制便捷。（3 3）用户使用简捷。）用户使用简捷。（4 4）网络更安全。）网络更安全。（5 5）合并异构网络。）合并异构网络。5）Infogo身份认证身份认证 盈高科技盈高科技INFOGO推出的推出的安全身份认证准入控制系统安全身份认证准入控制系统。其。其终端安全管理平台由终端安全管理平台由MSAC安全准入套件、安全准入套件、ITAM资产管理套资产管理套件、件、MSEP桌面套件（包括应用管理、补丁管理、终端运维管桌面套件（包括应用管理、补丁管理、终端运维管理、安全评估及加固、违规外联、网络流量安全管理、行为理、安全评估及加固、违规外联、网络流量安全管理、行为管理）和管理）和MSM移动存储介质管理套件组成。移动存储介质管理套件组成。课堂讨论课堂讨论课堂讨论课堂讨论 1.什么是身份认证？身份认证技术有哪几什么是身份认证？身份认证技术有哪几种类型？种类型？2.常用的身份认证方式有哪些？并举例。常用的身份认证方式有哪些？并举例。3.常用认证系统和认证方法有哪些？常用认证系统和认证方法有哪些？5.1 身份认证技术概述 4)单点登入系统课堂讨论5.2数字签名概述数字签名概述 数字签名数字签名（Digital Signature）又称）又称公钥数字签名公钥数字签名或或电子电子签章签章，是以电子形式存储于信息中或以附件或逻辑上与之有联系的，是以电子形式存储于信息中或以附件或逻辑上与之有联系的数据，用于辨识数据签署人的身份，并表明签署人对数据中所包信数据，用于辨识数据签署人的身份，并表明签署人对数据中所包信息的认可。息的认可。基于公钥密码体制和私钥密码体制都可获得数字签名，目前主基于公钥密码体制和私钥密码体制都可获得数字签名，目前主要是基于公钥密码体制的数字签名。包括普通数字签名和特殊数字要是基于公钥密码体制的数字签名。包括普通数字签名和特殊数字签名两种。签名两种。5.2.1 5.2.1 数字签名的概念及功能数字签名的概念及功能数字签名的概念及功能数字签名的概念及功能 2.数字签名的功能数字签名的功能 保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖行为发生。数字签名技术是将摘要信息用发送者的私钥加密，与原文行为发生。数字签名技术是将摘要信息用发送者的私钥加密，与原文一起传送给接收者。一起传送给接收者。最终目的是实现最终目的是实现6种种安全保障功能：安全保障功能：（）必须可信。（）无法抵赖。（）不可伪造。（）必须可信。（）无法抵赖。（）不可伪造。（）不能重用。（）不许变更。（）处理快、应用广。（）不能重用。（）不许变更。（）处理快、应用广。1.数字签名的概念及种类数字签名的概念及种类5.2数字签名概述 数字签名（Digital Signat5.2数字签名概述数字签名概述 5.2.2 5.2.2 数字签名的原理及过程数字签名的原理及过程 1数字签名算法的组成数字签名算法的组成 数字签名算法主要有两部分组成：数字签名算法主要有两部分组成：签名算法和验证算签名算法和验证算法。签名者可使用一个秘密的签名算法签署一个数据文法。签名者可使用一个秘密的签名算法签署一个数据文件，所得的签名可通过一个公开的验证算法进行验证。件，所得的签名可通过一个公开的验证算法进行验证。常用数字签名主要是公钥加密（非对称加密）算法的典常用数字签名主要是公钥加密（非对称加密）算法的典型应用。型应用。2数字签名基本原理及过程数字签名基本原理及过程 在网络环境中，在网络环境中，数字签名数字签名可以代替可以代替现实中的现实中的“亲笔亲笔签字签字”。整个数字签名的。整个数字签名的基本原理基本原理采用的是双加密方式，采用的是双加密方式，先将原文件用对称密钥加密后传输，并将其密钥用接收先将原文件用对称密钥加密后传输，并将其密钥用接收方公钥加密发给对方。一套完整的数字签名通常定义签方公钥加密发给对方。一套完整的数字签名通常定义签名和验证两种互补的运算。单独的数字签名只是一加密名和验证两种互补的运算。单独的数字签名只是一加密过程，签名验证则是一个解密的过程。过程，签名验证则是一个解密的过程。基本原理及过程，基本原理及过程，如图如图5-5所示。所示。5.2数字签名概述 5.2.2 数字签名的原理及过程1数字5.2数字签名概述数字签名概述 图图5-5 数字签名原理及过程数字签名原理及过程 课堂讨论课堂讨论课堂讨论课堂讨论 1数字签名和现实中的签名有哪些区别和联系？数字签名和现实中的签名有哪些区别和联系？2数字签名的基本原理及过程怎样？数字签名的基本原理及过程怎样？5.2数字签名概述 图5-5 数字签名原理及过程 课堂讨论5.3 访问控制技术概述 1.访问控制的概念及要素访问控制的概念及要素 访问控制访问控制（Access Control）指系统对用户身份及指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的其所属的预先定义的策略组限制其使用数据资源能力的手段。通常用于系统管理员控制用户对服务器、目录、手段。通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。文件等网络资源的访问。访问控制的访问控制的主要目的主要目的是限制访问主体对客体的访问，是限制访问主体对客体的访问，从而保障数据资源在合法范围内得以有效使用和管理。从而保障数据资源在合法范围内得以有效使用和管理。访问控制包括访问控制包括三个要素三个要素：（1）主体）主体S（Subject）.是指提出访问资源具体请求是指提出访问资源具体请求.（2）客体）客体O（Object）.是指被访问资源的实体。是指被访问资源的实体。（3）控制策略）控制策略A（Attribution）。）。5.3.1 访问控制的概念及原理访问控制的概念及原理5.3 访问控制技术概述 1.访问控制的概念及要素5.3.15.3 访问控制技术概述 图图5-6 5-6 访问控制功能及原理访问控制功能及原理2.2.访问控制的功能及原理访问控制的功能及原理 访问控制的访问控制的主要功能主要功能包括：保证合法用户访问受权保护的包括：保证合法用户访问受权保护的网络资源，防止非法的主体进入受保护的网络资源，或防止合法网络资源，防止非法的主体进入受保护的网络资源，或防止合法用户对受保护的网络资源进行非授权的访问。访问控制的内容包用户对受保护的网络资源进行非授权的访问。访问控制的内容包括认证、控制策略实现和安全审计，如图括认证、控制策略实现和安全审计，如图5-65-6所示。所示。5.3 访问控制技术概述 图5-6 访问控制功能及原5.3 访问控制技术概述5.3.2 5.3.2 访问控制的类型及机制访问控制的类型及机制 访问控制访问控制可以可以分为分为两个两个层次层次：物理访问控制和逻：物理访问控制和逻辑访问控制。辑访问控制。1.访问控制的类型访问控制的类型访问控制类型有访问控制类型有3种模式：种模式：1）自主访问控制）自主访问控制 自主访问控制（自主访问控制（Discretionary Access Control，DAC）是一种接入控制服务，通过执行基）是一种接入控制服务，通过执行基于系统实体身份及其到系统资源的接入授权。包括于系统实体身份及其到系统资源的接入授权。包括在文件，文件夹和共享资源中设置许可在文件，文件夹和共享资源中设置许可。【案例案例5-3】在在Linux系统中，访问控制采用了系统中，访问控制采用了DAC模模式，如图式，如图5-7中所示。高优先级主体可将客体的访问权中所示。高优先级主体可将客体的访问权限授予其他主体。限授予其他主体。案例案例5-25-25.3 访问控制技术概述5.3.2 访问控制的类型及机制 5.3 访问控制技术概述 图图5-7 Linux系统中的自主访问控制系统中的自主访问控制 5.3 访问控制技术概述图5-7 Linux系统中的自主访问5.3 访问控制技术概述 2）强制访问控制）强制访问控制 强制访问控制强制访问控制（MAC）是系统强制主体服从访问控制）是系统强制主体服从访问控制策略策略.是由系统对用户所创建的对象，按照规则控制用户是由系统对用户所创建的对象，按照规则控制用户权限及操作对象的访问权限及操作对象的访问.主要特征主要特征是对所有主体及其所控是对所有主体及其所控制的进程、文件、段、设备等客体实施强制访问控制制的进程、文件、段、设备等客体实施强制访问控制.MAC安全级别安全级别常用常用4级：绝密级、秘密级、机密级和无级级：绝密级、秘密级、机密级和无级别级别级,其中其中TSCU.系统中的主体（用户系统中的主体（用户,进程）和客体进程）和客体（文件（文件,数据）都分配安全标签数据）都分配安全标签,以标识安全等级。以标识安全等级。3）基于角色的访问控制）基于角色的访问控制 角色角色（Role）是一定数量的权限的集合。指完成一是一定数量的权限的集合。指完成一项任务必须访问的资源及相应操作权限的集合。角色作项任务必须访问的资源及相应操作权限的集合。角色作为一个用户与权限的代理层为一个用户与权限的代理层,表示为权限和用户的关系表示为权限和用户的关系,所所有的授权应该给予角色而不是直接给用户或用户组有的授权应该给予角色而不是直接给用户或用户组.5.3 访问控制技术概述2）强制访问控制 3）基于角色的访问5.3 访问控制技术概述 基于角色的访问控制基于角色的访问控制（RBAC）是是通过通过对角色的访问对角色的访问所进行的控制所进行的控制。使权限与角色。使权限与角色相关联相关联，用户通过成为适，用户通过成为适当角色的成员而得到其角色的权限。可极大地简化权限当角色的成员而得到其角色的权限。可极大地简化权限管理。管理。RBAC模型模型的的授权管理方法授权管理方法，主要有，主要有3种：种：根据任务需要定义具体不同的角色。根据任务需要定义具体不同的角色。为不同角色分配资源和操作权限。为不同角色分配资源和操作权限。给一个用户组（给一个用户组（Group权限分配的单位与载体）权限分配的单位与载体）指定一个角色。指定一个角色。RBAC支持支持三个著名的三个著名的安全原则安全原则：最小权限原则、：最小权限原则、责任分离原则和数据抽象原则。责任分离原则和数据抽象原则。5.3 访问控制技术概述5.3 访问控制技术概述 2.访问控制机制访问控制机制 访问控制机制访问控制机制是是检测和防止检测和防止系统未授权访问，并对保护系统未授权访问，并对保护资源所采取的各种措施。是在文件系统中广泛应用的安全防护资源所采取的各种措施。是在文件系统中广泛应用的安全防护方法方法,一般是在操作系统的控制下，按照事先确定的规则决定是一般是在操作系统的控制下，按照事先确定的规则决定是否允许主体访问客体否允许主体访问客体,贯穿于系统全过程贯穿于系统全过程.访问控制矩阵访问控制矩阵(Access Contro1 Matrix)是最初实现访问控制机制的概念模是最初实现访问控制机制的概念模型型,以二维矩阵规定主体和客体间访问权限以二维矩阵规定主体和客体间访问权限.2种种方法方法:1）访问控制列表）访问控制列表 访问控制列表访问控制列表（Access Control List，ACL）是应用在路由器是应用在路由器接口的指令列表，用于路由器利用源地址、目的地址、端口号等的特接口的指令列表，用于路由器利用源地址、目的地址、端口号等的特定指示条件对数据包的抉择。定指示条件对数据包的抉择。2）能力关系表）能力关系表 能力关系表能力关系表（Capabilities List）是以用户为中心建立访问权限是以用户为中心建立访问权限表。与表。与ACL相反，表中规定了该用户可访问的文件名及权限，利用此相反，表中规定了该用户可访问的文件名及权限，利用此表可方便地查询一个主体的所有授权。相反，检索具有授权访问特定表可方便地查询一个主体的所有授权。相反，检索具有授权访问特定客体的所有主体，则需查遍所有主体的能力关系表。客体的所有主体，则需查遍所有主体的能力关系表。5.3 访问控制技术概述 2.访问控制机制 5.3 访问控制技术概述 3.单点登入的访问管理单点登入的访问管理 根据登入的应用类型不同根据登入的应用类型不同,可将可将SSO分为分为3种类型种类型.1）对桌面资源的统一访问管理）对桌面资源的统一访问管理 对桌面资源的访问管理，包括两个方面：对桌面资源的访问管理，包括两个方面：登入登入Windows后统一访问后统一访问Microsoft应用资源。应用资源。登入登入Windows后访问其他应用资源。后访问其他应用资源。2）Web单点登入单点登入 由于由于Web技术体系架构便捷，对技术体系架构便捷，对Web资源的统一访问管资源的统一访问管理易于实现，如图理易于实现，如图5-8所示。所示。图5-8 Web单点登入访问管理系统 3）传统）传统C/S 结构应用结构应用的统一访问管理的统一访问管理 在传统在传统C/S 结构应用上结构应用上,实现管理前台的统一或统一实现管理前台的统一或统一入口是入口是关键关键.采用采用Web客户客户端作为前台是企业最为常见端作为前台是企业最为常见的一种解决方案的一种解决方案.5.3 访问控制技术概述 3.单点登入的访问管理图55.3 访问控制技术概述5.3.3 5.3.3 5.3.3 5.3.3 访问控制的安全策略访问控制的安全策略访问控制的安全策略访问控制的安全策略 访问控制的安全策略访问控制的安全策略是指在某个自治区域内（属于某是指在某个自治区域内（属于某个组织的一系列处理和通信资源范畴），用于所有与安全个组织的一系列处理和通信资源范畴），用于所有与安全相关活动的一套访问控制规则。其安全策略有三种类型：相关活动的一套访问控制规则。其安全策略有三种类型：基于身份的安全策略、基于规则的安全策略和综合访问控基于身份的安全策略、基于规则的安全策略和综合访问控制方式。制方式。1.安全策略实施原则安全策略实施原则 访问控制安全策略原则访问控制安全策略原则集中在主体、客体和安全控制集中在主体、客体和安全控制规则集三者之间的关系。规则集三者之间的关系。（1 1）最小特权原则。）最小特权原则。（2 2）最小泄露原则。）最小泄露原则。（3 3）多级安全策略。）多级安全策略。5.3 访问控制技术概述5.3.3 访问控制的安全策略 5.3 访问控制技术概述访问控制技术概述2.2.基于身份和规则的安全策略基于身份和规则的安全策略 授权行为授权行为是建立身份安全策略和规则安全策略的基础，是建立身份安全策略和规则安全策略的基础，两种安全策略两种安全策略为：为：1 1）基于身份的安全策略）基于身份的安全策略 （1 1）基于个人的安全策略。）基于个人的安全策略。（2 2）基于组的安全策略。）基于组的安全策略。2 2）基于规则的安全策略）基于规则的安全策略 在基于规则的安全策略系统中在基于规则的安全策略系统中,所有数据和资源都标注了所有数据和资源都标注了安全标记安全标记,用户的活动进程与其原发者具有相同的安全标记用户的活动进程与其原发者具有相同的安全标记.5.3 访问控制技术概述2.基于身份和规则的安全策略 授5.3 访问控制技术概述访问控制技术概述2.2.基于身份和规则的安全策略基于身份和规则的安全策略 综合访问控制策略综合访问控制策略（HACHAC）继承并吸取多种主流访问控制技术优点继承并吸取多种主流访问控制技术优点,有效地解决了访问控制问题有效地解决了访问控制问题,保护数据的保密性和完整性，保证授权主保护数据的保密性和完整性，保证授权主体能访问客体和拒绝非授权访问体能访问客体和拒绝非授权访问.具有良好灵活性、可维护性具有良好灵活性、可维护性,可管理可管理性、更细粒度的访问控制性和更高安全性。性、更细粒度的访问控制性和更高安全性。HACHAC主要主要包括：包括：（1 1）入网访问控制。）入网访问控制。（2 2）网络的权限控制。）网络的权限控制。（3 3）目录级安全控制。）目录级安全控制。（4 4）属性安全控制。）属性安全控制。（5 5）网络服务器安全控制。）网络服务器安全控制。（6 6）网络监控和锁定控制。）网络监控和锁定控制。（7 7）网络端口和结点的安全控制。）网络端口和结点的安全控制。5.3 访问控制技术概述2.基于身份和规则的安全策略 5.3 访问控制技术概述5.3.4 5.3.4 认证服务与访问控制系统认证服务与访问控制系统1.AAA技术概述技术概述 5.1.3中中 AAA认证系统认证系统的的功能功能包括包括3个部分：认证、鉴权个部分：认证、鉴权和审计。和审计。AAA一般运行于网络接入服务器，提供一个有力的一般运行于网络接入服务器，提供一个有力的认证、鉴权、审计信息采集和配置系统。网络管理者可根据认证、鉴权、审计信息采集和配置系统。网络管理者可根据需要选用适合需要的具体网络协议及认证系统。需要选用适合需要的具体网络协议及认证系统。2.远程鉴权拨入用户服务远程鉴权拨入用户服务 远程鉴权拨入用户服务远程鉴权拨入用户服务（RADIUS）主要用于主要用于管理远管理远程用户的网络登入程用户的网络登入.主要基主要基于于C/S架构架构,客户端客户端最初是最初是NAS服服务器，现在任何运行务器，现在任何运行RADIUS客户端软件的计算机都可成为客户端软件的计算机都可成为其客户端。其客户端。RADIUS协议认证机制灵活协议认证机制灵活,可可采用采用PAP、CHAP或或Unix登入认证登入认证等多种方式等多种方式.其其模型模型如图如图5-9所示。所示。5.3 访问控制技术概述5.3.4 认证服务与访问控制系统15.3 访问控制技术概述。图图图图5-9 RADIUS5-9 RADIUS模型模型模型模型 1 1）RADIUSRADIUS协议主要工作过程协议主要工作过程 2 2）RADIUSRADIUS的加密方法的加密方法 3 3）RADIUSRADIUS的重传机制的重传机制3.3.终端访问控制系统终端访问控制系统 终端访问控制终端访问控制（TACACSTACACS）功能功能:通过一个或几个中心服通过一个或几个中心服务器为网络设备提供访问控制服务务器为网络设备提供访问控制服务.与上述区别与上述区别,它是它是CiscoCisco专用协议专用协议,具有独立身份认证、鉴权和审计等功能具有独立身份认证、鉴权和审计等功能.5.3 访问控制技术概述图5-9 RADIUS模型 5.3 访问控制技术概述 2.准入控制技术方案比较准入控制技术方案比较不同厂商准入控制方案在原理上类似，但实不同厂商准入控制方案在原理上类似，但实现方式各不相同。主要区别现方式各不相同。主要区别4个方面。个方面。1）选取协议）选取协议2）身份认证管理方式）身份认证管理方式3）策略管理）策略管理4）准入控制）准入控制 5.3.5 5.3.5 准入控制与身份认证管理准入控制与身份认证管理1.准入控制技术准入控制技术 思科公司和微软的网络准入控制思科公司和微软的网络准入控制NAP其原理和本质一其原理和本质一致，不仅对用户身份进行认证，还对用户的接入设备进行致，不仅对用户身份进行认证，还对用户的接入设备进行安全状态评估（包括防病毒软件、系统补丁等），使每个安全状态评估（包括防病毒软件、系统补丁等），使每个接入点都具有较高的可信度和健壮性，从而保护网络基础接入点都具有较高的可信度和健壮性，从而保护网络基础设施。华为设施。华为2005年推出端点准入防御产品。年推出端点准入防御产品。5.3 访问控制技术概述2.准入控制技术方案比较5.3.55.3 访问控制技术概述 3准入控制技术中的身份认证准入控制技术中的身份认证 身份认证技术的发展过程，从软件到软硬件结合，身份认证技术的发展过程，从软件到软硬件结合，从单一因子认证到双因素认证，从静态认证到动态从单一因子认证到双因素认证，从静态认证到动态认证。目前常用的身份认证方式包括：用户名认证。目前常用的身份认证方式包括：用户名/密码密码方式、公钥证书方式、动态口令方式等。采用单独方式、公钥证书方式、动态口令方式等。采用单独方式都有优劣。方式都有优劣。身份认证技术的安全性，关键在于组织采取的安身份认证技术的安全性，关键在于组织采取的安全策略。身份认证是网络准入控制的基础。全策略。身份认证是网络准入控制的基础。4.准入控制技术的现状与发展准入控制技术的现状与发展准入控制技术出现方案整合的趋势。准入控制技术出现方案整合的趋势。TNC组织组织促进标准化的快速发展，希望通过构建框架和规范保促进标准化的快速发展，希望通过构建框架和规范保证互操作性，准入控制正在向标准化、软硬件相结合证互操作性，准入控制正在向标准化、软硬件相结合的方向发展。的方向发展。5.3 访问控制技术概述3准入控制技术中的身份认证4.准5.3 访问控制技术概述 课堂讨论课堂讨论课堂讨论课堂讨论 1访问控制的模式有哪些种？其中的区别和联访问控制的模式有哪些种？其中的区别和联系如何？系如何？2准入技术的几种技术方案有何区别和联系？准入技术的几种技术方案有何区别和联系？5.3 访问控制技术概述课堂讨论5.4 安全审计概述安全审计概述5.4.1 5.4.1 安全审计概述安全审计概述 1.安全审计的概念及目的安全审计的概念及目的 计算机安全审计（计算机安全审计（Audit）是指按照一定的安全策略，利是指按照一定的安全策略，利用记录、系统活动和用户活动等信息，检查、审查和检验操作用记录、系统活动和用户活动等信息，检查、审查和检验操作事件的环境及活动，发现系统漏洞、入侵行为或改善系统性能事件的环境及活动，发现系统漏洞、入侵行为或改善系统性能的过程。也是审查评估系统安全风险并采取相应措施的一个过的过程。也是审查评估系统安全风险并采取相应措施的一个过程。主要作用和目的包括程。主要作用和目的包括5个方面：个方面：（1）对潜在攻击者起到威慑和警示作用。）对潜在攻击者起到威慑和警示作用。（2）测试测试系统的控制情况，及时调整。系统的控制情况，及时调整。（3）对已出现的破坏事件，做出评估并提供依据。）对已出现的破坏事件，做出评估并提供依据。（4）对系统控制、安全）对系统控制、安全策略策略与规程中的变更进行评价和反馈，与规程中的变更进行评价和反馈，以便修订决策和部署。以便修订决策和部署。（5）协助发现入侵或潜在的系统漏洞及隐患。）协助发现入侵或潜在的系统漏洞及隐患。5.4 安全审计概述5.4.1 安全审计概述 1.安全审计5.4 安全审计概述安全审计概述 2.安全审计的类型安全审计的类型 从审计级别上可分为从审计级别上可分为3种类型：种类型：（1）系统级审计系统级审计。主要针对系统的登入情况、用。主要针对系统的登入情况、用户识别号、登入尝试的日期和具体时间、退出的日户识别号、登入尝试的日期和具体时间、退出的日期和时间、所使用的设备、登入后运行程序等事件期和时间、所使用的设备、登入后运行程序等事件信息进行审查。信息进行审查。（2）应用级审计应用级审计。主要针对的是应用程序的活动。主要针对的是应用程序的活动信息。信息。（3）用户级审计用户级审计。主要是审计用户的操作活动信。主要是审计用户的操作活动信息。息。5.4 安全审计概述2.安全审计的类型5.4 安全审计概述安全审计概述5.4.2 5.4.2 系统日记审计系统日记审计 1.系统日志的内容系统日志的内容 系统日志系统日志主要根据网络安全级别及强度要求，选主要根据网络安全级别及强度要求，选择记录部分或全部的系统操作。择记录部分或全部的系统操作。对于单个事件行为，通常系统日志主要包括：事对于单个事件行为，通常系统日志主要包括：事件发生的日期及时间、引发事件的用户件发生的日期及时间、引发事件的用户IP地址、事件地址、事件源及目的地位置、事件类型等。源及目的地位置、事件类型等。2.安全审计的记录机制安全审计的记录机制 对各种网络系统应采用不同记录日志机制。记录对各种网络系统应采用不同记录日志机制。记录方式有方式有3种：由操作系统完成，也可以由应用系统或种：由操作系统完成，也可以由应用系统或其他专用记录系统完成。其他专用记录系统完成。对各种网络系统应采用不同记录日志机制。对各种网络系统应采用不同记录日志机制。记录记录方式方式有有3种：由操作系统完成，也可以由应用系统或种：由操作系统完成，也可以由应用系统或其他专用记录系统完成。其他专用记录系统完成。5.4 安全审计概述5.4.2 系统日记审计 1.5.4 安全审计概述安全审计概述 审计系统审计系统可成为可成为追踪入侵、恢复系统的追踪入侵、恢复系统的直接证据直接证据，其自，其自身的安全性更为重要。审计系统的安全主要包括审计事件查身的安全性更为重要。审计系统的安全主要包括审计事件查阅安全和存储安全。阅安全和存储安全。保护查阅安全措施保护查阅安全措施：（1 1）审计查阅。）审计查阅。（2 2）有限审计查阅。）有限审计查阅。（3 3）可选审计查阅。）可选审计查阅。审计事件的存储安全要求审计事件的存储安全要求：（1 1）保护审计记录的存储。）保护审计记录的存储。（2 2）保证审计数据的可用性。）保证审计数据的可用性。（3 3）防止审计数据丢失。）防止审计数据丢失。4.4.审计事件查阅与存储审计事件查阅与存储 日志分析日志分析的的主要目的主要目的是在大量的记录日志信息中找到与是在大量的记录日志信息中找到与系统安全相关的数据系统安全相关的数据,并分析系统运行情况并分析系统运行情况.要要任务任务包括包括:（1）潜在威胁分析。）潜在威胁分析。（2）异常行为检测。）异常行为检测。（3）简单攻击探测。）简单攻击探测。（4）复杂攻击探测。）复杂攻击探测。3.日志分析日志分析5.4 安全审计概述 审计系统可成为追踪入侵、恢5.4 安全审计概述安全审计概述5.4.3 5.4.3 审计跟踪审计跟踪 1.审计跟踪的概念及意义审计跟踪的概念及意义 审计跟踪审计跟踪（Audit Trail）指按事件顺序检查、审查、检）指按事件顺序检查、审查、检验其运行环境及相关事件活动的过程。审计跟踪主要用于实验其运行环境及相关事件活动的过程。审计跟踪主要用于实现重现事件、评估损失、检测系统产生的问题区域、提供有现重现事件、评估损失、检测系统产生的问题区域、提供有效的应急灾难恢复、防止系统故障或使用不当等方面。效的应急灾难恢复、防止系统故障或使用不当等方面。审计跟踪作为一种安全机制，主要审计目标审计跟踪作为一种安全机制，主要审计目标：（1）审计系统记录有利于迅速发现系统问题，及时处理）审计系统记录有利于迅速发现系统问题，及时处理事故，保障系统运行。事故，保障系统运行。（2）可发现试图绕过保护机制的入侵行为或其他操作。）可发现试图绕过保护机制的入侵行为或其他操作。（3）能够发现用户的访问权限转移行为。）能够发现用户的访问权限转移行为。（4）制止用户企图绕过系统保护机制的操作事件。）制止用户企图绕过系统保护机制的操作事件。5.4 安全审计概述5.4.3 审计跟踪 1.5.4 安全审计概述安全审计概述 审计跟踪审计跟踪是提高系统安全性的重要工具是提高系统安全性的重要工具.安全审计跟踪的意义安全审计跟踪的意义:（1）利用系统的保护机制和策略，及）利用系统的保护机制和策略，及时发现并解决系统问题，时发现并解决系统问题，审计客户行为。审计客户行为。（2）审计信息可以确定事件和攻击源，）审计信息可以确定事件和攻击源，用于检查计算机犯罪。用于检查计算机犯罪。（3）通过对安全事件的收集）通过对安全事件的收集、积累和分析，可对其中的某些站、积累和分析，可对其中的某些站点或用户进行审计跟踪，以提供发现可能产生破坏性行为的证据。点或用户进行审计跟踪，以提供发现可能产生破坏性行为的证据。（4）既能识别访问系统的来源，又能指出系统状态转移过程。）既能识别访问系统的来源，又能指出系统状态转移过程。2.审计跟踪的主要问题审计跟踪的主要问题 安全审计跟踪安全审计跟踪重点考虑重点考虑：（1）选择记录信息。）选择记录信息。（2）确定审计跟踪信息所采用的语法和语义定义。）确定审计跟踪信息所采用的语法和语义定义。审计是系统安全策略的一个重要组成部分，它贯穿整个系统运审计是系统安全策略的一个重要组成部分，它贯穿整个系统运行过程中，覆盖不同的安全机制，为其他安全策略的改进和完善提行过程中，覆盖不同的安全机制，为其他安全策略的改进和完善提供了必要的信息。供了必要的信息。5.4 安全审计概述 审计跟踪是提高系统安全性的5.4 安全审计概述安全审计概述5.4.4 5.4.4 5.4.4 5.4.4 安全审计的实施安全审计的实施安全审计的实施安全审计的实施 为了确保审计实施的可用性和正确性，需要在保护为了确保审计实施的可用性和正确性，需要在保护和审查审计数据的同时，做好计划分步实施。和审查审计数据的同时，做好计划分步实施。具体实施具体实施主要包括主要包括：保护审查审计数据及审计步骤。：保护审查审计数据及审计步骤。1.保护审查审计数据保护审查审计数据 1）保护审计数据）保护审计数据应当严格限制在线访问审计日志。应当严格限制在线访问审计日志。审计数据保护的常用方法是使用数据签名和只读设备存审计数据保护的常用方法是使用数据签名和只读设备存储数据。储数据。审计跟踪信息的保密性也应进行严格保护。审计跟踪信息的保密性也应进行严格保护。2）审查审计数据）审查审计数据审计跟踪的审查与分析可分为事后检查、定期检查和实审计跟踪的审查与分析可分为事后检查、定期检查和实时检查时检查3种。种。5.4 安全审计概述5.4.4 安全审计的实施 5.4 安全审计概述安全审计概述2 2安全审计实施主要步骤安全审计实施主要步骤 审计是一个连续不断改进提高的过程。审计是一个连续不断改进提高的过程。审计的重点审计的重点是评是评估企业现行的安全政策、策略、机制和系统监控情况。估企业现行的安全政策、策略、机制和系统监控情况。审计审计实施主要步骤实施主要步骤：（1）确定安全审计。）确定安全审计。（2）做好审计计划。）做好审计计划。（3）查阅审计历史。）查阅审计历史。（4）实施安全风险评估。）实施安全风险评估。（5）划定审计范畴。）划定审计范畴。（6）确定审计重点和步骤。）确定审计重点和步骤。（7）提出改进意见。）提出改进意见。课堂讨论课堂讨论 1安全审计的类型有哪些种类？安全审计的类型有哪些种类？2系统日志分析都有哪些方法？系统日志分析都有哪些方法？3审计跟踪的概念及意义是什么？审计跟踪的概念及意义是什么？5.4 安全审计概述2安全审计实施主要步骤 5.5 本章小结本章小结5.5 5.5 5.5 5.5 本章小结本章小结本章小结本章小结 身身份份认认证证和和访访问问控控制制是是网网络络安安全全的的重重要要技技术术，是是网网络络安安全全登登入入的的首首要要保保障障。本本章章概概述述了了身身份份认认证证概概念念、种种类类，以以及及常常用用的的身身份份认认证证的的方方式式方方法法。主主要要简简单单介介绍绍了了双双因因素素安安全全令令牌牌及及认认证证系系统统、用用户户登登入入认认证证、认认证证授授权权管管理理案案例例。并并简简要要介介绍绍了了数数字字签签名名的的概概念念、功功能能、种种类类、原原理理、应应用用、技技术术实实现现方方法法和和过过程程。另另外外，介介绍绍了了访访问问控控制制的的概概念念、原原理理、类类型型、安安全全机机制制、安安全全模模式式、安安全全策策略略、认认证证服服务务与与访访问问控控制制系系统统、准准入入控控制制与与身身份份认认证证管管理理案案例例等等。其其次次，介介绍绍了了安安全全审审计计概概念念、系系统统日日志志审审计计、审审计计跟跟踪踪、安安全全审审计计的的实实施施等等，审审计计核核心心是是风风险险评评估估。最最后后，通通过过概概述述访访问问列列表表与与TelnetTelnet访访问问控控制制同同步步实实验验，可可使使理理论与实践结合并达到学以致用、融会贯通的目的。论与实践结合并达到学以致用、融会贯通的目的。5.5 本章小结5.5 本章小结 身份认证和访问控制诚挚谢意！