浅谈访问控制研究的实现

【摘 要】本文论述了访问控制方面的相关理论，介绍了3种经典的访问控制技术――自主访问控制、强制访问控制和基于角色的访问控制，然后着重介绍了访问控制的的实现方式。

【关键词】访问控制技术 研究实现

一、访问控制技术

访问控制技术是一种重要的信息安全防范策略，它被广泛的应用于信息系统的各个领域，目的是保护系统资源能够合理的使用和访问。访问控制规定了主体对客体访问的限制，并在身份识别的基础上，根据身份对提出资源访问的请求加以控制。

二、访问控制

（一）访问控制要素

1.主体：主体是对其他客体具有限制访问系统资源的权利；2.客体：一般作为作的对象都可称为客体；3.控制策略：控制策略是主体对客体操作行为的约束条件集合，定义了主体对客体的作用行为和客体对主体的条件约束。

（二）访问控制的策略

访问控制策略包括登录访问控制、操作权限控制、目录安全控制、属性安全控制和服务器安全控制等方面的内容。

（三）访问控制模型

安全模型定义了执行策略以及技术和方法，通常这些模型是经过时间证明为有效的数学模型。常用的安全模型主要有Bell-LaPadule、Biba和Clark-Wilson等模型。

（四）访问控制的分类

访问控制最早产生于20世纪60年代，随后出现了多种重要的访问控制机制。访问控制因实现的基本理念不同，分类也不同。常见的访问控制机制主要有自主访问控制、强制访问控制和基于角色的访问控制。

（五）访问控制的实现

1.访问控制的实现机制。实现访问控制实际上就是要建立访问控制模型，并对该模型实施一系列访问规则的数据抽象过程。在实现的过程中，不仅要保证用户准确获取到自己所拥有的权限，还要对用户在访问期间进行限制检查，防止非法用户访问系统。下面将通过以文件的访问控制为例来讨论实现的过程。一般情况下，用户对系统的访问有两种情况，一种是读取信息，一种是写入信息，在这里用Read代表读，Write代表写。由于系统中的管理员具有修改的权限，所以用OPA代表管理操作。

2.访问控制列表。访问控制表（ACL：Access Control List）的原理是，每一项资源，都配有一个列表，这个列表记录的就是哪些用户可以对这项资源执行Read或Write操作。当系统试图访问这项资源时，会首先检查这个列表中是否有关于当前用户的访问权限，从而确定当前用户可否执行相应的操作。ACL是一种面向资源的访问控制模型，它的机制是围绕“资源”展开的。由于它几乎不需要任何基础设施就可以完成访问控制，因此它的缺点也是很明显的，需要维护大量的访问权限列表。

3.访问控制矩阵。访问控制矩阵（ACM：Access Control Matrix）是用矩阵的形式描述系统的访问控制的模型，它由三元组（S，O，A）来定义，其中：S是主体的集合――行标对应主体，O是客体的集合――列标对应客体，A是访问矩阵，矩阵元素A[s，o]是主体s在o上实施的操作。访问控制矩阵如果是多维矩阵，实现起来难度比较大，要管理的用户和文件很多，矩阵将呈几何级数增长，维护难度巨大。但是对于普通的信息系统而言，不存在这个问题，而且加之用数据库来实现，并且采用显示允许。在一个信息系统中需要访问的资源或者需要控制的客体不是很多，而且通过显示的允许可以大大减少数据的冗余，效率也得以保证，但是在信息系统中授权却是比较麻烦的。每添加一个用户就需要给该用户授权客体，需要从所有的客体中选出该用户能够访问的客体。这样不仅操作麻烦，而且很遗漏或多选。

4.访问控制能力。访问控制能力反应的是访问者请求访问系统资源的能力，即权限表。每一个访问者都拥有一个有效的标签，标签标明访问者具有何种访问方式，以访问特定的客体。访问控制能力表（ACCL：Access Control Capabilitis List）以单个的用户为中心，可按传递的和不可传递的方式来建立权限表。权限传递的规则体现了RBAC角色的继承特点。

5.访问控制安全标签列表。安全标签是附属在主体和客体上的一组相对应的安全属性集。安全标签列表常被用于MAC系统中，在本章的第2.4.2节已经大体介绍了安全标签的基本模型。安全标签列表是比能力表更严格，它建立了一个严格的安全等级集合。对于不同的资源，根据属性标签来判断用户是否具有访问权限，这样就可以对主体和客体资源强制执行安全策略，对核心数据加以保护。这里描述的是文件系统中的访问控制安全标签列表。其实这种方案在信息系统中同样适用。这里的实现方式和前面的MAC访问控制模型里的实现是一致的。当主体的安全级别大于或等于客体的安全级别时，主体可以访问客体。这里只实现了“向下读”的策略，及主体能够访问安全级别小于或等于其安全级别的客体。因为在一般的信息系统中基本不存在“向上写”的情况，即主体只能对安全级别 大于或等于自己安全级别的客体进行写操作。在信息系统中，主体对客体的访问可以只有一种访问，即是否有权限访问，而基本不存在读和写分开的访问控制。

6.访问控制与授权。授权是资源的拥有者将访问这种资源的权限授予他人。授权的权限是用来控制用户对目录、文件和设备的访问，有系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、查询权限和访问控制权限等8种授权种类。授权行为是指主体履行被客体授予权利的那些活动。因此，访问控制与授权密不可分。授权标识的是一种信任关系，需要建立一种模型对这种模型这种关系进行描述。

参考文献：

[1]邵森.计算机访问控制技术研究综述[J].中国新技术新产品，2009.

[2]李国辉.一种支持网上设备安全访问控制的方法及其应用[硕士论文].中国科学院研究生院（计算技术研究所），2006.

[3]耿国华，李.动态访问控制技术的研究与应用[J].计算机技术与发展，2006.

作者简介：

阿丽娅・努尔德汉，新疆教育学院现代教育技术中心，助理工程师，工程硕士，研究方向：计算机技术。