计算机系统安全2018【3】第五章：自主访问控制和强制访问控制比较

第5章

1、 理解和解释自主访问控制和强制访问控制&＃xff0c;举例说明其含义。

自主访问(DAC)控制是依据主体的判断力授予访问权限&＃xff0c;通常由客体的拥有者授权。应用于 UNIX, Windows系统。

强制访问控制 (MAC) 按照系统级策略限制主体对客体的访问。用户所创建的资源&＃xff0c;也拒绝用户的完全控制。系统的安全策略完全取决于权限&＃xff0c;权限由管理员设置。

2、比较ACL和能力表的差异

从静态角度比较ACL和capability模型是不够的&＃xff0c;不能说明其逻辑等价性。因为安全机制是动态变化的。
这里提下&＃xff0c;什么叫动态和静态&＃xff1a;动态就是用户一直在改变&＃xff0c;有些用户时间到了失去权限了&＃xff0c;他的权限如何收回呢&＃xff1f;&＃xff1f;这就要看ACL和能力表的区别了&＃xff0c;由能力矩阵我们知道&＃xff0c;acl收回权限困难&＃xff0c;因为是对资源来发放权限&＃xff0c;能力表收回就方便一些&＃xff0c;因为是对角色来发权限。所以如果某个大公司员工辞职了&＃xff0c;一般是把他的密码改成随意一个密码。因为一个个去收回权限几乎是不可能的。改掉密码&＃xff0c;他就再也不能访问原来的账号了&＃xff0c;这样就安全了。

自主访问控制&＃xff1a;

缺点&＃xff1a;

&＃xff08;1&＃xff09;
不适合用户多、用户经常变化的情况。不能授权用户在某时间段使用。&＃xff08;2&＃xff09;
运行时的安全检查不充分。比如查询某进程应用了哪些权限是困难的。&＃xff08;3&＃xff09;
不容易查询用户对哪些文件有权限&＃xff0c;因为以文件为单位授权。&＃xff08;4&＃xff09;不能解决混淆责任问题


能力表&＃xff1a;

优点&＃xff1a;&＃xff08;1&＃xff09;运行时安全检查更加有效&＃xff0c;授权更方便。&＃xff08;2&＃xff09;用户运行程序时&＃xff0c;权责清晰。能解决混淆责任问题。缺点&＃xff1a;&＃xff08;1&＃xff09;改变文件状态比较困难。


二者差别&＃xff1a;

&＃xff08;1&＃xff09; 命名空间&＃xff1a;ACL需要客体和主体的命名空间。能力表指定资源和权限。

&＃xff08;2&＃xff09; 能力表授权给主体相应的权限&＃xff0c;是基于主体聚集的权限管理方式。ACL授权给资源访问权限&＃xff0c;由文件拥有者指定权限。

&＃xff08;3&＃xff09; 权利边界&＃xff1a;能力表的权限清晰&＃xff0c;没有额外权限。ACL执行程序时权限边界不清晰&＃xff0c;额外权限多&＃xff0c;会引发混淆责任问题。

&＃xff08;4&＃xff09; 鉴别内容&＃xff1a;ACL鉴别主体。能力表不需要鉴别主体&＃xff0c;但需要控制权限的传播。

&＃xff08;5&＃xff09; 权限审查&＃xff1a;ACL提供单客体的权限审查。能力表提供单主体的权限审查。

&＃xff08;6&＃xff09; 权限撤销&＃xff1a;ACL基于单客体撤销权限。能力表基于单主体撤销权限。

&＃xff08;7&＃xff09; 最小特权&＃xff1a;能力表提供细粒度的最小特权控制&＃xff0c;可动态、短时间访问。ACL提供粗粒度的权限管理&＃xff0c;不能实现短时间访问。

&＃xff08;8&＃xff09; 适用性&＃xff1a;能力表适合于进程及共享。ACL适合用户级共享。

3、ACL和CAPBILITY中如何撤销权限&＃xff0c;两种方式中撤销权限的不同之处

ACL以资源为单位进行授权。资源属于客体&＃xff0c;文件、端口等。撤销权限时基于客体进行权限收回。当收回用户的权限时比较困难&＃xff0c;需要遍历文件系统才能把该用对对应的文件和目录权限收回&＃xff0c;还不能收回动态使用过程的权限。所以收回用户的权限比较困难&＃xff0c;采用该密码&＃xff0c;使用后不能登录的放式收回权限。

CAPBILITY&＃xff1a;

能力表基于单主体撤销权限&＃xff0c;授权时基于主体进行授权。可检查主体的权限&＃xff0c;然后收回主体的权限。但要控制主体权限的分发。比如软件制造商&＃xff0c;卖给用户软件的使用权&＃xff0c;用户也可以把软件给他人使用&＃xff0c;这时能力表对主体控制其权限分发就非常重要。能力表要能够检查权限是否被用户分发出去&＃xff0c;且能控制被分发出去的权限。

4、ACL授权时为什么引发混淆责任问题&＃xff0c;如何解决该问题

ACL:

以编译程序 SYSX/FORT为例&＃xff0c;SYSX文件夹下的文件&＃xff1a; STAT、BILL文件。编译程序需要在SYSX目录下写文件, 因此对目录SYSX授予写权限。一个普通用户可以运行编译程序SYSX/FORT&＃xff0c;用户也可以自己指定输出文件。恶意用户&＃xff1a;输出文件名指定为SYSX/BILL,导致编译程序的清单文件被替换。编译器运行时&＃xff0c;执行两个用户的权限&＃xff1a;编译用户和执行用户的权限&＃xff0c;系统无法区分应为哪个用户服务。

能力表&＃xff1a;

各用户的权限清晰&＃xff0c;各用户写自己文件夹下的目录不会冲突。

编译程序compiler的权能&＃xff1a;访问SYSX/STAT和SYSX/BILL, 权限存放在自己的能力槽(slots 1 & 2)。应用者运行compiler,有写文件权限, 其权限存放在能力槽(slot 3). 应用者没有写SYSX/BILL文件的权限&＃xff0c;因为授权时没有赋予相应的权限。当写入billing信息时, 编译程序使用slot 2中的权限. 当写输出信息时, 使用slot 3中的权限。