访问控制技术研究
摘 要：访问控制技术是确保信息系统安全的一种重要技术。介绍访问控制的元素组件、原理，研究了4种主要的访问控制技术：自主访问控制（DAC）、强制访问控制（MAC）、 基于角色的访问控制（RBAC）和基于任务的访问控制（TBAC）。最后总结全文，指出访问控制技术的发展趋势。
总结大全 /html/zongjie/。
一．访问控制的概念与原理访问控制起源于20 世纪60年代，是一种重要的信息安全技术。访问控制是一种从访问控制的角度出发，描述安全系统，建立安全模型的方法。通过某种途径显式地准许或限制访问能力及范围，从而限制对关键资源的访问，防止非法用户侵入或者合法用户的不慎操作造成破坏。访问控制一般包括主体（简记为S）、客体（简记为O）和控制策略（简记为K）3个元素。主体是指发出访问操作、存取要求的主动方，通常指用户或某个进程；客体是一种信息实体，指系统中的信息和资源，可以是文件、数据、页面、程序等；控制策略是主体对客体的操作行为集和约束条件集，规定了哪些主体能够访问相应的客体，访问权限有多大。访问控制系统3个要素之间的行为关系如图1所示。
总结大全 /html/zongjie/。
毕业论文。
图1 访问控制关系示意图 当主体提出一系列正常的请求信息，通过信息系统的入口到达被控制规则集监视的监视器，并由控制策略判断是否允许或拒绝这次请求，因此在这种情况下，必须先要确定合法的主体，而不是假冒的欺骗者，也就是对主体进行认证。主体通过验证，才能访问客体，但并不保证其有权限可以对客体进行操作。客体对主体的具体约束由访问控制表来控制实现，对主体的验证一般会鉴别用户的标识和用户密码。访问控制的目的是为了限制访问主体对访问客体的访问权限，为达到此目的，访问控制需要完成以下两个任务：（1）识别和确认访问系统的用户（2）决定该用户可以对某一系统资源进行何种类型的访问【1】在GB/T187994.3中，定义了访问控制系统时所需要的一些基本功能组件，并且描述了各功能组件之间的通信状态。访问控制功能组件包括4个部分：发起者（initiator）、访问控制执行能力(access control enforcement function, AEF)、访问控制决策能力(access control decision function, ADF)及目标(target)。发起者是指信息系统中系统资源的使用者，是访问控制系统的主体；目标是指被发起者所访问或试图访问的基于计算机或通信的实体，是访问控制系统中的客体；AEF的功能是负责建立起发起者与目标之间的通信桥梁，它必须依照ADF的授权查询指示来实施上述动作，在信息系统中，ADF可以说是访问控制的核心。当ADF对发起者提出访问请求进行判决时，所依据的是一套安全访问策略。
论文网 2 自主访问控制技术自主访问控制（Discretionary Access Control，DAC）最早出现在20世纪70年代初期的分时系统中，它是多用户环境下最常用的一种访问控制技术，在目前流行的操作系统中被普遍采用。DAC模型是根据自主访问策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体。客体的主人( 即资源所有者) 全权管理有关该客体的访问授权，有权泄露、修改该客体的有关信息。因此，有些学者把DAC称为基于主人的访问控制。为了提高效率，系统不保存整个访问控制矩阵，在具体实现时基于访问控制矩阵的行或列来实现访问控制。自主访问控制的特点是资源的属主将访问权限授予其他用户或用户组后，被授权的用户便可以自主地访问资源，或者将权限传递给其他的用户。缺点是资源管理比较分散；用户间的关系不能在系统中体现出来，不易管理；信息容易泄露，无法抵御特洛伊木马的攻击。3 强制访问控制技术强制访问控制（Mandatory Access Control，MAC）最早出现在1965年由ATT和MIT联合开发的安全操作系统Multics 系统中，在1983年美国国防部的可信计算机系统评估标准中被用作B级安全系统的主要评价标准之一。MAC模型是一种多级访问控制策略模型，它的主要特点是系统对访问主体和受控对象实行强制访问控制。常用的强制访问控制是指预先定义用户的可信任级别及资源的安全级别，当用户提出访问请求时，系统对两者进行比较以确定访问是否合法。在强制访问控制系统中,所有主体(用户，进程) 和客体(文件，数据) 都被分配了安全标签，安全标签标识一个安全等级。
毕业论文 在强制式策略中，资源访问授权根据资源和用户的相关属性确定，或者由特定用户( 一般为安全管理员) 指定。它的特征是强制规定访问用户必须或者不许访问资源或执行某种操作。资源特征是强制规定访问客体强制访问控制策略目前主要应用于军事系统或是安全级别要求较高的系统之中【2】。强制访问控制策略对特洛伊木马攻击有一定的抵御作用，即使某用户进程被特洛伊木马非法控制，也不能随意扩散机密信息。强制访问控制的不足主要表现在它使用不灵活，应用的领域比较窄；另外，强制访问控制对授权的可管理性考虑不足，实现工作量太大，管理不便，不够灵活，过于偏重保密性，对于系统连续工作能力等考虑不足。4 基于角色的访问控制技术基于角色的访问控制（Role—based Access Control，RBAC）模型是目前比较流行和先进的安全访问控制模型。RBAC的概念开始于20世纪70年代的多用户和多机系统中，1992年，D.Ferraiolo 和 R.Kuhn 在已有RBAC概念的基础上，形式化地定义RBAC模型。 RBAC模型通过引入“角色”的概念，将访问控制中的主体对象和对应权限解耦。RBAC中的基本概念有USERS（用户），ROLES（角色），PERMISSIONS（权限），SESSIONS（会话）。 毕业论文 RBAC模型的基本思想是在用户与权限之间引入角色的概念，利用角色来实现用户和权限的逻辑隔离。所谓角色就是访问主体在系统中可执行操作或可访问服务的集合。RBAC的最大优势在于其管理层的简单化，一个 RBAC系统建立起来后的主要管理工作即为授权或取消用户的角色。在RBAC系统中，权限并不直接分配给用户，而是先分配给角色，然后系统分配一定的角色给用户，这样用户根据其角色获得相应的访问权限。当系统功能变化或演进时，只需删除角色的旧功能、增加新功能，或定义新角色，而不必更新每一个用户的权限设置，便大大简化了对权限的管理。RBAC并不是针对特定访问控制策略，角色之间、角色与权限、角色与用户的关系可以根据具体的应用环境和策略进行配置和指定【3】。RBAC模型的 代写论文。