計算機網絡訪問控制技術及其應用研究

郭連城 國防科技大學信息通信學院

當前計算機網絡普及性已經非常高,為了確保網絡使用的安全性,人們經常采用防火墻和殺毒軟件來保證網絡環境的安全,但這只是防御外部病毒和攻擊的非法入侵,而在很多情況下系統需要防范合法用戶在系統內部進行非法操作,這就需要網絡訪問控制技術來識別和確認接入系統的用戶,并決定用戶對系統資源的訪問權限。

1.計算機網絡訪問控制

訪問控制是依據某些控制策略來限制對網絡資源的訪問權限,其目的是保護系統資源不被非法訪問。

基本的訪問控制行為由發起訪問行為的主體、接受訪問行為的客體和訪問規則策略構成。主體可以理解為訪問控制要制約的對象,通常主體是指人,即訪問用戶,但是網絡程序、進程或網絡設備也可以成為主體。對象本身是一個信息實體,可以理解為受訪問控制規則保護的對象,例如文件、目錄、進程或網絡設備等。訪問規則策略定義了主體對客體的動作行為規則,其制定要遵循最小特權、最小泄漏等原則,其中最小特權原則是指主體進行操作時所要求的權力最小化的原則,而最小公開原則是指當主體執行任務時所需信息最小化的原則。

訪問控制有多種形式,包括網絡準入訪問控制、權限訪問控制、目錄訪問控制、屬性訪問控制和服務器訪問控制。網絡準入訪問控制是網絡訪問最基本的控制措施,主要涉及訪問網絡的用戶登陸身份確認、登陸時間與登陸方式控制等內容。權限控制主要防范用戶在系統內進行超出權限的操作行為,同時規定用戶及其所屬的用戶組能夠訪問的資源類型。目錄訪問控制主要控制用戶對目錄的訪問。屬性訪問控制通過為網絡資源標記安全屬性來明確用戶對其的具體訪問權限。服務器訪問控制主要為了防止非法用戶訪問服務器,避免信息泄露和系統破壞。

2.自主訪問控制技術及其應用

自主訪問控制基于主體及其所屬類別來限制訪問客體的行為,其中擁有客體所有權限的主體還可以根據自己的意愿獨立地修改系統的參數,并將自己所擁有的文件訪問權限自由的分配給其它客體，在這個過程中訪問權限由一個主體傳遞到了另一個主體，只需要文件擁有者授權即可，因此自主訪問控制處理權限分配的方式十分靈活。

自主訪問控制應用十分廣泛,例如Windows系統為維護系統資源的安全性,采用了自主訪問控制機制,對用戶/用戶組實施訪問控制。在Windows系統中,用戶的權限是一個用戶在操作系統上執行的所有操作的總稱,當管理員創建用戶時,他擁有該用戶的所有用戶組的特權,這些特權將來可以通過授權和其他操作進行更改。如果用戶是對象的所有者,或者被授予授權傳遞的能力,那么他就可以將自己的權限授予其他的用戶。

3.強制訪問控制技術及其應用

自主訪問控制十分靈活,但難以保證權限分配過程中的安全性。權限可以被傳遞賦予用戶,有很大的安全隱患。對一些安全級別高的網絡系統來說自主訪問控制并不適用，因此人們提出了強制訪問控制。強制訪問控制系統中的用戶和文件都具有固定的安全屬性,系統使用安全屬性來判斷用戶是否可以訪問相關資源或是進行其它操作。安全屬性具有強制性的特點,它是根據任務需要、用戶類型等特定的規則綜合設置并進行分配。用戶不能修改自身已被確定的安全級別屬性，也就是說系統一旦確定某一級別安全屬性的用戶不具備某項資源的訪問權限,則沒有人可以使該類型用戶具有訪問該資源的能力。

Bell LaPaulula模型，即BLP模型，它是強制訪問控制模型的代表。在該模型中,信息在密級上被設置不同的層次，例如絕密、機密、秘密和公開，同時設置兩個基本規則來保證數據的安全性。第一,訪問者不可讀取安全級別高于其級別的對象；第二,訪問者不可將信息寫入安全級別低于其級別的對象。例如在處理秘密數據和公開數據時,系統會阻止處理秘密數據的程序泄漏信息到處理公開數據的程序。BLP模型的提出是為了有效杜絕信息泄漏,確保系統的安全性和機密性。

BLP模型的一個應用實例是電子政務信息系統。電子政務信息系統是當前政府實施信息化辦公,提高政務處理效率的一種重要手段。公文處理是電子政務的核心功能之一,對于某些敏感的政府部門,保證公文安全是電子政務系統的首要目標。對此主要是采用的強制訪問控制策略來實現公文訪問權限的控制,具體實現上,可針對系統的主客體,即電子政府系統中的政府職員和公文,附加安全級的標記。安全標記由密級和部門兩部分構成。在實際應用中,系統的密級通常被設置為絕密、機密、秘密和公開四個層次。以此來標識各種公文的不同保密程度,每位政府職員可以閱讀的公文的密級具有嚴格的規定,如秘密級的職員絕不可閱讀機密和絕密公文,即使該公文被有意或無意放在職員的個人文件夾中,也不可違反上述規則,同時還要考慮職員的部門和其它一些因素,但最終針對訪問權限的控制需要遵循BLP模型的安全策略,即僅當主體的部門和客體一致,且主體密級不低于客體密級時,方進一步判斷主體是否具有訪問權限。

4.角色訪問控制技術及其應用

自主訪問控制的安全性不強,強制訪問控制的配置和使用不夠靈活。近年來,很多系統采用了其他的訪問控制技術,角色訪問控制技術是其中使用最為廣泛的一種技術。

角色訪問控制技術根據用戶所承擔的不同角色分配不同的操作規則。其核心思想是將訪問權限與角色關聯起來,并通過向用戶分配適當的角色確定用戶對資源的訪問權限。這里的角色是根據系統中不同任務的需要來設置的。角色設置完成后,系統根據用戶在系統中的功能和職責來分配給每個用戶具體的角色。同時,角色可以被添加和刪除,角色的權限可以被添加和刪除,這樣用戶的權限可以通過管理員對角色的設置與分配而發生改變,安全性與靈活性就得到了兼顧。

在角色模型中,用戶并不直接與客體發生聯系,而是通過角色獲得訪問特定客體的權限。角色實質上是針對特定客體的操作集合。不同的角色就是不同的操作集合,這些集合是由系統管理員定義和分配,角色成員的增加或減少只能由系統管理員執行。

角色模型適用于包含多類型用戶的信息系統,醫院管理信息系統就是其中之一。醫院管理信息系統的功能是對醫院及其部門的人員、物流和財政資源進行綜合管理。其中處方管理是此類系統的重要功能之一。通常,醫院處方管理有以下具體規定：住院處方管理機構通常是非限制性使用抗生素；主治醫師處方權限除了非限制性使用抗生素外,還包括限制性使用抗生素等用藥；副主任醫師及主任醫師處方權限為非限制性使用抗生素、限制性使用抗生素和特殊抗生素等用藥。上述訪問控制要求比較用角色訪問控制實現較為合適?？蓪⑨t生分為住院醫師、主治醫師、副主任醫師與主任醫師四種角色,并根據藥品分級管理規定來設置各類角色的處方權限。

5 結束語

隨著網絡應用系統的廣泛普及,確保系統內部資源與數據安全變得越來越重要,而拒絕非法訪問是安全的前提條件,因此網絡訪問控制技術的地位日益重要,并且具備較大的發展前景與研究價值,目前基于多級安全屬性的訪問控制和風險自適應的訪問控制是該領域未來發展的主要方向。