緒論

　　訪問控制，作為提供資訊保安保障的主要手段，及最為突出的安全機制, 被廣泛地應用於防火牆、檔案訪問、VPN及物理安全等多個方面。 所有這些技術可歸諸於幾類訪問控制模型，本文將一一介紹並以例項說明，以幫助設計者在多變的環境中解決相關安全問題。

第一章 訪問控制的概念

　　訪問控制是資訊保安保障機制的核心內容，它是實現資料保密性和完整性機制的主要手段。訪問控制是為了限制訪問主體（或稱為發起者，是一個主動的實體；如使用者、程序、服務等），對訪問客體（需要保護的資源）的訪問許可權，從而使計算機系統在合法範圍內使用；訪問控制機制決定使用者及代表一定使用者利益的程式能做什麼，及做到什麼程度。

訪問控制的兩個重要過程：
1、通過"鑑別（authentication）"來檢驗主體的合法身份
2、通過"授權（authorization）"來限制使用者對資源的訪問級別

訪問包括讀取資料，更改資料，執行程式，發起連線等。

訪問控制分類

因實現的基本理念不同，訪問控制可分為以下兩種：

• 強制訪問控制（Mandatory access control）
  
• 自主訪問控制（Discretionary access control）
  （關於強制訪問控制與自主訪問控制，本文將在第二章作詳細介紹。）

　　例如，當一個使用者通過身份認證機制登陸到某一WINDOWS系統時，WINDOWS

　　訪問控制所要控制的行為有以下幾類：讀取資料、執行可執行檔案、發起網路連線等等。

訪問控制應用型別

根據應用環境的不同，訪問控制主要有以下三種：

• 網路訪問控制
  
• 主機、作業系統訪問控制
  
• 應用程式訪問控制

網路訪問控制

圖1-1　　　　　　　　　　　　　　　　　　　

　　訪問控制機制應用在網路安全環境中，主要是限制使用者可以建立什麼樣的連線以及通過網路傳輸什麼樣的資料，這就是傳統的網路防火牆。防火牆作為網路邊界阻塞點來過濾網路會話和資料傳輸。根據防火牆的效能和功能，這種控制可以達到不同的級別。

　防火牆可實現以下幾類訪問控制：

　　1) 連線控制，控制哪些應用程式終結點之間可建立連線。例如，防火牆可控制內部的某些使用者可以發起對外部WEB站點間的的連線。

　　2) 協議控制，控制使用者通過一個應用程式可以進行什麼操作，例如，防火牆可以允許使用者瀏覽一個頁面，同時拒絕使用者在非信任的伺服器上釋出資料。

　　3) 資料控制，防火牆可以控制應用資料流的通過。如防火牆可以阻塞郵件附件中的病毒。

防火牆實現訪問控制的尺度依賴於它所能實現的技術。

主機/作業系統訪問控制

圖1-2

　　目前主流的作業系統均提供不同級別的訪問控制功能。通常，作業系統藉助訪問控制機制來限制對檔案及系統裝置的訪問。

　　例如：Windows NT/2000作業系統應用訪問控制列表來對本地檔案進行保護，訪問控制列表指定某個使用者可以讀、寫或執行某個檔案。檔案的所有者可以改變該檔案訪問控制列表的屬性。

應用程式訪問控制

　　　訪問控制往往嵌入應用程式（或中介軟體）中以提供更細粒度的資料訪問控制。當訪問控制需要基於資料記錄或更小的資料單元實現時，應用程式將提供其內建的訪問控制模型。

　例如，大多數資料庫（如Oracle）都提供獨立於作業系統的訪問控制機制，Oracle使用其內部使用者資料庫，且資料庫中的每個表都有自己的訪問控制策略來支配對其記錄的訪問。

　　另外比較典型的例子是電子商務應用程式，該程式認證使用者的身份並將其置於特定的組中，這些組對應用程式中的某一部分資料擁有訪問許可權。

加密方式在訪問控制系統中的應用

　　加密方法也經常被用來提供實現訪問控制。或者獨立實施訪問控制，或者作為其它訪問控制機制的加強手段。例如，採用加密可以限定只有擁有解密金鑰的使用者才有許可權訪問特定資源。

　　IPsec VPN採用強加密機制來提供訪問控制以非可信網路中的使用者訪問經由VPN傳輸的資料。此外，加密和金鑰管理也可實現訪問控制機制，只有擁有相應的金鑰（IPsec安全關聯協商成功），才可以解密及訪問資料。

　　儲存於本地硬碟的資料也可以被加密，所以同一系統中的使用者若無相應解密金鑰也不可讀取相關資料。如此就可以代替傳統的檔案許可權控制方式。個別資料庫產品可以加密位於本地磁碟上的資料庫檔案，這樣就可彌補作業系統訪問控制機制的不足。