数据安全-访问控制

数据安全是现在业界比较热门的话题。除了国家法规、行业监督等方面的要求，目前普遍数据泄露、敲诈问题将数据安全推向一个高潮。本文主要分析目前数据安全的一个非常重要的概念-访问控制。

访问控制的应用场景

访问控制的应用场景在我们现在使用计算机、手机等各种电子设备都有很丰富的例子。比如手机淘宝的登录、公司办公系统登录。

访问控制的概念

访问控制（Access Control）指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。访问控制是系统保密性、完整性、可用性和合法使用性的重要基础，是网络安全防范和资源保护的关键策略之一，也是主体依据某些控制策略或权限对客体本身或其资源进行的不同授权访问。
从概念上可以到访问控制涉及到三个概念用户身份、策略组、数据资源，这也构成访问控制的三个要素。

访问控制的三要素

访问控制包括三个要素：主体、客体和控制策略。
（1）主体S（Subject）。是指提出访问资源具体请求。是某一操作动作的发起者，但不一定是动作的执行者，可能是某一用户，也可以是用户启动的进程、服务和设备等。
（2）客体O（Object）。是指被访问资源的实体。所有可以被操作的信息、资源、对象都可以是客体。客体可以是信息、文件、记录等集合体，也可以是网络上硬件设施、无限通信中的终端，甚至可以包含另外一个客体。
（3）控制策略A（Attribution）。是主体对客体的相关访问规则集合，即属性集合。访问策略体现了一种授权行为，也是客体对主体某些操作行为的默认。

访问控制与身份认证的关系

在一个系统中访问控制与身份认证是密不可分的，很多时候访问控制已经涵盖了身份认证的概念，所以在概念定义上，不用强制性区分。

访问控制的类型

访问控制有三个模式，自主访问控制（DAC）、强制访问控制（MAC）和基于角色访问控制（RBAC）。

自主访问控制

自主访问控制（Discretionary Access Control，DAC）是一种接入控制服务，通过执行基于系统实体身份及其到系统资源的接入授权。包括在文件，文件夹和共享资源中设置许可。用户有权对自身所创建的文件、数据表等访问对象进行访问，并可将其访问权授予其他用户或收回其访问权限。允许访问对象的属主制定针对该对象访问的控制策略，通常，可通过访问控制列表来限定针对客体可执行的操作。
简单来说，自己创建的实体不仅拥有访问修改的权限，同样能把这种权利分配给别人。但是这种控制的安全性比较低，由于权限分配出现链式传递，导致数据泄露问题。

强制访问控制

强制访问控制（MAC）是系统强制主体服从访问控制策略。是由系统对用户所创建的对象，按照规定的规则控制用户权限及操作对象的访问。主要特征是对所有主体及其所控制的进程、文件、段、设备等客体实施强制访问控制。在MAC中，每个用户及文件都被赋予一定的安全级别，只有系统管理员才可确定用户和组的访问权限，用户不能改变自身或任何客体的安全级别。系统通过比较用户和访问文件的安全级别，决定用户是否可以访问该文件。此外，MAC不允许通过进程生成共享文件，以通过共享文件将信息在进程中传递。MAC可通过使用敏感标签对所有用户和资源强制执行安全策略，一般采用3种方法：限制访问控制、过程控制和系统限制。MAC常用于多级安全军事系统，对专用或简单系统较有效，但对通用或大型系统并不太有效。
MAC的安全级别有多种定义方式，常用的分为4级：绝密级（Top Secret）、秘密级（Secret）、机密级（Confidential）和无级别级（Unclas sified），其中T>S>C>U。所有系统中的主体（用户，进程）和客体（文件，数据）都分配安全标签，以标识安全等级。

常用安全模型-BLP安全模型（Bell-Lapadula security model）

Bell-lapadula是保密性访问控制模型，该模型主要用于防止保密信息被未授权的主体访问。
使用Bell-lapadula模型的系统会对系统的用户（主体）和数据（客体）做相应的安全标记，因此这种系统又被称为多级安全系统，级别和模型用于限制主体对客体的访问操作，该模型用于加强访问控制的信息保密性。
Bell-lapadula使用主体，客体，访问操作（读，写，读/写）以及安全级别这些概念，当主体和客体位于不同的安全级别时，主体对客体就存在一定的访问限制。实现该模型后，它能保证信息不被不安全的主体所访问。
Bell-lapadula有三条强制的访问规则：简单安全规则（simple security rule）,星属性安全规则（star property）,强星属性安全规则（strong star property）.简单安全规则表示低安全级别的主体不能从高安全级别客体读取数据。星属性安全规则表示高安全级别的主体不能对低安全级别的客体写数据。强星属性安全规则表示一个主体可以对相同安全级别的客体进行读和写操作。
所有的MAC系统都是基于BELL-LAPADULA模型，因为它允许在代码里面整合多级安全规则，主体和客体会被设置安全级别，当主体试图访问一个客体，系统比较主体和客体的安全级别，然后在模型里检查操作是否合法和安全。下图是对bell-lapadula模型的简要描述：
Subject(主体) Object(客体)
1． 当安全级别为Secret的主体访问安全级别为Top Secret的客体时，简单安全规则（simple security rule）生效，此时主体对客体可写不可读（no read up）；
2． 当安全级别为Secret的主体访问安全级别为Secret的客体时，强星属性安全规则(strong star property)生效，此时主体对客体可写可读；
3． 当安全级别为Secret的主体访问安全级别为Confidential的客体时，星属性安全规则( star property)生效，此时主体对客体可读不可写(no write down)；

安全模型-BLP安全模型（Bell-Lapadula security model）

毕巴模型是的完整性访问控制模型。毕巴模型使用完整性级别来对完整性进行量化描述。完整性级别是有序的，可以进行比较。
总结：一般当我们提及毕巴模型，一般都是指毕巴严格完整性模型，总结来说是上写、下读。目前接触的不多。

MAC与DAC的结合

通常MAC与DAC结合使用，并实施一些附加的、更强的访问限制。一个主体只有通过自主与强制性访问限制检查后，才能访问其客体。用户可利用DAC来防范其他用户对自己客体的攻击，由于用户不能直接改变强制访问控制属性，所以强制访问控制提供了一个不可逾越的、更强的安全保护层，以防范偶然或故意地滥用DAC。

基于角色的访问控制

基于角色的访问控制（Role-Based Access Control，RBAC）是通过对角色的访问所进行的控制。使权限与角色相关联，用户通过成为适当角色的成员而得到其角色的权限。可极大地简化权限管理。为了完成某项工作创建角色，用户可依其责任和资格分派相应的角色，角色可依新需求和系统合并赋予新权限，而权限也可根据需要从某角色中收回。减小了授权管理的复杂性，降低管理开销，提高企业安全策略的灵活性。
RBAC模型的授权管理方法，主要有3种：
①根据任务需要定义具体不同的角色。
②为不同角色分配资源和操作权限。
③给一个用户组（Group，权限分配的单位与载体）指定一个角色。