资讯详情

【NISP一级】2.2 身份鉴别与访问控制

【NISP一级】2.2 识别和访问控制

笔记(主栏)

1. 身份鉴定基础

1.1 标识

1.1.1基本概念

  • 实体身份的计算机表达
  • 每个实体与计算机内部的一个身份表达绑定
  • 信息系统在执行操作时，首先要求用户识别自己的身份，并提供证明自己身份的依据。不同的系统以不同的方式表示实体的身份。同一个实体可以有多个不同的身份

1.1.2 示例

  • 用户ID、编号，用户名

1.2 鉴别

1.2.1基本概念

  • 识别是将识别与实体联系在一起的过程
  • 确认实体是它所声明的，并提供了对实体身份的保证。确认与实体打交道的实体是所需的实体

1.2.2 示例

  • 输入用户名和密码登录系统
  • 刷卡进入办公区

1.3 身份鉴别

1.3.1作用

  • 授权前提：访问控制机制的正确实施取决于对用户身份的正确识别。识别和识别是访问控制的必要支持，以支持资源的机密性、完整性、可用性和合法使用。
  • 数据源认证：数据源认证可与完整性保护相结合
  • 为安全审计服务提供支持：在审计记录中，通常需要提供与某一活动相关的确认身份

1.3.2相关实体

  • 被验证者P(Prover):出示身份标志的人也被称为声称者(Claimant)
  • 验证者V(Verifier):检查声称人提出的身份标志的正确性和合法性，决定是否符合要求
  • 可信赖者TP (Trusted Third Party) :第三方参与鉴定，第三方参与调解纠纷 在这里插入图片描述

1.3.3 单向识别和双向识别

  • 单向鉴别: 通信双方只有一个方向，另一方识别
  • 双向识别：通信双方相互识别
  • 第三方鉴定:身份由可信第三方确认

1.3.4 识别身份的方法

  • 身份鉴定的基本方法(根据证据特征)
    • 实体所知：验证实体知道什么，如秘密密密码或PIN码。
    • 实体所有权：验证实体所有权，如钥匙、磁卡、智能IC卡。
    • 实体特征：验证指纹、声音等生物学测定的不可改变的特征。如：声音、指纹、掌纹等。
  • 多因素鉴别
    • 使用两种（双因素识别）或两种以上识别方法的组合，如在线银行转账验证时，用户名/密码（实体所知）和USBKey(实体所有)可完成转账验证

2. 基于实体所知的鉴定

2.1 基本概念

  • 使用可记忆的秘密信息作为识别依据
  • 目前广泛使用用户名和登录密码进行登录验证是基于实体所知"的鉴别方式
  • 简单、低成本，广泛应用于各种商业系统

2.2 面临安全威胁

  • 信息泄露：登录密码猜测、线路窃听
  • 伪造信息:重放攻击

2.3 登录密码猜测及防御措施

2.4 安全口令的特点

  • 要求密码复杂，包括数字、字符、字母、特殊字符等。
  • 上述字符必须安装不规则的组合，不得使用英语单词、年份等组合。暴力或字典很容易破解。
  • 密码的位数至少达到8位，现在有很多论坛、邮箱、网银等
  • 支持16位密码。
  • 定期更换密码
  • 最好不要使用以前破解过的密码，也不要使用相同的密码作为不同的账户密码。

2.5 安全威胁

  • 穷举攻击是一种破解密码的方法，它通过所有可能的密码攻击。
  • 假设用户设置的密码是7位数字，最多有107个方种密码。虽然一次输入猜对密码的可能性是千万分之一，但在现有的网络计算环境中，猜测密码的投资很小，攻击者很容易使用软件连续测试10万或100万， 理论上，只要有足够的时间，所有的密码都可以破解，甚至1000万个密码。

2.6 暴力破解防护

  • 使用安全密码(容易记住，别人猜不到，强度，复杂)
  • 系统，应用安全策略(防止攻击者反复尝试)
  • 随机验证码：验证码、变形、干扰、滑块、图像识别……

2.7 窃听攻击

  • 攻击者在用户名和密码传输路径上设置嗅探器，收集用户发送的验证信息（用户名和密码）
  • 窃听攻击背景:因为早期使用的网络协议在网络上是明确的(如TeInet， FTP， POP3) 或者简单的编码(如HTTP采用的BASE64).攻击者可以通过在会话路径中的任何节点部署嗅探器来获得用户的密码。
  • 线路窃听防御措施
    • 防御措施:加密(单向函数)
    • 攻击者可以构建一个q和一个qp表中的p尽可能包含预期值，如彩虹表：（解决方案：在密码中使用随机数）

2.8 重放攻击

  • 重播攻击，又称重播攻击和重播攻击，是指攻击者发送目标主机收到的包，特别是在认证过程中，用于认证用户身份的包，以达到欺骗系统的目的。传输的会话凭证(登录密码或session等等)，如果只采取简单的加密措施，攻击者可以记录并在以后的验证过程中重放，系统无法区分发送的登录信息是攻击者或合法用户
  • 针对重放攻击防御措施
    • 将时间戳引入会话，由于时间戳的存在，攻击者的重放攻击将被系统拒绝；
    • 使用一次性密码
    • 在会话中引入随机数

3. 基于所有实体的识别

3.1 概念

  • 用户持有的东西来验证用户的身份
  • 用于识别的东西通常不容易复制，具有独特性
  • 所有实体识别方法都是长期使用的身份识别方法。

3.2 分类

3.2.1 集成电路卡(Integrated CircuitCard, IC Card)

3.2.2 内存卡( Memory Card)

  • 内嵌存储器用于存储各种数据

  • 信息存储方便，使用简单，价格便宜，很多场合可替代磁卡

  • 由于其本身不对存储的数据进行加密并且易于被复制，因此通常用于保密性要求不高的应用场合。例如单位门禁卡、企业的会员卡等。

3.2.3 逻辑加密卡

3.2.4 CPU卡(CPU Card)

  • 也称智能卡(SmartCard) ，相当于一种特殊类型的单片机，在卡片中封装了微处理单元(CPU) ，存储单元(RAM、ROM等)和输入/输出接口，甚至带有双方单元和操作系统。

  • CPU卡具有存储容量大、处理能力强、信息存储安全等特点，因此广泛被用于保密性要求较高的场合，例如银行的信用卡等。

3.3 威胁及防护

  • 复制及篡改

  • 鉴别物品可能被复制一份或篡改信息

  • 选择具备保护其中存储IC卡中存储和处理的各种信息不被非法访问、复制、篡改或破坏的技术

  • 损坏

  • 用于鉴别的物品可能会损坏导致不可用

  • 封装应坚固耐用，承受日常使用中各种可能导致卡片损坏的行为

4. 基于实体特征的鉴别

4.1 概念

4.2 分类

4.2.1 静脉

  • 个人静脉分布图(指静脉、掌静脉)

  • 静脉识别是最近几年开始出现的生物特征识别方式，通过静脉识别设备提取实体的静脉分布图，采用特定算法从静脉图中提取特征并与预先存储在数据库中的特征进行比对以判断是否通过验证。

4.2.2 面部识别

  • 人都有不同的骨骼结构， 鼻梁，眼眶，额头和下颚形状

  • 用人脸进行身份鉴别友好、方便，用户接受程度高，但识别的准确率要低于虹膜和指纹识别。

  • 人脸识别系统的主要工作是在输入的图像中准确定位人脸，抽取人脸特征，并进行匹配识别。

  • 目前，人面部的表情、姿态、化妆等的变化及采集图像时光线、角度、距离、遮挡等问题是影响人脸识别准确性的难题。

4.2.3 视网膜

4.2.4 虹膜

4.2.5 巩膜

  • 巩膜识别也称眼纹识别，使用巩膜(眼白)中的血管分布图作为识别的依据。

  • 技术实现上与虹膜识别类似，人的眼球会因为过敏、红眼或者熬夜宿醉等情况发生充血的状况，但这些并不会影响虹膜上血管排布，所以“眼纹”识别具有良好的稳定性。

4.2.6 指纹

  • 指纹是指尖表面的纹路，指纹识别主要利用纹路的起终点、中断处、分叉点、汇合点等的位置、数目和方向的分析比较来鉴别用户身份。

  • 指纹识别在所有生物特征识别中是最成熟、使用最广泛的技术。

4.2.7 掌纹

  • 手掌有折痕，起皱，还有凹槽

  • 还包括每个手指的指纹

  • 人手的形状(手的长度，宽度和手指)表示了手的几何特征

4.2.8 语音识别

  • 语音识别是利用发声者的发声频率和幅值来辨识身份的一种特征识别技术，在远程传递中具有明显优势。

  • 识别方式

  • 依赖特定文字：实现容易，安全性不高

  • 不依赖特定文字：防伪性较高，准确率不稳定

4.2.9 其他实体特征鉴别

  • 由于生物识别技术的便利性及广泛的应用前景，头骨、耳朵、脑电波等越来越多的生物识别技术被开发出来。

4.3 优势

  • 实体特征鉴别体系相对实体所知、实体所有的鉴别方式优势在于用于鉴别的特征难以复制，也不会遗失。

4.4 安全及防御

  • 安全风险：用于鉴别的生理特征终生不变，无法更换，一旦遗失特征数据,
  • 安全风险极大：随着技术进步，生理特征复制越来越简单
  • 防御措施：谨慎使用，严格管理数据

4.5 鉴别系统的有效性判断

  • 错误拒绝率(FRR)
  • 错误接受率(FAR)
  • 交叉错判率(CER) : FRR=FAR的交叉点，CER用来 反映系统的准确度

5. 访问控制基础

5.1 访问控制

5.1.1 基础知识

  • 什么是访问控制：为用户对系统资源提供最大限度共享的基础上，对用户的访问权进行管理，防止对信息的非授权篡改和滥用
  • 访问控制作用
    • 保证用户在系统安全策略下正常工作
    • 拒绝非法用户的非授权访问请求
    • 拒绝合法用户越权的服务请求

5.1.2 主体与客体

5.1.2.1 概念

  • 主体是使信息在客体间流动的一种实体、通常是指人、进程或设备等。

  • 客体是一种信息实体，或者是从其它主体或客体接收信息的实体。

  • 主体举例

  • 对文件进行操作的用户

  • 用户调度并运行的某个进程

  • 调度一个例程的设备

  • 客体举例

  • 数据块、存储页、文件、目录、程序

  • 在系统中，文件是一个处理单位的最小信息集合，每一个文件就是一个客体，如果每个文件还可以分成若干小块，而每个小块又可以单独处理，那么每个小块也是一个客体。

5.1.2.2 主体与客体关系

  • 主体接收客体相关信息和数据，也可能改变客体相关信息。

  • 一个主体为了完成任务，可以创建另外的主体，这些子主体可以独立运行，并由父主体控制它们。

  • 客体始终是提供、驻留信息或数据的实体。

  • 主体和客体的关系是相对的，角色可以互换。

5.1.3 访问权限

  • 访问权限是指主体对客体所执行的操作。

  • 文件是系统支持的最基本的保护客体。

  • 常见文件访问模式有:

    • 读：允许主体对客体进行读访问操作;

    • 写：允许主体对客体进行修改， 包括扩展、收缩及删除；

    • 执行：允许主体将客体作为一种可运行文件而运行；

    • 拒绝访问:主体对客体不具有任何访问权。

5.1.4 访问控制的实施

  • 第一步鉴别主体的合法身份

  • 第二步根据当前系统的访问控制规则授予用户相应的访问权。

5.2 访问控制模型

  • 一个信息系统在进行安全设计和开发时，必须满足某一给定的安全策略，即有关管理、保护和发布敏感信息的法律、规则和实施细则。

  • 访问控制模型是对安全策略所表达的安全需求的简单、抽象和无歧义的描述，可以是非形式化的，也可以是形式化的，它综合了各种因素，包括系统的使用方式、使用环境、授权的定义、共享的资源和受控思想等。

  • 访问控制模型的特点

  • 精确的、无歧义的；

  • 简单的、抽象的，容易理解；

  • 只涉及安全性质，不过多牵扯系统的功能或其实现细节。

6.访问控制模型

6.1 自主访问控制

6.1.1 基本概念

  • 自主访问控制(Discretionary Access Control, DAC) 资源的所有者，往往也是创建者，可以规定谁有权访问它们的资源。
  • DAC可为用户提供灵活调整的安全策略，具有较好的易用性和可扩展性，具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体。
  • DAC常用于多种商业系统中，但安全性相对较低。因为在DAC中主体权限较容易被改变，某些资源不能得到充分保护，不能抵御特洛伊木马的攻击。

6.1.2 访问控制矩阵

  • DAC可以用访问控制矩阵来表示。
  • 矩阵中的行表示主体对所有客体的访问权限，列表示客体允许主体进行的操作权限，矩阵元素规定了主体对客体被准予的访问权。

6.1.3 访问控制列表ACL

  • 权限与客体关联

  • 在客体上附加一个主体明细表的方法来表示访问控制矩阵的

  • ACL表是自主访问控制实现中比较好的一种方法

  • 为了简化管理，通常对访问者分类组织成组，以避免访问控制表过于庞大。

  • 优点
    • 根据主体的身份和访问权限进行决策
    • 具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体
    • 灵活性高，被大量采用
  • 缺点
    • 安全性不高
    • 信息在传递过程中其访问权限关系会被改变

6.2强制访问控制模型

6.2.1 强制访问控制(MAC)

  • 主体和客体都有一个固定的安全属性，系统用该安全属性来决定一个主体是否可以访问某个客体
  • 特点
    • 安全属性是强制的，任何主体都无法变更
    • 安全性较高，应用于军事等安全要求较高的系统
    • 但是这种机制也使用户自己受到限制。
  • 保护敏感信息一般使用MAC，需对用户提供灵活的保护，更多地考虑共享信息时，使用DAC。

6.2.2 典型强制访问控制模型

6.2.2.1 BLP模型

6.3 访问控制的应用

  • 入网访问控制
  • 网络权限限制
    • 网络的权限控制是防止网络非法操作而采取的一种安全保护措施，用户对网络资源的访问权限通常用一个访问控制列表来描述
    • 从用户的角度
      • 特殊用户（具有系统管理权限的系统管理员等）
      • 一般用户（系统管理员根据实际需要而分配到一定操作权限的用户）
      • 审计用户（专门负责审计网络的安全控制与资源使用情况的人员）
  • 目录级安全控制
    • 目录级安全控制主要是为了控制用户对目录、文件和设备的访问，或指定对目录及目录下的子目录和文件的使用权限
  • 属性安全控制
  • 网络服务器安全控制
    • 网络服务器安全控制是指允许通过服务器控制台执行的安全控制操作
      • 操作
        • 用户利用控制台装载和卸载操作模块
        • 安装和删除软
        • ……
  • 网络监测和锁定控制
  • 网络端口和节点的安全控制
  • 防火墙控制

标签： 额头传感器

锐单商城拥有海量元器件数据手册、 IC替代型号，打造 电子元器件IC百科大全！

锐单商城 - 一站式电子元器件采购平台