精华内容
下载资源
问答
  • 访问控制

    千次阅读 2009-06-10 19:12:00
    16、即是对“主体”和“客体”的内涵和外延,访问控制系统的设计,访问控制的体系结构,需要仔细研究研究,在分析和总体设计阶段多花些时间。 类别:访问控制 | 编辑 | 删除 | ...
    <script type="text/javascript"></script>
    <script type="text/javascript"></script>
    
    
    ftai08 我的消息(0/0) | 我的空间  | 百度空间 | 百度首页 <script type="text/javascript"></script> | 退出 <script src="/ui/scripts/webImTip.js?v=1.4" type="text/javascript"></script> <script type="text/javascript"></script>
    <script type="text/javascript"></script>
    <script></script>
     
    文章列表
     
    您正在查看 "访问控制" 分类下的文章

    2009-03-17 19:29

    基于访问控制的问题
    1、 现有的复杂访问:虽然可能不会亲历各种复杂访问,但可从对INTERNET的存取和被控制,引伸出一些复杂的访问模式。INTERNET就是为了方便人的操作,所以设计者自然而然会仿照人类一些复杂的访问操作。
    2、 如何给访问的复杂性评价:有一个平台,有一些评价的指标,这对各种AC都不一样。如果给访问控制的复杂性进行标准化的评价,在用户使用、设计者设计时,有一个参考。
    3、 将来的新增的访问:INTERNET的AC显然是复制了人类的一些活动,又不完全一样。有的INTERNET访问操作,完全是人操作的“极限运动”,并不依照通常人的操作实践。
    4、 不同的访问之间:比如多个用户并发访问同一域名的多个网站的多个服务。


    5、 访问序列之间:访问序列之间对记录或文件(这时暂提文件,实际上更广泛的是“编程的资源”)进行不同的RAR,RAW,WAR,WAW(读与写)。
    6、 访问之后目标变更的记录:还有一个访问操作对多个目标进行访问,形成一个结果,可能是中间的结果。题所指,一是指修改了目标。
    7、 访问目标与数据库访问的异同:数据库的访问存取已经非常标准化了,例如基于SQL语言的。那么具体的AC对具体的目标,也可以如DB那样进行理论分层、分视图等。
    8、 访问目标的确定:服务器端如何根据访问语句确定目标。


    9、 跨安全区访问进程:安全区设定也有好坏。设定安全区后,跨安全区的访问就有各种不同于通常AC的访问控制。
    10、 访问进程的生成、就绪、挂起、退出:访问控制是发起者和目标方的共同计算能力作保障的,同时,显然有输入和输出。是一个自动机。或者说,是模拟自动机,或者说,可模拟和类比于自动机。有各种状态。这种状态的表示,是怎样的呢?
    11、 访问进程和访问线程:生成线程,不一定是由程序生成。而是设计出类似于线程的、把访问控制细分的“线程”。目的是更好(这个“好”,有哪些指标?)地完成访问控制的目标。
    12、 不同的软件工具对访问的实现在底层的区别

    首先,“流行”的软件很“牛”,不存在“混合编程”的可能。

    其次,有数据库的“查询优化”,也就会有通用信息目标的“访问优化”、“控制优化”。

    又次,对访问时间和空间以及其它开销指标影响比较显著的地方,的代码,要专门衡量、专门比较。比如,比较VC和J2EE在协同设计的图形操作方面的功能。
    13、 如何评价访问的有效性

    一般现在的情况,都是由发起程序这方的用户(人)来衡量,是否达到了访问控制的目的。显然,有些关于是否达到了存取控制要求的信息,可以由用户编程来实现,即由程序“代理”来判断是否访问控制目的实现了。
    14、 访问的中断和现场的恢复

    访问操作经常是一个N维空间上的序列。被打断是很可能的。

    在初初考虑这种技术时,应该可以从数据库上的LOG,ROLLBACK,COMMIT,ABORT借上劲。因为在DDB中,这些技术已经非常成熟,经过了时间和市场的考验。
    15、 一揽子访问进程包包含几种几次的访问序列

    可以说是前面某点关于“复杂访问控制”的另一种问法。

    访问进程包:编程,由程序代理自动按照访问序列进行访问。想当然的是,一个两个访问,还好处理,如果是涉及到一个人要掌控成百上千的访问时,就不得不依靠程序代理来实现。

    为什么称为程序代理呢?一是因为它有相当的智能,二是因为可能是分布的、并行的、如MOBILE AGENT的。
    16、 访问策略制定者和访问控制进程本身的控制、监控、审计

    策略的制定,是凭经验吗?还是有如软件工程般的规范,有流程,可操作性强。

    进程问题,在大规模用户和广域网络上,不对访问控制项目相关因素本身进行监控,那么,所做的,就如空中楼阁,结果也很可能南辕北辙、沿木求鱼。
    17、 现有几种资源系统中访问目标的分类

    对待访问资源进行分类的必要性是显然的。象华为的矩阵管理,显然此分类越详细越好,可能是多维的,而不是直线思维地认为,要么黑,要么白。具体的资源很多,可能要CLASSIFIED,要抽象。可能要象面向对象一样,把成员函数和成员数据包含在一起。
    18、 访问的冲突

    争夺同一资源的同一“颗粒”(暂如此称呼,意指资源的更细微的划分,可能是每个指令访问的对象)。
    19、 来自本地和异地的访问冲突的确定和控制

    这种访问冲突,和CSMA/CD的,和电信号的冲突,都不一样。

    在访问控制中,两个或多个不同的访问,是完全可能因多种原因引起冲突的,值得大书特书:-)。
    20、 来自同一地的访问冲突的确定和控制
    21、 来自不同或相同安全区访问冲突的确定和控制,及策略和算法、模型
    22、 访问控制和多级门限

    如如何确定访问没有越权。一般是ACL,但现实中的访问,会有多级门限。过了一道,访问资源A,再过一道,才能访问资源B。
    23、 访问控制许可的阈值

    允许访问程度和范围的量化,不可能凭经验。
    24、 访问控制信息在网络安全传输的协议

    (1)建立会话密钥。(2)(客体/地址/目录/文件/记录,操作)对。(3)考虑不安全通道。(4)逻辑通道的建立和拆除。(5)协议格式,数据格式,校验格式。(6)发起者发出,客体拥有者发出的。(7)机密性、完整性、真实性、拒否认性、可用性,这些目标能达到。(8)对协议的攻击。(9)对比已有类似协议,所作的改进。
    25、 访问控制信息的安全特性保护

    由发起端,到CHANNEL,到目标端,信息是PLAIN的,它不能自我保护。一定要设置保护机制,要有安全性评价。
    26、 嵌套访问控制

    简单的想法,是一段访问代码嵌入了另一段访问代码。还有,有些结果是可以在目标端计算后,只送给最终结果,而不是初始访问数据。
    27、 并发访问控制的可串行化、原子性、ASID(I 独立性、D 持续性)

    (1)来自于国防科技大学《分布式数据库DDB(影印版教材)》的“事务”的基本属性ASID。

    (2)并行操作的效果,可用相应的串行操作实现。

    (3)并行访问:多个发起人,多个客体,多个通道,多种AC协议,时间序列,空间阵列,类数据库属性,
    28、 访问控制相关的大量的、复杂的时间特性
    29、 访问控制相关的大量的、复杂的空间特性

    (1)如何用单机模拟?(2)时间特性:访问起止时间,(发起者,客体,访问持续时间),分时间片,

    30、访问控制系统的层次划分

    31、访问控制系统放到周围环境中的问题(一系列)

    32、访问ABORT(流产),COMMIT(提交)的标准及制定的原则

    33、自动将访问流程细分成几个步骤,其原则

    34、针对具体资源系统(WINDOWS,LINUX,UNIX,XENIX,SCO UNIX,SUN SOLARIS),采用同一访问控制策略,在实现过程中,会有怎样的不同

    35、平行的访问控制过程之间的关系,对资源的交叉利用

    36、访问控制过程的原语

    37、访问控制的设计原则,及评价

    38、对访问控制发起者和目标的控制

    39、访问控制的基准测试程序BENCHMARK,以验证某个访问控制能否达到预期的结果

    40、如何恢复被中断的访问控制过程

    41、访问控制过程的状态图,如OS的 套刺 肌J巧婕暗蕉喾降淖刺 ?/p>

    42、访问控制系统的可控性、可观察性、可测试性

    43、访问控制系统需要用硬件来部分实现吗?什么情况下,需要使用硬件电路、板卡、ASIC CPU?

    44、访问控制并行操作的可串行化,可验证

    45、访问控制和其他类似的操作,如分布式存储管理系统、机群存储管理系统,之间的联系

    46、使用访问控制系统RUN ANY TIME,ANY WHERE,需要什么保证。如果有非预期的关键操作不能实现,则对访问控制系统本身的价值,会打一个大大的问号。

    47、访问控制系统可否实现自调整等计算智能的因素,例如根据需要调整对资源的控制

    48、还是计算智能

    49、访问控制算法

    50、访问控制算法的正确性、完备性、一致性(同样的条件下的访问控制应该获得同样的目标中的资源)证明

    51、访问控制用户的优先级划分

    52、访问控制的博弈和均衡:对于多个发起者争夺目标方的“临界资源”(Critical resources,套用《操作系统》的术语),是某种博弈,不可能在“限制条件”下,每个参与者的要求都得到满足。虽然,和博弈(决策论)的称呼一样,但具体需要看访问控制系统的智能Intelligence的程度。

    53、访问控制中AGENT的使用:有Belief,Desire,Intention信念这些比较玄乎的东西的AGENT可能比较难。

    但MAS(Multiple Agent System)之间的协同、协调理论和技术,再加上协同学理论,还是有必要的。

    54、访问控制与进化:不说进化吧,发起者和目标方的计算机智能环境在变化,资源方面的问题也在变化,需要自适应。

    类别:访问控制 | 编辑 <script></script> | 删除 <script></script> | 评论(0) | 浏览(26) <script></script>
     
    2009-03-17 19:28

    1、AGENT被访问控制,由AGNET或MAS,或者MOGENT来访问客体。

    2、客体,可否理解为资源,通常的资源,有单机版的OS下的几类资源。

    3、客体,还可由网络资源表示。是网络OS控制下的资源。

    4、层层控制,要实现控制机制,必须具有计算能力,或者,打个比方,是类似EXE、DLL的东东。

    6、计算智能的进化计算和遗传计算,要重点考虑,是否可引入到工程硕士大课题中。

    7、会涉及网络协议的理解和执行。

    8、会涉及到语义的理解和执行。

    9、会涉及到产生式规则的理解和执行。

    10、以及规则的形式。“非教科书形式”。

    11、4中提到要层层控制,原因如下:

    (1)客体本身的层次感,通常很丰富。可能要排除急功近利出来的访问控制应用,如BAIDU可检索到的一些安全公司的白皮书。

    (2)客体的数量要求访问控制的层次感。

    (3)成体系的访问控制系统,能否更优地保证访问控制系统本身的安全基本特性。

    (4)或者说吧,访问控制系统本身可看作一个独立的“虚拟机”。

    (5)访问控制似乎有模块化、可拆卸、可安装、可配置、有“配线架”(华为的配线架部门,在2000年时的产值,已经有2亿左右),同时要模块要标准化,有企业标准、行业标准、更高更宽泛的标准。

    或者,是如1994年左右,在CAD中提到过的“框架”FRAMEWORK。

    12、有限状态自动机的“控制机制”,软件中的算法,与POST产生式规则有紧密的联系。

    POST波斯特于1943年证明了:“所有的数学定理和公理,可以表示成‘如果,那么’的形式”。

    13、如果某计算机C1输入为I1,则输出O1。

    14、是否允许主体(冯登国博士的《计算机网络通信安全》,表达为“发起者”,和这里的“主体”,是同一个意思),访问客体,其评价标准就是设计的访问控制算法,是否在限制条件下,完备、正确、一致地实现。

    15、在做课题时,只能抽象出客体资源的主要特性,并不需要受具体的操作系统,如WINDOWS的限制。

    也许只要实现对WINDOWS下数种常见资源,如文件,如内存,如编程资源(菜单项,对话框),的访问控制即可。

    因为这种具体的资源形式在将来可能不通用,资源的形式也要面向扩展,而且对具体编程资源的理解和分析,需要花费不菲的时间。

    由于对客体的操作编程,预估会有较大的变化范围,还要仔细考虑。

    16、即是对“主体”和“客体”的内涵和外延,访问控制系统的设计,访问控制的体系结构,需要仔细研究研究,在分析和总体设计阶段多花些时间。

    类别:访问控制 | 编辑 <script></script> | 删除 <script></script> | 评论(0) | 浏览(15) <script></script>
     
    2009-03-17 19:27

    1、在LAN中如何搭建FIREWALL和IDS。

    2、可能仅是FW和IDS和IPS的模型。

    3、具体要验证哪些访问控制技术。

    4、可能是协议分析、AGENT和计算智能的。首先要明确是什么访问。协议虚拟机和访问控制系统、认证系统之间的关系。和FW和IDS、IPS之间的关系。

    5、资源的模拟。

    6、资源所处的环境的模拟。

    7、问题求解:要用模型来解决哪些现实中的信息安全问题。如哪些攻击,哪些防守技术。

    8、要突出结合于FW和IDS、IPS的访问控制和认证。强调认证和访问控制。相对于认证和访问控制系统而言,上述三者,只是一个运行环境。

     

    9、协议执行的外在表现,是双方的行为。应用层和物理层两层中间的协议,主要是TCP/IP,变化较慢,是标准。

    而新的需求,常催生新的应用,会有新的协议。

    异常的行为和后果,才需要防护。检测出异常行为和后果,通常是人工的吧。

    10、协议执行的行为常有相关性。

    11、一个具体的信息安全模型,只解决有限的、典型的安全问题。提出问题,提出解决问题的思路。

    12、访问资源,然后控制资源的获取。资源的例子,一般似乎都可用OS下的文件系统和存储系统来代表。

    资源本身有合法的控制程序,但非法攻击者则试图越过这些控制程序。

    合法的控制程序,有其典型的行为,有指导其行为的逻辑。

    攻击者试图掌握合法的控制程序的行为规律,而防守者则保护秘密,防止泄漏。

    攻或者防的行为,似乎都可用“如果……那么……”的产生式规则来表示。

    攻击者都试图找到指导网络行为设计的更高级、更抽象的产生式规则集合,以及实现这种规则集的机制。

    因为协议的设计实际上就是发送者S要接收者R“做什么”,R又反过来对S提出要求,S、R在协议规范下进行通信,处理资源问题。是对单机“指令系统”的扩展。

     

    13、面向实际的IDS、IPS和FW环境,因为缺少被攻击的协议的RFC文本,和构造这种环境需要的资源紧缺,难以实现。

    但网络攻击行为可被建模。也可被抽象。因为网络攻击行为的复杂性和针对防护易变,抽象出来的网络攻击行为,也有其指导意义,也有其被抽象的意义。

    网络攻击行为的产生,多是由人工针对网络行为的漏洞来设计。

    14、现有的网络攻击行为和基本原理,在INTERNET上很容易检索到。

    15、应用层的应用,面向变化的环境,千差万别,对应的协议,也具有多样性。课题中应该选取典型的应用层协议,进行网络攻防的分析。如PPP。

    从管理上来说,因为通信双方网络资源分布不对等,才需要网络通信和协同。也不可能双方拥有所有的资源,只拥有必备的资源吧。这里,不需考虑网络体系结构设计阶段的原因。

    现有网络的性能,如可靠性,从某个方面来说,是由资源的分布性决定的。耦合度过高的系统,非彼不可,缺少不得,容易导致系统CRASH。

    16、由于有网络控制系统NCS,控制资源的软件AGENT系统可以具有流动性。升级的AGENT,在网络CRASH时,可不可以根据网络体系结构的设计要求,流动到CRASH子网,对其拥有的关键资源CRITICAL RESOURCES进行管理。

     

    17、设计协议P1来控制资源的分布,必然要权衡此P1协议的性能,而性能影响因素一般较多。

    这样,在为设计目标的实现进行取舍时,就会留下“漏洞”。因为不可能考虑所有的影响性能的因素。

    18、比较而言,紧密结合硬件,处理机资源充分时,任务比较单一时,如程控交换机的呼叫处理模块,

    优点明显,但针对硬件,却容易被窃听和冒充。

    19、针对应用层协议的攻击,需要分析一、两个典型的协议。或者多个吧。为什么针对应用层协议?因为在WINDOWS系统下容易模拟。而如果针对网络层和传输层,可能需要理解更多的硬件设备数据,和硬件支持,会难模拟些。

    当然,不排除在拥有时间资源的情况下,逐步地向下层深入。

    20、泛泛而谈:要在面向扩展的思路下进行。应用层的协议虚拟机,第一,要协同双方的动作。

    21、对已有典型网络协议的理解、记忆和应用,从某个方面,如产品系统的设计来说,是基石。

    那么,如何取舍这些协议呢?

    _____________________________________________________________________________

                 防火墙

                         作者:姚鑫

                       一九九八年十二月
    目 录

    1 防火墙的基本概念 2
    1.1什么是防火墙 2
    1.2网络的不安全因素 2
    1.3防火墙的作用 2
    2 防火墙的实现 2
    2.1防火墙的分类 2
    2.2包过滤 2
    2.3访问列表 2
    3 常用网络攻击方法 2

     

     

     

     

     

     

     


    1 防火墙的基本概念
    1.1什么是防火墙
    在大厦构造中,防火墙被设计用来防止或从大厦的一部分传播到另一部分。我们所涉及的防火墙服务于类似的目的:防止因特网的危险传播到你的内部网络。实际上,因特网防火墙不像一座现代化大厦中的防火墙,它更像中世纪城堡的护城河。
    防火墙一方面阻止来自因特网的对受保护网络的未授权或未验证的访问,另一方面允许内部网络的用户对因特网进行Web访问或收
             图1 防火墙通常使内部网络和因特网隔离
    发E-mail等。防火墙也可以作为一个访问因特网的权限控制关口,如允许组织内的特定的人可以访问因特网。现在的许多防火墙同时还具有一些其他特点,如进行身份鉴别,对信息进行安全(加密)处理等等。如图1所示:
    防火墙不单用于对因特网的连接,也可以用来在组织内部保护大型机和重要的资源(数据)。对受保护数据的访问都必须经过防火墙的过滤,即使该访问是来自组织内部。
    当外部网络的用户访问网内资源时,要经过防火墙;而内部网络的用户访问网外资源时,也会经过防火墙。这样,防火墙起了一个“警卫”的作用,可以将需要禁止的数据包在这里给丢掉。
    1.2网络的不安全因素
        一个网络系统的最主要的目的是实现“资源共享”,同时实现对数据的协作处理、信息的传递等等。网络自身的这种开放性是引发网络安全问题的最直接原因。
    网络的不安全因素有以下几类:
    1)环境:各类天灾及事故都会对网络造成损害,令网络完全瘫痪或不能正常工作。
    2)资源共享:包括硬件共享、软件共享、数据共享。资源的相互共享为异地用户提供了方便,同时也给非法用户创造了条件。非法用户可以通过终端来窃取信息、破坏信息。共享资源与使用者之间有相当一段距离,这也为窃取信息在时间和空间上提供了便利条件。
    3)数据传输:信息需要通过数据通信来传输。在传输过程中,信息容易被窃听、修改。
    4)计算机病毒:借助网络,病毒可以在短时间内感染大量的计算机,使网络趋于瘫痪。如“蠕虫”病毒及电子邮件“炸弹”。
    5)网络管理:对系统的管理措施不当,会造成设备的损坏、重要信息的人为泄露等等。
    1.3防火墙的作用
        如图2所示:

    图2 中世纪城堡的护城河
    我们将防火墙比作中世纪城堡的护城河,并且像护城河一样,防火墙不是坚不可摧的。它不防备已经是里面的人;如果与内部的防御相配合,它工作的最好;同时,即使你把所有的船都收藏起来,人们有时仍然能设法横渡。构筑防火墙需要昂贵的花费和努力,而且它对内部人员的限制是令人厌烦的。
    防火墙对网络威胁进行极好的防范,但是,它们不是安全解决方案的全部。某些威胁是防火墙力所不及的。
    1) 防火墙不能防范恶意的知情者:防火墙可以禁止系统用户通过网络发送专有的信息。但是用户可以将数据复制到磁盘或者纸上,放在公文包里带出去。如果侵袭者已经在防火墙的内部,防火墙实际上无能为力。
    2) 防火墙对不通过它的连接难有作为:防火墙能有效的控制穿过它的传输信息,但对于不穿过它的传输信息无能为力。
    3) 防火墙不能防备所有新的威胁:一个好的设计能防备新的威胁,但没有防火墙能自动防御所有新的威胁。人们不断发现利用以前可信赖的服务的新的侵袭方法。
    4) 防火墙不能防备病毒:有太多种的病毒和太多种的方法可以使得病毒隐藏在数据中。

    2 防火墙的实现
    2.1防火墙的分类
    一般把防火墙分为两类:网络层防火墙、应用层防火墙。网络层的防火墙主要获取数据包的包头信息,如协议号、源地址、目的地址、目的端口等或者直接获取包头的一段数据。应用层的防火墙对于整个信息流进行分析。
    实现防火墙时,共有以下几种:
    ① 应用网关(application gateway):检验通过此网关的所有数据包中的应用层的数据;经常是由经过修改的应用程序组成运行在防火墙上。如FTP应用网关,对于连接的client端来说是一个FTP server,对于server端来说是一个FTP client。连接中传输的所有ftp数据包都必须经过此FTP应用网关。
    ② 电路级网关(circuit-level gateway):此电路指虚电路。在TCP或UDP发起(open)一个连接或电路之前,验证该会话的可靠性。只有在握手被验证为合法且握手完成之后,才允许数据包的传输。一个会话建立后,此会话的信息被写入防火墙维护的有效连接表中。数据包只有在它所含的会话信息符合该有效连接表中的某一入口(entry)时,才被允许通过。会话结束时,该会话在表中的入口被删掉。电路级网关只对连接在会话层进行验证。一旦验证通过,在该连接上可以运行任何一个应用程序。以FTP为例,电路层网关只在一个FTP会话开始时,在tcp层对此会话进行验证。如果验证通过,则所有的数据都可以通过此连接进行传输,直至会话结束。
    ③ 包过滤(packet filter):对每个数据包按照用户所定义的进行过滤,如比较数据包的源地址、目的地址是否符合规则等。包过滤不管会话的状态,也不分析数据。如用户规定允许端口是21或者大于等于1024的数据包通过,则只要端口符合该条件,数据包便可以通过此防火墙。如果配置的规则比较符合实际应用的话,在这一层能够过滤掉很多有安全隐患的数据包。
    ④ 代理(proxy):通常情况下指的是地址代理,一般位于一台代理服务器或路由器上。它的机制是将网内主机的IP地址和端口替换为服务器或路由器的IP地址和端口。举例来说,一个公司内部网络的地址是129.0.0.0网段,而公司对外的正式IP地址是202.138.160.2~202.38.160.6,则内部的主机129.9.10.100以WWW方式访问网外的某一台服务器时,在通过代理服务器后,IP地址和端口可能为202.138.160.2:6080。在代理服务器中维护着一张地址对应表。当外部网络的WWW服务器返回结果时,代理服务器会将此IP地址及端口转化为内部网络的IP地址和端口80。使用代理服务器可以让所有的外部网络的主机与内部网络之间的访问都必须通过它来实现。这样可以控制对内部网络带有重要资源的机器的访问。
    路由器中的防火墙主要是指包过滤加地址转换。
    2.2包过滤
    包过滤应用在路由器中,就为路由器增加了对数据包的过滤功能。一般情况下,指的是对IP数据包的过滤。对路由器需要转发的数据包,先获取包头信息,包括IP层所承载的上层协议的协议号,数据包的源地址、目的地址、源端口、目的端口等,然后和设定的规则进行比较,根据比较的结果对数据包进行转发或者丢弃。
    包过滤在IP数据包中所取的用来判断的元素如图3所示(图中IP所承载的上层协议为TCP):
    图3 包过滤元素
    大多数数据包过滤系统在数据本身上不做任何事:它们不做基于内容的决定。有了数据包过滤,你可以说:
    不让任何人从外界使用Telnet登录。
    或者:
    让每个人经由SMTP向我们发送电子邮件。
    或者是:
    那机器经由NNTP能把新闻发给我们,但是没有其他机器能这样做。
    然而,你不可以这样说:
    这个用户能从外部远程登录,但是其它用户不能这样做。
    因为“用户” 不是数据包过滤系统所能辨认的。同时,你也不可以说:
    你能发送这些文件而不是那些文件。
    因为“文件”也不是数据包过滤系统所能辨认的。

    2.3访问列表
    为了过滤数据包,需要配置一些规则,规定什么样的数据包可以通过,什么样的不能通过。IP层所能获取的通用信息如上图。则配置的规则应该对这些参数作出规定。
    一般采用称为访问列表的技术用来配置过滤规则。访问列表分为两类:标准访问列表、扩展访问列表。
    2.3.1标准访问列表
    标准访问列表的格式如下:
    access-list listnumber permit|deny address [wildcard-mask]
    此格式表示:允许或拒绝来自指定网络的数据包,该网络由IP地址(address)和地址通配比较位(wildcard-mask)指定。
    通配比较位用法类似于子网掩码而写法不相同。IP地址与地址通配位的关系语法上规定如下:在通配位中相应位为1的地址中的位在比较中被忽略。地址与通配位都是32位的长整形数(unsigned long)。如通配位是0x00ffffff(0.255.255.255),则比较时,高8位需要比较,其他的都被忽略。又如IP地址是129.102.1.1,通配位是0.0.255.255,则地址与通配位合在一起表示129.102.0.0网段。若要表示202.38.160.0网段,地址位写成202.38.160.X(X是0~255之间的任意一个数字),通配位为0.0.0.255。在程序中,用异或等位操作高效率的实现这类比较。
    标准访问列表的例子:
    1) access-list 4 deny 202.38.160.0 0.0.255.255
    表示该规则序号为4,禁止来自202.38.0.0网络的主机的访问。
    2) access-list 4 permit 202.38.160.1 0.0.0.255
    表示该规则序号为4,允许来自202.38.160.0网络的主机的访问。与2)规则一起表示禁止一个大网段上的主机但允许其中的一小部分主机的访问。

    2.3.2扩展访问列表:
    扩展访问列表的格式如下:
    access-list listnumber permit|deny protocol source source-wildcard-mask destination destination-wildcard-mask [operator operand] [log]
    此格式表示允许或拒绝满足如下条件的数据包:
    ? 带有指定的协议(portocol),如tcp、udp等;
    ? 数据包来自由source及source-wildcard-mask指定的网络;
    ? 数据包去往由destination及destination-wildcard-mask指定的网络;
    ? [可选] 该数据包的目的端口在由operator operand规定的端口范围之内;
    并按要求做或不做日志。
    扩展访问列表的例子:
    1) 100 deny tcp 129.9.0.0 0.0.255.255 202.38.160.0 0.0.0.255 eq www log
    表示该规则序号为100,禁止129.9.0.0网段内的主机建立与202.38.160.0网段内的主机的www端口(80)的连接,并对违反此规则的事件作日志。
    2) 100 permit tcp 129.9.8.0 0.0.0.255 202.38.160.0 0.0.0.255 eq www
    表示该规则序号为100,允许129.9.8.0网段内的主机建立与202.38.160.0网段内的主机的WWW端口(80)的连接。
    3) 101 deny tcp any 202.38.160.1 0.0.0.0 eq telnet
    表示该规则序号为101,禁止一切主机建立与IP地址为202.38.160.1的主机的telnet(23)的连接。
    4) 102 deny udp 129.9.8.0 0.0.0.255 202.38.160.0 0.0.0.255 gt 128
    表示该规则序号为102,禁止129.9.8.0网段内的主机建立与202.38.160.0网段内的主机的端口号大于128的UDP(用户数据报协议)连接。

    2.3.3删除访问列表:
    no access-list listnumber [subitem]
    表示删除指定的listnumber的访问列表,或者删除其中的一项。

    2.3.4建立访问列表的索引
    建立索引的目的是:进行快速定位;即对于需要过滤的数据包,快速的确定需要和哪些规则进行比较。
    索引项根据网段的大小(unsigned long类型,带地址通配位如0.0.255.255)进行排列,比较时采用二分法进行比较。如图4所示:

                 图4 索引及所指的值

    索引项中的一个域指向一个指针链。如图中的10.0.0.0索引项指向规则2,规则2再指向规则102,表示一个源地址为10.0.0.0网段的数据包,需要和规则为2和102的进行比较。先比较规则为2的标准规则(标准规则判断的范围比较大)。
    规定如下:
    ? 比较的时候,先比较规则序号小的(在索引指向的域中可以做到这一点)。如先比较2,再比较4,再比较103,再比较104。倘若用户将要判定的源地址属于同一个网段的规则写成了好几个不同规则序号的规则,那么过滤的效率降低也是没有办法的。一般较正常的情况下,一个索引项后跟一个或两个规则序号。如图1中所示。如果在索引中,没有那个网段的话,需要与源地址为any的规则进行比较。


    • 不同序号的规则没有时间上的先后顺序。例如:先配置103,再配102,如果这两个序号的规则序列中都有判断129.9.0.0网络的规则,则过来一个129.9.0.0网络的包,先和102的比较,再和103的比较。(和上面一点有些重合)

    ? 同一序号的规则的配置也没有时间上的先后顺序。在排列时,
                 图5 规则的组织
    深度最大的那个排在前面。规则的组织图请看图5。
    这一点需要加以特别说明,也是程序中应该注意的地方。例如:先配置 2 permit 129.102.1.1 0.0.0.0; 再配置一条同样序号的 2 deny 129.102.0.0 0.0.255.255;前一条直接指定了主机,它的深度最大,还是排在前面。比较时,129.102.0.0网络的数据包会在序号为4的规则中搜索。若是129.102.1.1,则被前一条满足,就不再往后比较了。这是因为规则是按照深度的大小来排的。
    可以看出,深度是指通配位而言的。一般来说,深度越大,通配位越小。如
    0.0.0. 0比较时的深度要比0.0.255.255的深度大。
    此观点来自于:一个数据包只被一组规则中的某一个允许或拒绝,也就是最终起作用的是一条规则(该规则的深度最大)。

    ? 如果通配位不规则(如0.0.123.234),规则的组织仍是按照通配位的大小。这是基于这样的考虑:
    1) 这种写法非常的少;
    2) 倘若真的写出了这样的规则,一般不太明白这样的通配位与地址相结合表示什么样的地址范围;
    3) 可能运用的地方应该是属于圈定一小部分IP地址,如0.0.0.128,它的深度比较大,比0.0.0.255要大。满足0.0.0.255的不一定满足0.0.0.128所指的。
    规定规则以通配位大小进行排列,通配位小的在前面,可以减少很多麻烦,也方便了程序的编写。
    根据深度优先的排列后,在命令行上配置的规则就没有先后顺序之分了。

    ? 如果源地址是any,则将此规则放在数组下标为199的那一项上。规则间也以序号大小排列。
          将源地址为any的规则组织在一起是基于如下考虑:
    1) 索引的每一个值都属于any,没有必要将这些规则所在的access-list的序号加在每一个索引所指的内容中去;否则的话,每一个数据包都需要和该序号的所有规则进行比较;
    2) any的情况容易引发安全漏洞。允许any代表允许来自世界各地的访问。一般不建议配置源地址是any的规则(deny any是个例外)。
    3) 配置any的情况,大部分是因为需要配置一个对其他情况的一个缺省处理。如配置access-list 1 deny any表示其他规则不能判定的数据包都会被拒绝掉。
    4) 一般源地址为any的规则数目比较少,可以组织在一起。

    ? 用户配置的规则和现有的规则有冲突的情况,如用户已经配了一条1 deny any;现在又配了一条2 permit any;这两条命令的比较范围是重叠的,实际比较时序号为2的起作用(2把1的结论给推翻了)。序号为1的是无效的,降低了效率。如果和同样序号的规则发生冲突,如上面的2是1,则将后一条放在排在前一条的后面。
    可以看出,不同深度的规则在配置时是没有冲突的。
          一个数据包的过滤经过如下,以图1中的索引为例,
    1) 若过来一个129.9.0.0网络的数据包,在索引中找到第二个是匹配的,该数据包将和序号为103的规则以深度优先进行比较;如果被某一个规则拒绝或者允许,则返回该结果(不再比较源地址为any的规则);如果不在103的任何一条规则之内(103属于扩展规则,还需要比较其他项,可以有这种情况出现),则和源地址为any的规则进行比较;如果还是没有规则拒绝或者允许该数据包,则返回缺省过滤结果;
    2) 若数据包来自129.8.0.0网络,在索引中找不到匹配的项,则直接和源地址为any的规则进行比较;如果没有规则拒绝或者允许该数据包,则返回缺省过滤结果;

    2.3.5 包过滤在路由器中的实现
    包过滤模块不是作为一个进程在系统中运行,而是向IP层提供了一个函数接口。该函数的参数是pMBuf及pIp等,也就是能提供数据包信息的一些参数,如源地址、目的地址、源端口、目的端口等。
    那么什么时候调用该函数?当路由器的IP层收到一个数据包时,该数据包有两个去处:路由器本身或者由路由器转发到某一个地方。对数据包进行检查应该在这两个地方进行。
    在程序中,对于到路由器本身的数据包,在交给上层协议处理之前调用包过滤提供的函数;对于路由器需要转发的数据包,在调用转发函数之前调用包过滤提供的函数。
    模块实现时的重点在于:
    ? 将用户在命令行上所敲的命令转换成自己的一个数据结构;
    ? 为数据结构建立一个索引;
    数据结构本身需要包括实现扩展访问列表的所有内容,如源、目的地址与端口,源、目的通配位等等。标准的访问列表可以采用和扩展访问列表一致的数据结构,其中某些域无意义。
    访问列表数据结构:
    typedef struct tagExtendAL
    {
    int    listnumber;          /* 访问列表序号(1-199) */
    int    permission;          /* 禁止(0)或允许(1) */
    UCHAR protocol;         /* 协议类型,如6代表tcp */
    ULONG sourceaddr;       /* 源地址,如129.102.2.21 */
    ULONG sourcemask;      /* 源地址通配位 */
    ULONG destaddr;         /* 源地址,如129.9.181.1 */
    ULONG destmask;        /* 目的地址通配位 */
    struct PortRange portnum;    /* 端口范围,如ftp(21)—www(80) */
    int    blog;               /* 是否做记录 */
    struct tagExtendAL *pNextAL; /* 指向下一个ExtendAL 数据结构 */
    } ExtendAL;     (Extended Access-List,扩展访问列表)

    标准访问列表也采用此数据结构(listnumber[1-99])。其中的destaddr、destmask、portnum、blog域在此时无意义。ExtendAL数据结构中的portnum域的类型是struct PortRange,该结构定义如下:
    struct PortRange
    {
    USHORT min;   /* 小的端口号 */
    USHORT max; /* 大的端口号 */
    };
    在PortRange结构中,当min为最大值65535时,代表的是“neq”这种情况,neq的那个值在max中。这样就能表示不连续的范围。如neq www,则min为65535,max为80,相当于表示范围 [1,79] ? [81,65535]。
    3 常用网络攻击方法
    1) IP地址伪装(IP Spoofing):攻击方发出的数据包中的源地址改成受攻击方的网络地址,向该网络发送数据包。
    2) IP抢劫(IP Hijacking、IP Splicing):攻击者中途截取一个已经连接成功的会话。这种攻击通常发生在用户身份被验证后,这样攻击者看起来是一个合法用户。对于这种攻击的最主要的防范方法是对网络层或会话层的传输的数据进行加密。
    3) Smurf:攻击方通过第三方网络介以一伪造的地址将数据包传入,大量的数据包使得网络速度迅速下降直至崩溃。这种攻击很难查出攻击者。
    4) Dumpster diving:通过搜寻公司的垃圾文件以获得口令等敏感性数据。
    5) War-dialing:通过不断快速的枚举法来获得用户帐号和口令。这是一非常古老的方法。但现在使用它的逐渐又多了起来。如对于采用密钥长度为56位的DES加密的数据,可以在一个月之内被破译(按照目前的计算速度),对于40位或48位的则只需几个小时或几天。DES是使用最广泛的加密技术。
    6) 利用操作系统缺陷:利用系统中漏洞直接对系统进行攻击。如“蠕虫”病毒是利用finger命令中的bug,令缓冲区溢出,再将控制转移到自己的程序中。还可以利用系统缺陷,绕过防火墙的检验,直接获取数据。发现系统中的缺陷,应该立即采取对策,防止对系统的进一步危害。
    7) 拒绝服务denial of service:特征是攻击者通过各种方法使合法的用户不能使用某种服务。例如:
    ? “淹没”一个网络,从而阻止合法的数据传输;
    ? 破坏两台机器见间的连接,使用户不能访问该服务;
    ? 阻止特定的个人访问某种资源;
    ? 中断到某个特定系统或个人的服务;
    一些拒绝服务攻击被称为“非对称攻击”,特点是攻击方利用有限的资源去攻击一个比较大的网络。如攻击者可能可以利用一个低速的modem,将一个大型的网络搞垮。
    拒绝服务攻击的种类有多种,以下三种是比较基本的:
    ? 消耗有限的、不可更新的资源;
    ? 毁坏或者更改配置的信息;
    ? 对于网络的物理组件的破坏或者更改;
    这里就第一种即“消耗有限的资源”做一些说明。
    计算机和网络需要有特定的资源来运行:网络带宽、内存和磁盘空间、cpu时间、数据结构、对其他网络和计算机的访问;并且还包括一些环境资源,如电、冷气甚至还有水。
    有这样一种攻击方法:攻击者建立一个到目标机器的连接,但是用某种方法阻止将此连接的最终完成;这样,在目标机器上就预留了一些用来完成连接所需的数据结构。结果一些合法的连接被拒绝了,因为目标机器正在等待完成那些已经完成一半的连接。应该注意到,这种攻击并不消耗网络带宽,它只是消耗建立连接所需的核心的数据结构。这也意味着可以从利用拨号上网来攻击一个非常快速的网络。这是一个“非对称攻击”的好例子。
    其他的方法有创建一个恶意的进程不断的生成新的进程,消耗系统资源。

    _____________________________________________________________________________

    类别:访问控制 | 编辑 <script></script> | 删除 <script></script> | 评论(0) | 浏览(34) <script></script>
     
    2009-03-17 19:26

    论题一、基于对象信息的UML程序框架自生成的研究

      一、面向对象方法学的理论基础

      二、面向对象体系结构信息管理的设计意义

      三、UML建模的图元表示及程序内部表示示例

      四、根据UML图生成面向对象程序

      五、一个UML图程序框架自生成的实际例子

      六、面向对象体系结构信息管理系统的优点

      七、结论

      此论题的问题,可以轻松地解决。而且,Rational Rose已经有相应的解决方案。一定要参考Rational Rose,但目前只有书籍介绍,和D版软件,没有序列号。

    论题二、  《对象信息管理过程的研究》

      一、介绍。

      1、介绍面向对象体系结构。

      2、面向对象软件系统的设计流程。面向对象软件系统设计的方法学。

      3、面向对象体系的建模、设计、实现过程中,涉及哪些信息的简介。

      二、面向对象系统建造各阶段的信息存储体系结构

      1、建模阶段。主要是UML图,还有模型元素。

    见Joseph Schmuller《UML基础、案例与应用》(第三版)人民邮电出版社。

    见Wendy Boggs,Michael Boggs《UML与Rational Rose 2002 从入门到精通》,电子工业出版社

      2、系统分析与模式设计。常见有23种设计模式。某博士论文所提出的。

    见任胜兵老师《软件工程》。

    见寇延?]和定海的《面向对象分析和设计》。

      3、系统实现。

    见朱海滨《面向对象技术---原理与设计》。

      4、系统测试。

      5、系统维护。

      三、面向对象信息管理的过程控制策略

      四、优化存储技术用于面向对象信息管理的例子

      五、结束语。

     

    =====================================================================

     

      要确定在某个方面如何深入。

      象

    《应用UML图保证软件质量的策略研究》、《应用UML图保证可靠性》、

    《应用UML图保证软件工程的某些特性》、《应用UML图进行流程优化的研究》。

      可在以下方面进行深化:

      分布式系统实现;自动测试生成;需求测试;

    《基于UML建模的分布式系统设计与实现》。《UML模型的自动测试生成》。

      程序框架自动生成的模型及限制;  建模与模型论;建模与过程控制;

    《UML自动生成程序框架的约束机制研究》。《基于UML建模的模型理论研究》。

      模型可视化,模型精确化,模型分解化。

    《基于UML的建模过程控制》。

      图形对应数据存储;分层图与状态集合;插入删除修改;状态的关联关系;

    《UML的图形存储体制研究》。《UML图的层次体系结构研究》。

     

      状态图涉及资源特性;状态涉及过程特性,是分步骤的,需要花时间实现的;

    《UML statechart的状态转换研究》。《基于资源分布的UML状态图研究》。

    《基于UML状态图的处理机资源分配的研究》。《基于UML状态图的存储资源分配的研究》。

      状态是按条件触发转换的;状态的转换涉及环境因素,互作用于环境;

     

      UML图应用的限制范围,适用范围;

      图同构;PETRI网;

      面向复杂的系统时,会出现怎样的情况。

    《面向对象建模的过程分析》。《UML时序图的存储与访问研究》(其它各种图:类图,用例图,包图,配置图;状态图,时序图,协作图,活动图)。

     

    论题《二》、一类通用访问控制系统的安全特性研究

      一、前言

      二、通用访问控制系统的模型及评价

      三、通用访问控制系统的安全性问题

      四、解决通用访问控制系统的安全性的途径

      五、结论

     

     

    论题《三》、类消息机制的测试研究

      一、面向对象消息机制的逻辑体系,通用的软件测试理论

      二、面向对象的测试逻辑理论

      三、对面向对象消息机制实施测试的策略

      四、一个面向对象系统例子及测试用例

      五、结论

      是模拟协议处理机制中的消息机制,还是设计多功能计时器模拟器,

    或者是模拟存储体系机制?

      或者是模拟CA认证中心,或者是进行防火墙模拟?

      或者是MCU模拟器?

      多功能计时器的模拟,MCU模拟器。

      图形退化过程控制;特定模型;复杂多因素系统;CA认证中心(网络离散数据);

      图形图像变换;FOURIER TRNASFER;LUCAS的模型;根据目标和限制的过程控制;

      模型一:解决问题FCS与INTERNET的合并(模拟);

      模型二:更抽象级别网络(层合并,层混合)作为一个或几个类;

      总结协议机制的特点、内涵(格式):交互性,及时性,可再现性,可中断性,传递性,对称性,完整性,一致性。

      协议测试自动生成;协议测试逻辑(比较宏观意义上的指令系统)。

    -----

      类消息机制有哪些?

      发出者怎么产生消息?接收者怎么响应消息?接收者怎么处理消息?消息和协议的区别?什么样的消息?消息的分类?消息的形式?VC、VB的消息实现机制?

      消息机制关于内存的利用。消息机制关于程序循环的利用。对比软中断的问题。

      消息机制对比内部协议。消息机制对比外部协议。

      

    -----

      一般要某种理论的提升,才能在核心期刊发表。考虑复杂系统、多因素的随机过程情况。如光照,如真实物体的运动,如图形退化的过程(准备引入随机过程,《过程论》)。

      或者是多因素相互作用的模型理论。要求对模型理论有提升。

      或者是《信号与系统论》。《信号与系统论》的书籍不少。

      从实际系统出发,研究《过程论》、《模型论》、《信号与系统论》,当然,还有《控制论》。

      或者,就直接研究软件测试或系统测试的《过程论》。

      或者,研究软件体系结构中的诸多问题。可从JAVA为基础的体系出发。

      要求:有精确的数学表达,精密的数学推导。

     

     

     

     

     

     

    类别:访问控制 | 编辑 <script></script> | 删除 <script></script> | 评论(0) | 浏览(83) <script></script>
     
    2009-03-17 19:25

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

    +

    +

    _

    _

    *

    *

    /

    /

    ==========================================================================

     

     

     

    论题:基于安全区域可扩展的访问控制列表更改方法的研究

    第一节 引论

    第二节 主客体资源安全区域……

    自动控制系统通常包括:控制机构,执行机构,修正反馈机构,采样输入、输出机构,变送放大机构。

    l       BOOL逻辑简练,通过硬件和芯片软硬件的支持,由此平台却经常可见搭建起的繁复的数字逻辑系统。用于数字信号控制。

    l       一阶谓词逻辑有:量词,变元,谓词。

    l       模糊逻辑:模糊逻辑公式,命题,化简,分析合成,模糊语言,模糊推理,模糊控制……刘普寅教授,吴孟达教授《模糊理论及其应用》的第六章-----“模糊逻辑系统

    ?《数理逻辑》有王兵山教授的一本,和《数理逻辑与集合论》清华大学出版社,后者相对容易看些。

    l       命题逻辑比较简单。

    模态逻辑用于计算机没有经验,有不确定性,在逻辑学中本身是很宽泛的理论。

    l       陈书开教授《多值逻辑电路与神经网络和模糊计算机》、《十字逻辑电路与十值数字模糊计算机》国防工业出版社,电路的目的是处理输入输出,也可看作计算,更可看作控制。多值逻辑和二值的BOOL逻辑,肯定有可比性。

    想来从电路级就会不同。

    l       罗铸楷教授的《多值逻辑理论及应用研究------罗铸楷教授文集》,比较难看,还没有细看,需要数学的前导。现在连需要哪些前导数学知识都不知道。

    ……此分支题目第一要对资源如何设置安全区域(冯登国博士语)进行保护,也就是主客体资源和安全区域的关系,以及如何使用安全区域知识进行保护。资源与区域,资源与CONTEXT(上下文环境中的环境),是经常被联系的。区域既可看作图(PETRI网,动态),也可看作 集合及包含的运算。 ……此分支题目第二要对安全区域的可扩展,也就是安全区域的动态性进行分析。因为主体经常要增添访问新的资源,不再访问旧的资源。

    +

    +

    第三节 访问控制系统的并发操作原语研究

    +

    ……参考:TANENBAUM《计算机网络》第三版,冯登国《计算机通信网络安全》,尹俊文,周鹏《分布式操作系统》,JAMES D MCCABE《网络分析、体系结构与设计》,陈明《网络协议教程》,形式语言与自动机,清华和中译的两本,《程序设计语言的形式语义》,面向对象,钱能,朱海滨,宛延?]和定海的三本书

    王育民教授的《通信网的安全?D?D理论与技术》有较大的篇幅介绍密码协议。其中的密码协议分成很多种。

    有的可能方便安全性证明。

    -

    -

    第四节 ACL的结构描述、使用及更改

    -

    ……面向对象,钱能,朱海滨,宛延?]和定海的三本书

    -

    -

    第五节 结论

    *

    ……使用ACL的形式化描述。集合理论,集合运算。

    ……使用ACL的图示。及使用ACL的访问控制系统结构。

    ……结合并发访问。

    ……ACL的典型数据结构。

    *

    *

    *

    写论文有这种感觉,第一定题目,第二定参考书。这两样定了,写起来就不会没有思路,或者相反

    绪纷繁。更难一点的,对某个领域定研究计划。

    而思路是流动的,不是凝固的。领域的范围,正象我于7个月间写了近30万字的技术和研究博客,不妨宽泛一些,不要限制自己。所以,我下了6000多篇的信息安全论文,却只在需要佐证时,才去看。当然,有人从中去找题目的除外。但另一方面,己发表的论文常常只研究某个小点而已。

    网络在线写论文,感兴趣的领导和同事、网友随时可以加入……QQ:2361-7522。

    RUN……

    *

    *

    分支论题:PETRI网在访问控制系统资源安全区域变迁过程中的应用研究

    分支论题:访问控制安全区域变更控制逻辑的研究,正在写作……

    *

    *

    分支论题:访问控制系统资源控制安全性的研究。

    论题可以是针对DOLEV-YAO威胁模型,和安全的机密性、可用性、完整性的,此三性无明确的定义,比较难以确定恰恰安全的内容。

    *

    *

    分支论题:访问控制系统的并发操作原语研究,正写作中……

    分支论题:访问控制系统安全通信的实现机制,正写作中……

    *

    *

    分支论题:扩展UML图用于访问控制加密协议的研究

    分支论题:扩展UML图自生成访问控制加密协议处理机的研究

    分支论题:访问控制安全协议的设计策略

    ……安全协议:访问控制显然有第三方,可用一种简化的PKI机制。

    +

    +

    访问控制系统安全通信的实现机制

    尽量可形式化的证明。

    一、引言介绍简单的访问控制系统通用模型。描述访问控制系统中通信安全的必要性。

    二、网络通信安全的要素及证明

    1、IP地址与端口

    2、协议处理机

    3、协议安全性证明的理论的形式和内容

    三、安全通信实现机制研究的理论

    四、一个具体的实现例子

    选择例子很重要。

    五、结论

    实现过程中,理论一般会有较大的提升,和升华。但搭建环境比较费事。也是一种放松的机会。

    用于访问控制安全区域扩展的控制逻辑的研究

     

     

     

    类别:访问控制 | 编辑 <script></script> | 删除 <script></script> | 评论(0) | 浏览(28) <script></script>
     
    2009-03-17 19:23

    一、    访问控制体系的组成有:

        1、发起者,或称主体。

        2、客体,或称目标。

    是被访问的资源的另外一种称呼。

    量化问题,例如,对客体资源进行标识,便于对访问目的是否达到进行确认。

    分集合、分层次地进行ID化的标识。

    对客体资源的访问,应该包含解析文件结构的访问方式。

    主体发起者,有不同优先级别的访问权限。

    缓冲区问题:资源看成文件流缓冲,还是比特流缓冲?

    共享机制问题:同一个客体资源目标的访问,将此目标资源放置到可加速访问的物理区域。

        3、访问控制机制。

    一般而言,就是实现ACL访问控制列表的机制。

    访问控制机制的分布式实现。当资源是分布时。

        4、访问控制需求目标和成功与否的评价。

    要掌握目标资源的ID信息。

        5、访问控制所依赖的网络结构的各种因素。

        6、权限矩阵。

        7、访问控制机制系统实现的一个状态的截取。

        由上述元素组成的集合。

        8、模型建立及系统实现。

    _____________________________________________________

    二、访问控制系统的测试平台:

    1、C/S模型。适用的。

    2、B/S模型。适用的。

    3、考虑对文件中记录的多种访问控制。

    主机级别的,多目录级别的,目录级别的,文件集合级别的,文件级别的,记录组级别的,记录级别的,属性级别的。

    通常的DBMS系统,安全性处理只有加密,认证,和简单的GRANT,REVOKE?等机制,还有可靠性措施。而且是面向数据库表文件的。

    如果是采用特殊设计的安全性处理的文件和记录处理系统,通过前台的界面才能访问,……

    _____________________________________________________

    三、访问控制在OSI的哪层上实现

    _____________________________________________________

    四、客体资源的逻辑特性和物理特性的映射

    _____________________________________________________

    五、主客体和信息传输通道的联合体特性

    @:主体必须能够接收从客体获取的资源。

    @:相当于有一个平均性能的传输通道,结合于访问控制系统。这样,就必须考虑应用层以下的几层的问题,以保证访问控制系统的功能和性能目标的达到。

    六、影响访问控制系统的效率因素

    1、CACHE机制。将经常访问的数据资源存放在高速的存储器中。

    2、资源的数据标识。

    3、INDEX机制和 适用于访问控制机制的算法。

    @:大部分时间访问控制系统是空闲的,但存在并发的时候。

    访问控制机制的并发模型。

     

    @:任务在主体端和客体端的分布

    类别:访问控制 | 编辑 <script></script> | 删除 <script></script> | 评论(0) | 浏览(19) <script></script>
     
    <script></script>
         
     
     
    文章分类
     
         
     
    文章存档
     
    <script></script>
     
    <script></script>
     
    <script></script>
     
    <script></script>
     
    <script></script>
     
    <script></script>
     
    <script></script>
     
    <script></script>
     
    <script></script>
     
         
     
    最新文章评论
       
    <script></script>
         
    <script></script> <script src="/ftai/brwstat?key1=6&key2=f050af77bacfb51bb151b9df_57f72e349fc529335ab5f520_4dc69b161ba78559f2de3227_adae8dd4da41ad09a08bb727_6819b14516f5a82ecefca326_80e65db567b13fc637d3ca25_b027848bae4582dbfc1f1024_"></script> <script></script>

    ©2009 Baidu

    <script></script> <script src="http://msg.baidu.com/ms?ct=18&cm=3&tn=bmSelfUsrStat&mpn=13227114&un=ftai08"></script> <script></script> <script></script>

    展开全文
  • 自主访问控制和强制访问控制

    万次阅读 2015-10-28 19:35:19
    一提到自主访问控制,人们想到的是基于属主、属组的读写执行的访问控制体系。 一提到强制访问控制,人们想到的是Selinux,基于Se的策略控制主体对客体的访问。 自主访问控制、强制访问控制,是一种安全策略,...

    在Linux操作系统:

    一提到自主访问控制,人们想到的是基于属主、属组的读写执行的访问控制体系。

    一提到强制访问控制,人们想到的是Selinux,基于Se的策略控制主体对客体的访问。


    自主访问控制、强制访问控制,是一种安全策略,不能将其与具体的安全实现划等号。即使我们使用基于属主、属组的安全机制,也同样能够实现强制访问控制。


    什么是自主访问控制、强制访问控制?

    自主访问控制:

    由客体的属主对自己的客体进行管理,由属主自己决定是否将自己的客体访问权或部分访问权授予其他主体,这种控制方式是自主的。也就是说,在自主访问控制下,用户可以按自己的意愿,有选择地与其他用户共享他的文件。
    自主访问控制是保护系统资源不被非法访问的一种有效手段。但是这种控制是自主的,即它是以保护用户的个人资源的安全为目标并以个人的意志为转移的。
    自主访问控制是一种比较宽松的访问控制,一个主题的访问权限具有传递性。

    其强调的是自主,自己来决定访问策略,其安全风险也来自自主

    强制访问控制:

    用户的权限和客体的安全属性都是系统管理员人为设置,或由操作系统自动地按照严格的安全策略与规则进行设置,用户和他们的进程不能修改这些属性。

    其强调是强制,由系统来决定。

    不能说强制访问控制相比较而言,漏洞会更少一些,就使用强制访问控制替换自主访问控制。

    其原因在于,这两种安全策略适用的是不同的场合。

    有些安全策略,只有用户知道,系统是无法知道的,那么适合自主访问控制。

    有些安全策略,系统是已知的,是固定的,不受用户影响的,那么适合强制访问控制。


    因此自主访问控制和强制访问控制的差别,不在于安全强度,而在于适用的场合不同。

    展开全文
  • 强制访问控制

    千次阅读 2019-08-05 16:24:59
    访问控制安全机制及相关模型(包括:强制访问控制和自主访问控制) 重点理解:强制访问控制模型 访问控制的两个重要过程 1.鉴别:检验主题的合法身份 2.授权:显示用户对资源的访问级别 访问控制分类: 强制...

     

    访问控制安全机制及相关模型(包括:强制访问控制和自主访问控制)

     

     

    重点理解:强制访问控制模型

    访问控制的两个重要过程
    1.鉴别:检验主题的合法身份
    2.授权:显示用户对资源的访问级别

    访问控制分类:
    强制访问控制
    自助访问控制


    强制访问控制(MAC):
    用来保护系统确定的对象,对此对象用户不能进行更改。也就是说,系统独立于用户行为强制执行访问控制,用户不能改变他们的安全级别或对象的安全属性。这样的访问控制规则通常对数据和用户按照安全等级划分标签,访问控制机制通过比较安全标签来确定的授予还是拒绝用户对资源的访问。强制访问控制进行了很强的等级划分,所以经常用于军事用途。


    1.主体 (用户, 进程) 被分配一个安全等级
    2.客体 (文件, 数据) 也被分配一个安全等级
    3.访问控制执行时对主体和客体的安全级别进行比较


    BLP 保密模型基于两种规则来保障数据的机秘度与敏感度:

        上读(NRU) , 主体不可读安全级别高于它的数据
        下写(NWD) , 主体不可写安全级别低于它的数据

     

    https://blog.csdn.net/ajian005/article/details/8490082

    展开全文
  • 访问控制相关知识简介及其实现思路分析。

    前言

    上篇文章「Vue + Spring Boot 项目实战(十一):用户角色权限管理模块设计」被推荐了,emmmmm,果然这种画大饼的文章容易被翻牌子,然鹅我都没敢把它当一个新的系列,就是怕被催更。好在一个中午过后我就凉了,又混了一周,现在又为了排名被迫营业啦。

    这两天做了一件挺有意思的事,规划了下未来 5 年的理财方案,这 5 年应该是比较重要的,涉及到结婚、买房、买车、子女养育等一系列问题。相比同龄人,我和女朋友应该算是比较早着手计划这些事的,过去两年是一个探索,接下来心里就比较有底了。可以跟大家透露一下,我们现在的小目标是攒够首付在深圳上车,基本不需要什么努力。我的另一个小目标是 5 年内年入百万,这个嘛,大家一起见证吧。我只是一个普通人,现在的信仰就是大力出奇迹,如果我实现了这个小目标,希望能给大家一些正面的激励,不要觉得生活没有希望,敢想敢做敢坚持,干就完事了。

    好了,进入正题。这篇文章的目的,主要是在正式开发之前做一个铺垫,把功能实现的逻辑讲清,让大家有一个基本的思路。

    一、基础知识

    1.关于 RBAC

    “用户-角色-权限”管理是 “访问控制” 的一种实现方式,更为专业的叫法为 RBAC(Role-Based Access Control),即基于角色的权限访问控制。不少地方提到RBAC 具有三个特性,或者说支持三个原则:最小权限原则,责任分离原则和数据抽象原则,这玩意儿就是骚话,没什么实际意义,有兴趣的自行百度(如果有面试的问这种问题,只能说明他是个瓜皮)。

    我觉得关于 RBAC,最重要的是理解为什么要在用户和权限之间加上角色这一层,而不是直接把权限赋给用户。这个问题一点也不难,考虑需要修改用户权限的情形,给一两个用户设置权限没什么问题,但如果有成千上万个用户需要同时获取或去除同一个权限,那可费老劲了,但通过角色来完成这个工作就十分便捷。这实际上也是一种 “解耦” 的思路。

    目前对于访问权限的控制几乎全部采用这种方式,差异在于能实现到什么程度。上篇文章提到过权限的三种粒度:菜单权限、操作/功能权限、数据权限。此外还有一些额外的功能,比如互斥性检验(一个角色不能同时拥有两种互斥的权限)、角色继承(新建角色时继承某一角色的权限)等。

    2.Shiro简介

    Java Web 可以选用的安全框架主要有两种:Spring SecurityShiro

    原本我是想用 Spring Security 的,但为了多保住几根头发,选择了讲起来比较容易的 Shiro。总体来说前者功能更全面一些,但 Shiro 也完全够用了。

    Shiro 是一个强大且易用的 Java 安全框架,可以用来实现身份验证(authentication)、授权(authorization)、加密(cryptography)和会话管理(session managment),下面是号称简单易学的官方文档:

    http://shiro.apache.org/documentation.html

    利用 Shiro ,我们可以更轻松地实现权限控制功能,同时为我们的项目构建完整的安全体系。在我更新之前,大家可以参照下面这个实践教程做一下预热:

    「How2J.CN - Shiro 教程」

    二、实现思路

    1.菜单权限

    对菜单的权限控制是最常见的。

    在后台管理中,这个菜单通常表现为一个单独的页面,拥有自己的 URL 或路由。拿我们的项目举例,假如我想控制用户对不同页面的访问,应该怎么做呢?

    思路如下:

    • 使用 “全局前置守卫”(router.beforeEach),在导航触发时向后端发送一个包含用户信息的请求
    • 后端查询数据库中该用户可以访问的菜单(也就是 vue 的路由信息)并返回
    • 前端把接收到的数据添加到路由里,并根据新的路由表动态渲染出导航栏,使不同用户登录后看到不同的菜单。同时,由于路由表也是按需加载的,所以用户也无法通过 URL 访问没有权限的页面

    演示效果如下:

    (系统管理员登录时加载所有导航)
    系统管理员登录时加载所有导航
    (普通用户登录时不加载用户管理模块)
    普通用户登录时不加载用户管理模块
    这是前后端分离的思路,传统项目实现起来更为简单:

    • 利用过滤器,如果用户有权限则返回需要访问的页面,没有则返回未授权页面
    • 菜单的动态渲染利用模板的常规功能即可实现,与 Vue 类似

    2.功能权限

    所谓功能,反映在前端就是一个组件,比如按钮或图表,在后端就是一个接口。其实现逻辑与对菜单的控制类似,只是触发的时机不同。

    思路一: 按权限加载组件。即在渲染页面前向后端发送请求,获取有权限使用的组件并动态渲染,并在需要调用后端接口时进行判断,防止用户通过自行构造请求的方式绕过限制

    思路二: 不管三七二十一前端组件全部加载出来,但需要调用后端接口时进行判断,如果无权限则弹出相应提示。这种适合对按钮的控制,图表直接不加载数据就显得不是很友好

    演示效果如下:

    (拥有权限的用户可正常使用添加角色功能)
    拥有权限的用户可正常使用添加角色功能
    (无权限的用户点击按钮会弹出提示)
    在这里插入图片描述
    哈哈,我之前做的就是图省事的版本,为了讲解我就把第一种思路也实现一下吧。不过在实际开发中要本着够用就行的原则,能用简单的方法实现功能当然要选简单的。

    3.数据权限

    之前提到过,数据权限也有两个层次,一是对可访问性的控制,二是对数据量的控制。

    可访问性可以针对表、字段或满足某些条件的数据。针对表、字段的控制,主要依靠在业务逻辑执行前进行判断,比如在调用对收支信息表的查询前判断当前用户是否具有财务权限。而访问特定数据,可以直接通过 SQL 语句(WHERE 条件)来实现,比如当前用户只能查询出自身拥有的书籍,就可以通过类似 SELECT * FROM book WHERE uid = #{uid} 的语句来实现。

    对数据量的控制比较五花八门,常见的比如一天内普通用户只能访问 2000 条数据(公众号好像就有这个限制),可以通过引入计数机制来实现,调用接口或执行业务逻辑时先进行判断,同时限制本次查询的最大数量。此外,还有需要对一次的访问量进行控制、对某段时间能够处理的数据量进行控制等应用场景等等,不再赘述。

    下一步

    这个,众所周知,祖国母亲马上生日了,为了给她庆生,我得回一趟老家,所以下周恐怕要销声匿迹了。好在我本来也没活跃过,所以大家可能感觉不到。祝各位老铁生活愉快哈~

    查看系列文章目录:
    https://learner.blog.csdn.net/article/details/88925013

    上一篇:Vue + Spring Boot 项目实战(十一):用户角色权限管理模块设计

    下一篇:Vue + Spring Boot 项目实战(十三):使用 Shiro 实现用户信息加密与登录认证

    展开全文
  • 访问控制策略

    千次阅读 2017-11-07 13:24:00
    在企业的信息安全策略中,访问控制策略起着非常重要的作用。信息安全中的访问控制是一种保证信息资源不被非授权使用的管理方法,而访问控制策略中定义了如何对访问信息的行为进行验证、授权和记录。在这篇文章中介绍...
  • 自主访问控制

    千次阅读 2016-08-06 14:00:09
    自主访问控制是根据自主访问控制策略建立的一种模型,允许合法用户以用户或用户组的身份访问策略规定的客体,同时组织非授权用户访问客体,某些用户还可以把自己拥有的客体的访问权限授予其他用户 自主访问控制又被...
  • 第一章 访问控制的概念  访问控制分类  网络访问控制  主机/操作系统访问控制  应用程序访问控制  加密方式在访问控制系统中的应用 第二章 强制访问控制与自主访问控制  强制访问控制(MAC)  ...
  • 失效的访问控制

    千次阅读 2018-08-16 11:25:05
    失效的访问控制 出现的问题 文件包含/目录遍历 权限绕过(越权) 权限提升(提权) 不安全直接对象的引用 访问控制的(防御)思路 基于角色的访问控制(RBAC) 自由访问控制(DAC) 强访问控制(MAC) 基于权限的...
  • 华为 ACL访问控制列表 (高级ACL为例)

    千次阅读 多人点赞 2020-09-12 16:02:12
    Access Control List访问控制列表–ACL ACL是由一个或多个用于报文过滤的规则组成的规则集合,通过在不同功能上的应用课达到不同的应用效果。 路由器和交换机接口的指令列表,用来控制端口进出的数据包,配合各种...
  • 数据库的访问控制

    千次阅读 2019-11-27 21:49:51
    访问控制概述 基本任务 防止非法用户进入系统及合法用户对系统资源的非法使用,它保证主体对客体的所有直接访问都是经过授权的。通俗说访问控制机制就是决定用户及代表一定用户利益的程序能做什么。 安全访问控制...
  • 这里只对基于角色的访问控制与基于资源的访问控制做一个思想上的认识 一、说明  基于角色的权限访问控制RBAC(role-based access control)是以角色为中心进行的访问控制,也就是判断主体subject是那个角色的...
  • C++ 类访问控制

    千次阅读 2017-04-02 22:54:09
    最近在使用C++创建类的时候,忽然发现自己对于类访问控制 public,protected,private 的作用没有理解透彻,后来就查了些资料,这里以作记录。访问控制C++类的重要属性就是封装和继承。因此,最关键的问题就是权限 ...
  • 形成理论的权限控制模型有:自主访问控制(DAC: Discretionary Access Control)、强制访问控制(MAC: Mandatory Access Control)、基于属性的权限验证(ABAC: Attribute-Based Access Control)等。最常被开发者...
  • Linux 网络访问控制

    千次阅读 2017-05-16 10:35:43
    网络访问控制
  • 标准访问控制列表 : 根据数据包的源IP地址来允许或拒绝数据包。 访问控制列表号是1-99以及1300~1999。 扩展访问控制列表: 根据数据包的源IP地址、目的IP地址、指定协议、端口和标志来允许或拒绝数据包。 访问控制...
  • Web访问控制

    千次阅读 2017-07-13 16:14:30
    最近某婚介公司的实习生赵大胖的领导姚无发给赵大胖安排了一个任务:给网站加上访问控制,游客不能访问看到美女的资料,只有注册的会员才能浏览。赵大胖一时没有很好的思路,然后找到了研发组大佬老郑头。老郑头毕竟...
  • 数据安全-访问控制

    千次阅读 2018-10-17 16:14:44
    数据安全-访问控制访问控制的应用场景访问控制的概念访问控制的三要素访问控制与身份认证的关系访问控制的类型自主访问控制强制访问控制常用安全模型-BLP安全模型(Bell-Lapadula security model)安全模型-BLP安全...
  • 网络安全——接入控制和访问控制

    千次阅读 2018-11-24 20:47:25
    接入控制只允许授权接入网络的用户所使用的终端接入网络,访问控制只允许每一个用户访问授权该用户访问的网络资源。接入控制的核心的身份鉴别,访问控制的核心是身份鉴别和授权。
  • ZOOKEEPER之访问控制ACL

    千次阅读 2020-08-29 17:07:07
    ACL访问控制列表 1 为什么要用ACL zk做为分布式架构中的重要中间件,通常会在上面以节点的方式存储一些关键信息,默认情况下,所有应用都可以读写任何节点,在复杂的应用中,这不太安全,ZK通过ACL机制来解决访问...
  • Java访问控制权限

    千次阅读 2016-05-06 17:57:11
    在Java中一共存在四种访问控制权限,即 private、default(默认)、protected和public 1、private 访问权限 private属于私有访问权限,可以用在属性的定义、方法的声明上,一旦使用了private关键字声明,则只能在...
  • 路由器:访问控制列表

    千次阅读 热门讨论 2018-05-27 21:21:04
    出现了访问控制访问控制是网络安全防范和保护的主要策略, 主要任务是保证网络资源不被非法使用和访问 它是保证网络安全最重要的核心策略之一 访问控制涉及的技术:包括入网访问控制、网络权限控制、目录级控制...
  • ensp ACL访问控制列表配置

    千次阅读 2020-09-25 23:55:09
    访问控制列表(ACL)是一种基于包过滤的访问控制技术,它可以根据设定的条件对接口上的数据包进行过滤,允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机,借助于访问控制列表,可以有效地控制用户对...
  • Java访问控制

    万次阅读 2018-01-05 14:21:58
    Java提供了4种访问控制符,主要用于控制其他类是否可以访问某一类中的属性或方法,从而实现数据封装。四种访问控制符的权限大小(由大到小)为public(公共)、protected(保护)、default(默认)、 private(私有)。 ...
  • 类的访问控制

    千次阅读 2018-09-24 22:22:15
    **访问控制符**: 1. public 2. protect 3. 默认 4. private 访问控制符主要针对外部访问而言,在一个类的内部所有成员之间可以相互访问,访问控制符是透明的。 类的访问控制符: 1. public 2. 默认 变量和...
  • ACL访问控制理论+实操详解

    千次阅读 多人点赞 2020-07-29 15:25:06
    文章目录ACL访问控制理论加实操详解前言1.1:访问控制列表1.2:访问控制列表的类型1.3:访问控制列表在接口应用的方向1.4:访问控制列表的处理过程1.5:ACL原理:二:实验拓扑2.1:配置SW12.2:配置路由器R12.3:...
  • APACHE的访问控制

    千次阅读 2018-07-29 15:49:11
    APACHE的访问控制  Apache可以基于源主机名、源IP地址或源主机上的浏览器特征等信息对网站上的资源进行访问控制。它通过Allow指令允许某个主机访问服务器上的网站资源,通过Deny指令实现禁止访问。在允许或禁止...
  • 访问控制技术基础

    千次阅读 2016-08-06 13:58:10
    1. 在计算机系统中,认证、访问控制和审计共同建立了保障系统安全的基础。认证是用户进入系统的第一道防线。访问控制是在鉴别用户的合法身份之后,控制用户对数据信息的访问,它是通过引用监控器来试试这种访问控制...
  • 访问控制列表 ACL

    千次阅读 2017-10-17 11:31:00
    访问控制列表(Access Control List,ACL) 是路由器和交换机接口的指令列表,用来控制端口进出的数据包。其目的是为了对某种访问进行控制。 作用  ACL可以限制网络流量、提高网络性能。例如,ACL可以根据...
  • 访问控制第二层级:利用 Shiro 过滤器实现功能访问控制

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 137,107
精华内容 54,842
关键字:

访问控制