需求：网络用户可以基于最初访问网络时的一次身份验证，对所有被授权的网络资源进行无缝的访问。从而提高网络用户的工作效率，降低网络操作的费用，并且是在不降低网络的安全性和操作的简便性的基础上实现的。

把认证功能和帐号管理功能集成起来为不同域的登录提供一致的界面有如下好处： ? 减少了用户在不同子域中登录操作的时间； ? 用户可以不必记住一大堆认证的信息；

? 减少了管理员增加和删除用户帐号的操作时间以及降低修改用户的权限的复杂度； ? 管理员容易禁止或删除用户对所有域的访问权限而不破坏一致性。

17. 比较Single Sign on技术和传统系统中的跨域操作的不同，以及SSO技术的实现原理。

用户在传统系统中的跨域操作：分布式系统是由独立的子域组成的，这些子域往往由不同的OS和不同的应用程序组成的。在每个子域里的操作可以保证较高的安全性。

终端用户想要登录到一个子域中去，他必须对每一个子域单独出示能证明自己有效身份的证书。（比如先登录主域，再登录其他子域）在SSO中，系统首先需要收集到所有有关用户证书的信息，以便支持用户在未来的某个时候可以在任何一个潜在的子域中的认证。终端用户在登录主域时所提供的信息有可能在以下这几个方面被用来作为用户在子域登录和操作的依据：

? 在主域中提供的信息被直接用于登录子域；

? 在主域中提供的信息被用来获取另一套认证信息，这套信息存储在数据库中，用来登录 子域；

? 在登录主域同时，立即与子域联系，建立对话，这意味着与子域中应用程序的联系在主 域操作的同时就已经建立。——提供简洁统一的界面

18.了解Windows NT安全子系统的各个组成部分。

Windows NT的安全子系统主要由本地安全授权LSA、安全帐户管理SAM和安全参考监视器SRM等组成。

（1）本地安全授权部分提供了许多服务程序，保障用户获得存取系统的许可权。它产生令

牌、执行本地安全管理、提供交互式登录认证服务、控制安全审查策略和由SRM产生 的审查记录信息。

（2）安全帐户管理部分保存安全帐户数据库，该数据库包含所有组和用户的信息。SAM

提供用户登录认证，负责对用户在Welcome对话框中输入的信息与SAM数据库中的 信息对比，并为用户输入一个安全标识符（SID）。

（3）安全参考监视器负责访问控制和审查策略，由LSA支持。SRM提供客体（文件、目

录等）的存取权限，检查主体（用户帐户等）的权限，产生必要的审查信息。客体的 安全属性由安全控制项ACE来描述，全部客体的ACE组成访问控制表ACL，没有 ACL的客体意味着任何主体都可访问。而有ACL的客体则由SRM检查其中的每一项 ACE，从而决定主体的访问是否允许。

（4）Windows NT有一个安全登录序列，用以防止不可信应用窃取用户名和口令序列，并

有用户帐号和口令等管理能力。

（5）为了登录Windows NT（包括通过网络登录），每一用户必须首先进行域以及用户名识

别。每一域以及用户名唯一地标识了一个用户，在系统内部，使用SID表示。每个SID 是唯一的，不能被重用，也不能重新赋给其他任何用户。

（6）口令存储在SAM数据库中并由DAC机制保护，以防止非法访问。

25

（7）当登录时LSA保护服务器使用SAM数据库中有关的信息，与口令进行对照鉴别，确

认只有被授权的用户可访问被保护的系统资源。

26

第十三章 授权与访问控制

一、选择题

1. 访问控制是指确定（A）以及实施访问权限的过程。

A. 用户权限 B. 可给予哪些主体访问权利 C. 可被用户访问的资源 D. 系统是否遭受入侵 2. 下列对访问控制影响不大的是（D）。 A. 主体身份 B. 客体身份

C. 访问类型 D. 主体与客体的类型

3. 为了简化管理，通常对访问者（A），以避免访问控制表过于庞大。 A. 分类组织成组 B. 严格限制数量 C. 按访问时间排序，删除长期没有访问的用户 D. 不作任何限制

二、填空题

1． 访问控制 的目的是为了限制访问主体对访问客体的访问权限。

三、问答题

1. 解释访问控制的基本概念。

访问控制是建立在身份认证基础上的，通过限制对关键资源的访问，防止非法用户的侵入或因为合法用户的不慎操作而造成的破坏。

访问控制的目的：限制主体对访问客体的访问权限（安全访问策略），从而使计算机系统在合法范围内使用。

2. 访问控制有几种常用的实现方法？它们各有什么特点？

1 访问控制矩阵

行表示客体（各种资源），列表示主体（通常为用户），行和列的交叉点表示某个主体对某个客体的访问权限。通常一个文件的Own权限表示可以授予（Authorize）或撤消（Revoke）其他用户对该文件的访问控制权限。 2 访问能力表

实际的系统中虽然可能有很多的主体与客体，但两者之间的权限关系可能并不多。为了减轻系统的开销与浪费，我们可以从主体（行）出发，表达矩阵某一行的信息，这就是访问能力表（Capabilities）。

只有当一个主体对某个客体拥有访问的能力时，它才能访问这个客体。但是要从访问能力表获得对某一特定客体有特定权限的所有主体就比较困难。在一个安全系统中，正是客体本身需要得到可靠的保护，访问控制服务也应该能够控制可访问某一客体的主体集合，于是出现了以客体为出发点的实现方式——ACL。 3 访问控制表

也可以从客体（列）出发，表达矩阵某一列的信息，这就是访问控制表（Access Control List）。它可以对某一特定资源指定任意一个用户的访问权限，还可以将有相同权限的用户分组，并授予组的访问权。

27

4 授权关系表

授权关系表（Authorization Relations）的每一行表示了主体和客体的一个授权关系。对表按客体进行排序，可以得到访问控制表的优势；对表按主体进行排序，可以得到访问能力表的优势。适合采用关系数据库来实现。

3. 访问控制表ACL有什么优缺点？

ACL的优点：表述直观、易于理解，比较容易查出对某一特定资源拥有访问权限的所有用户，有效地实施授权管理。

ACL应用到规模大的企业内部网时，有问题：

（1）网络资源很多，ACL需要设定大量的表项，而且修改起来比较困难，实现整个组织

范围内一致的控制政策也比较困难。

（2）单纯使用ACL，不易实现最小权限原则及复杂的安全政策。

4. 有哪几种访问控制策略？

三种不同的访问控制策略：自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC），前两种属于传统的访问控制策略，而RBAC是90年代后期出现的，有很大的优势，所以发展很快。 每种策略并非是绝对互斥的，我们可以把几种策略综合起来应用从而获得更好、更安全的系统保护——多重的访问控制策略。

5. 什么是自主访问控制DAC策略？它的安全性如何？

在目前计算机系统中实现最多，一个拥有一定访问权限的主体可以直接或间接地将权限传给其他主体，即允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及可执行的访问类型。如Windows、UNIX系统。

主体访问者对访问的控制有一定的权利，但它使得信息在移动过程中其访问权限关系会被改变，这样做很容易产生安全漏洞，所以DAC的安全级别很低。

传统的DAC已很难满足访问控制服务的质量：不利于实现统一的全局访问控制；由管理部门统一实施访问控制，不允许用户自主地处理。

6. 什么是强制访问控制MAC策略？它的适用场合是什么？

系统强制主体服从访问控制政策。MAC主要用于多层次安全级别的军事应用当中，它预先定义主体的可信任级别和客体的敏感程度，用户的访问必须遵守安全政策划分的安全级别的设定以及有关访问权限的设定。

7. MAC的访问控制关系可以分为哪两种？各有什么含义？

在典型应用中，MAC的访问控制关系可以分为两种：利用下读/上写来保证数据的机密性以及利用上读/下写来保证数据完整性。它们都是通过梯度安全标签实现信息的单向流通。

所谓下读，指低信任级别的用户只能读比它信任级别更低的敏感信息；所谓上写，指只允许将敏感信息写入更高敏感度区域。此时信息流只能从低级别流向高级别，可以保证数据的机密性。（Bell-Lapadula模型）

8. 为什么MAC能阻止特洛伊木马？

MAC能够阻止特洛伊木马。一个特洛伊木马是在一个执行某些合法功能的程序中隐藏的代码，它利用运行此程序的主体的权限违反安全策略，通过伪装成有用的程序在进程中泄露信息。

28