自主訪問控制研究

孫俊麗

摘 ? ?要： 本文介紹了自主訪問控制的概念，具體分析了兩種實現(xiàn)機(jī)制，基于行的實現(xiàn)機(jī)制和基于列的實現(xiàn)機(jī)制，總結(jié)了自主訪問控制的特點，最后列出了自主訪問控制的局限性。

關(guān)鍵詞： 自主訪問控制 ? ?實現(xiàn)機(jī)制 ? ?特點 ? ?局限性

1.自主訪問控制的概念

自主訪問控制（Discretionary Access Control，DAC）是由客體資源的屬主對自己的客體資源進(jìn)行管理，由屬主自己決定是否將自己的客體資源訪問權(quán)或部分訪問權(quán)授予其他主體，這種控制方式是自主的。也就是說，在自主訪問控制下，用戶可以按自己的意愿，有選擇地與其他用戶共享他的文件。

2. DAC的實現(xiàn)機(jī)制

在DAC中，把訪問規(guī)則存儲在訪問控制矩陣中。訪問控制矩陣是實現(xiàn)DAC策略的基本數(shù)據(jù)結(jié)構(gòu)，矩陣的每一行代表一個主體，每一列代表一個客體，某個主體對某個客體的訪問權(quán)限由矩陣中的每個元素表示。通過檢查這個訪問控制矩陣可以了解用戶對任何客體的訪問請求，如果矩陣中主體和客體的交叉點上有訪問類型，那么訪問就被允許，否則就被拒絕。

2.1基于行的DAC

這種機(jī)制是把每個主體對所在行上的有關(guān)客體（即非空矩陣元素所對應(yīng)的那些客體）的訪問控制信息以表的形式附加給主體，根據(jù)表中的內(nèi)容不同又分為不同的具體實現(xiàn)機(jī)制。

2.1.1權(quán)限表機(jī)制

權(quán)限表中存放著主體可以訪問的每個客體的權(quán)限（如讀、寫、執(zhí)行等），主體只能按賦予的權(quán)限訪問客體。程序中可以包含權(quán)限，權(quán)限也可以存儲在數(shù)據(jù)文件中，為了防止權(quán)利信息被非法修改，可以采用硬件、軟件和加密措施。因為允許主體把自己的權(quán)利轉(zhuǎn)給其他進(jìn)程，或從其他進(jìn)程收回訪問權(quán)，權(quán)限表機(jī)制是動態(tài)的，所以對一個程序而言，最好把該程序所需要訪問的客體限制在最小范圍內(nèi)。

2.1.2口令機(jī)制

每個客體都有一個相應(yīng)的口令。當(dāng)主體對一個客體發(fā)出訪問請求時，必須把該客體的口令提供給系統(tǒng)。口令不像權(quán)利那樣是動態(tài)的，由于大多數(shù)實現(xiàn)自主訪問控制的系統(tǒng)利用口令機(jī)制時僅允許把一個口令分配給每個客體或每個客體的每種訪問模式。

2.1.3前綴表

前綴表中包含主體可訪問的每個客體的名字及主體對它的訪問權(quán)限。當(dāng)某個主體要訪問某個客體時，訪問控制機(jī)制將檢查該主體的前綴中是否具有它所請求的訪問權(quán)。前綴表機(jī)制的實現(xiàn)存在以下困難：主體的前綴表可能很大，增加了系統(tǒng)管理的困難;只能由系統(tǒng)管理員進(jìn)行修改，管理復(fù)雜;撤銷與刪除困難，系統(tǒng)難以決定誰對某一客體具有訪問權(quán)。

2.2基于列的DAC

所謂基于列的自主訪問控制是指把每個客體被所在列上的有關(guān)主體訪問的控制信息以表的形式附加給該客體，然后依次進(jìn)行訪問控制。它有兩種實現(xiàn)形式：保護(hù)位方式和訪問控制表（ACL）方式。

2.2.1保護(hù)位機(jī)制

保護(hù)位對所有主體、主體組及該客體的擁有者指定了一個訪問權(quán)限的集合，UNIX采用了這種機(jī)制。在保護(hù)位中包含主體組的名字和擁有者的名字。

2.2.2訪問控制表（ACL）機(jī)制

任何一個特定的主體是否可對某一個客體進(jìn)行訪問都可以由訪問控制表決定。它表示訪問控制矩陣的方法是把一個主體明細(xì)表附加在客體上。對該客體的訪問權(quán)和主體的身份都存在于該表中的每一項。目前，訪問控制表（ACL）機(jī)制是實現(xiàn)自主訪問控制策略的最好方法。

3.DAC的特點

自主訪問控制是訪問控制中最常見的一種方法，允許資源的所有者自主地在系統(tǒng)中決定可存取其資源客體的主體，即主體有自主的決定權(quán)，一個主體可以有選擇地與其他主體共享資源，故此模型靈活性很高。但是由于這種自主性，自主訪問控制是一種比較寬松的訪問控制方式，一個主體的訪問權(quán)限具有傳遞性。在自主訪問控制中，信息總是可以從一個主體流向另一個主體，即使對于高機(jī)密的信息也是如此，因此自主訪問控制的安全級別較低。另外，由于同一個用戶對不同的客體資源有不同的存取權(quán)限，不同的用戶對同一客體資源有不同的存取權(quán)限，用戶、權(quán)限、客體資源之間的授權(quán)管理非常復(fù)雜。

4.DAC的局限性

自主訪問控制將賦予或取消訪問權(quán)限的一部分權(quán)利留給用戶個人，系統(tǒng)管理者難以確定哪些用戶對客體資源擁有訪問權(quán)限，這樣不利于全局訪問控制的統(tǒng)一。

在許多系統(tǒng)關(guān)系中，用戶對它所能訪問的客體資源并不具有所有權(quán)，系統(tǒng)本身才是系統(tǒng)中資源的真正所有者。

在系統(tǒng)中，一般都希望實現(xiàn)訪問控制與授權(quán)機(jī)制的結(jié)果與系統(tǒng)內(nèi)部的規(guī)章制度一致，并且由管理部門統(tǒng)一實施訪問控制，不允許用戶自主地處理，顯然自主訪問控制已不能適應(yīng)這些需求。

參考文獻(xiàn)：

[1]張鵬.淺談計算機(jī)訪問控制技術(shù)[J].科技信息（學(xué)術(shù)版），2008.

[2]范九倫，等.訪問控制技術(shù)研究進(jìn)展[J].小型微型計算機(jī)系統(tǒng)，2004.

[3]竇燕.身份認(rèn)證與訪問控制系統(tǒng)的研究與實現(xiàn)[D].北京大學(xué)，2004.

[4]李曉林.信息系統(tǒng)中基于角色的訪問控制[J].微機(jī)發(fā)展，2004.

[5]汪厚詳.基于角色的訪問控制研究[J].計算機(jī)應(yīng)用研究，2005.