物聯(lián)網(wǎng)系統(tǒng)安全之訪問控制

在物聯(lián)網(wǎng)系統(tǒng)中，訪問控制（Access Control）是對用戶合法使用資源的認(rèn)證和控制，簡單說就是根據(jù)相關(guān)授權(quán)，控制對特定資源的訪問，從而防止一些非法用戶的非法訪問或者合法用戶的不正當(dāng)使用，以確保整個系統(tǒng)資源能夠被合理正當(dāng)?shù)乩谩?/p>

由于物聯(lián)網(wǎng)應(yīng)用系統(tǒng)是多用戶、多任務(wù)的工作環(huán)境，這為非法使用系統(tǒng)資源打開了方便之門，因此，迫切要求我們對計算機及其網(wǎng)絡(luò)系統(tǒng)采取有效的安全防范措施，以防止非法用戶進(jìn)入系統(tǒng)以及合法用戶對系統(tǒng)資源的非法使用。

這就需要采用訪問控制系統(tǒng)，訪問控制包含3方面的含義。

① 合法性： 阻止沒有得到正式授權(quán)的用戶違法訪問以及非法用戶的違法訪問。

② 完整性： 在包含收集數(shù)據(jù)、傳輸信息、儲存信息等一系列的步驟中，保證數(shù)據(jù)信息的完好無損，不可以隨意增刪與改動。

③ 時效性： 在一定時效內(nèi)，保證系統(tǒng)資源不能被非法用戶篡改使用，保障系統(tǒng)在時效內(nèi)的完整。

通過訪問控制，系統(tǒng)可以預(yù)防和阻礙未經(jīng)授權(quán)的非法用戶訪問和操作系統(tǒng)資源。

一、訪問控制的基本原則

訪問控制機制是用來實施對資源訪問加以限制的策略的機制，這種策略把對資源的訪問權(quán)限只授于了那些被授權(quán)用戶。應(yīng)該建立起申請、建立、發(fā)出和關(guān)閉用戶授權(quán)的嚴(yán)格的制度，以及管理和監(jiān)督用戶操作責(zé)任的機制。

為了獲取系統(tǒng)的安全，授權(quán)應(yīng)該遵守訪問控制的3個基本原則。

1、最小特權(quán)原則

最小特權(quán)原則是系統(tǒng)安全中最基本的原則之一。最小特權(quán)（Least rivilege）指的是“在完成某種操作時所賦予網(wǎng)絡(luò)中每個主體（用戶或進(jìn)程）必不可少的特權(quán)”。最小特權(quán)原則是指“應(yīng)限定網(wǎng)絡(luò)中每個主體所需的最小特權(quán)，以確?？赡艿氖鹿省㈠e誤、網(wǎng)絡(luò)部件的篡改等原因造成的損失最小”。

最小特權(quán)原則使用戶所擁有的權(quán)力不能超過它執(zhí)行工作時所需的權(quán)限。最小特權(quán)原則一方面給予主體“必不可少”的特權(quán)，保證了所有的主體都能在所賦予的特權(quán)之下完成所需要完成的任務(wù)或操作；另一方面，它只給予主體“必不可少”的特權(quán)，這也限制了每個主體所能進(jìn)行的操作。

2、多人負(fù)責(zé)原則

多人負(fù)責(zé)即授權(quán)分散化，在功能上劃分關(guān)鍵的任務(wù)由多人來共同承擔(dān)，以保證沒有任何個人具有完成任務(wù)的全部授權(quán)或信息，如將責(zé)任做分解以確保沒有一個人具有完整的密鑰。

3、職責(zé)分離原則

職責(zé)分離是保障安全的一個基本原則。職責(zé)分離是指將不同的責(zé)任分派給不同的人員以期達(dá)到互相牽制的作用，消除一個人執(zhí)行兩項不相容的工作的風(fēng)險，如收款員、出納員、審計員應(yīng)由不同的人擔(dān)任。計算機環(huán)境下也要有職責(zé)分離，為避免安全上的漏洞，有些許可不能同時被同一用戶獲得。

二、訪問控制的基本概念

1、訪問控制的功能

訪問控制應(yīng)具備身份認(rèn)證、授權(quán)、文件保護(hù)和審計等主要功能。

1.1、認(rèn)證

認(rèn)證就是證實用戶的身份。認(rèn)證必須和標(biāo)識符共同起作用。認(rèn)證過程首先需要用戶輸入賬戶名、用戶標(biāo)志或者注冊標(biāo)志以表明身份。賬戶名應(yīng)該是秘密的，任何其他用戶不得擁有。但為了防止賬戶名或用戶標(biāo)志泄露而出現(xiàn)非法用戶訪問，還需要進(jìn)一步用認(rèn)證技術(shù)證實用戶的合法身份。

1.2、授權(quán)

系統(tǒng)正確認(rèn)證用戶后，根據(jù)不同的用戶標(biāo)志分配給其不同的使用資源，這項任務(wù)稱為授權(quán)。授權(quán)的實現(xiàn)是靠訪問控制完成的。訪問控制是一項特殊的任務(wù)，它將標(biāo)志符ID作為關(guān)鍵字來控制用戶訪問的程序和數(shù)據(jù)。訪問控制主要用在關(guān)鍵節(jié)點、主機和服務(wù)器，一般節(jié)點使用較少。在實際應(yīng)用中，通常需要從用戶類型、應(yīng)用資源以及訪問規(guī)則3個方面來明確用戶的訪問權(quán)限。

① 用戶類型。 對于一個已經(jīng)被系統(tǒng)識別和認(rèn)證了的用戶，系統(tǒng)還要對他的訪問操作實施一定的限制。對于一個通用計算機系統(tǒng)來講，用戶范圍廣，層次與權(quán)限也不同。用戶類型一般有系統(tǒng)管理員、一般用戶、審計用戶和非法用戶。

系統(tǒng)管理員權(quán)限最高，可以對系統(tǒng)中的任何資源進(jìn)行訪問，并具有所有類型的訪問操作權(quán)利。一般用戶的訪問操作要受到一定的限制，系統(tǒng)管理員會根據(jù)需要給這類用戶分配不同的訪問操作權(quán)利。審計用戶負(fù)責(zé)對整個系統(tǒng)的安全控制與資源使用情況進(jìn)行審計。非法用戶則是被取消訪問權(quán)利或者被拒絕訪問系統(tǒng)的用戶。

② 應(yīng)用資源。 應(yīng)用資源是指系統(tǒng)中的每個用戶可共同分享的系統(tǒng)資源。系統(tǒng)內(nèi)需要保護(hù)的是系統(tǒng)資源，因此需要對保護(hù)的資源定義一個訪問控制包（Access Control Packet，ACP），訪問控制包會給每一個資源或資源組勾畫出一個訪問控制列表（Access Control List，ACL），列表中會描述哪個用戶可以使用哪個資源以及如何使用。

③ 訪問規(guī)則。 訪問規(guī)則定義了若干條件，在這些條件下可準(zhǔn)許訪問一個資源。一般來講，規(guī)則可使用戶與資源配對，然后指定該用戶可以在該資源上執(zhí)行哪些操作，如只讀、不允許執(zhí)行或不允許訪問等。這些規(guī)則是由負(fù)責(zé)實施安全政策的系統(tǒng)管理人員根據(jù)最小特權(quán)原則來確定的，即在授予用戶訪問某種資源的權(quán)限時，只給予該資源的最小權(quán)限。例如，用戶需要讀權(quán)限時，不應(yīng)該授予讀寫權(quán)限。

1.3、文件保護(hù)

文件保護(hù)是指對文件提供的附加保護(hù)，其可使非授權(quán)用戶不可讀取文件。一般采用對文件加密的附加保護(hù)。

1.4、審計

審計是記錄用戶系統(tǒng)所進(jìn)行的所有活動的過程，即記錄用戶違反安全規(guī)定使用系統(tǒng)的時間、日期以及用戶活動。因為可能收集的數(shù)據(jù)量非常大，所以，良好的審計系統(tǒng)應(yīng)具有進(jìn)行數(shù)據(jù)篩選并報告審計記錄的工具，此外，還應(yīng)容許工具對審計記錄做進(jìn)一步的分析和處理。

2、訪問控制的關(guān)鍵要素

訪問控制是指主體依據(jù)某些控制策略對客體本身或其他資源進(jìn)行不同權(quán)限的訪問。訪問控制包括3個要素：主體、客體和控制策略。

2.1、主體

主體是可以在信息客體間流動的一種實體。主體通常指的是訪問用戶，但是作業(yè)或設(shè)備也可以成為主體。所以，對文件進(jìn)行操作的用戶是一種主體，用戶調(diào)度并運行的某個作業(yè)也是一種主體，檢測電源故障的設(shè)備還是一個主體。大多數(shù)交互式系統(tǒng)的工作過程是：用戶首先在系統(tǒng)中注冊，然后啟動某一進(jìn)程以完成某項任務(wù)，該進(jìn)程繼承了啟動它的用戶的訪問權(quán)限。在這種情況下，進(jìn)程也是一個主體。

2.2、客體

客體本身是一種信息實體，或者是從其他主體或客體接收信息的載體?？腕w不受它所依存的系統(tǒng)的限制，其可以是記錄、數(shù)據(jù)塊、存儲頁、存儲段、文件、目錄、目錄樹、郵箱、信息、程序等，也可以是位、字節(jié)、字、域、處理器、通信線路、時鐘、網(wǎng)絡(luò)節(jié)點等。

在有些系統(tǒng)中，邏輯上所有的客體都作為文件處理。每種硬件設(shè)備都作為一種客體來處理，因而，每種硬件設(shè)備都具有相應(yīng)的訪問控制信息。如果一個主體準(zhǔn)備訪問某個設(shè)備，則該主體必須具有適當(dāng)?shù)脑L問權(quán)，而對設(shè)備的安全校驗機制將對訪問權(quán)進(jìn)行校驗。

2.3、控制策略

控制策略是主體對客體的操作行為集和約束條件集，也是主體對客體的控制規(guī)則集。這個規(guī)則集直接定義了主體對客體可以進(jìn)行的作用行為和客體對主體的條件約束?？刂撇呗泽w現(xiàn)了一種授權(quán)行為，即客體對主體的權(quán)限允許，這種允許不可超越規(guī)則集。

訪問控制系統(tǒng)的3個要素可以使用三元組（S、O、P）來表示，其中S表示主體，O表示客體，P表示許可。主體通過認(rèn)證后才能訪問客體，但并不保證其有權(quán)限對客體進(jìn)行操作。用戶標(biāo)志是一個用來鑒別用戶身份的字符串，每個用戶有且只能有唯一的一個用戶標(biāo)志，以便與其他用戶有所區(qū)別。當(dāng)一個用戶在注冊系統(tǒng)時，他必須提供其用戶標(biāo)志，然后系統(tǒng)才會執(zhí)行一個可靠的審查來確認(rèn)當(dāng)前用戶就是對應(yīng)用戶標(biāo)志的那個用戶。

當(dāng)前訪問控制實現(xiàn)的模型普遍采用了主體、客體、授權(quán)的定義和這3個定義之間的關(guān)系的方法來描述。訪問控制模型能夠?qū)τ嬎銠C系統(tǒng)中的存儲元素進(jìn)行抽象表達(dá)。訪問控制要解決的一個基本問題便是主動對象（如進(jìn)程）如何對被動的受保護(hù)對象（如被訪問的文件等）進(jìn)行訪問，并且按照安全策略進(jìn)行控制。主動對象稱為主體，被動對象稱為客體。

針對一個安全的系統(tǒng)，或者是將要在其上實施訪問控制的系統(tǒng)，一個訪問可以對被訪問的對象產(chǎn)生以下作用：一是對信息的抽??；二是對信息的插入。對于被訪問對象來說，可以有“只讀不修改”“只讀修改”“只修改不讀”“既讀又修改”4種訪問方式。

3、訪問控制策略的實施

訪問控制策略是物聯(lián)網(wǎng)信息安全的核心策略之一，其任務(wù)是保證物聯(lián)網(wǎng)信息不被非法使用和非法訪問，為保證信息基礎(chǔ)的安全性提供一個框架，提供管理和訪問物聯(lián)網(wǎng)資源的安全方法，規(guī)定各要素需要遵守的規(guī)范與應(yīng)負(fù)的責(zé)任，為物聯(lián)網(wǎng)系統(tǒng)安全提供可靠依據(jù)。

3.1、訪問控制策略的基本原則

訪問控制策略的制定與實施必須圍繞主體、客體和控制規(guī)則集三者之間的關(guān)系展開。具體原則如下。

① 最小特權(quán)原則。 最小特權(quán)原則指主體執(zhí)行操作時，按照主體所需權(quán)利的最小化原則分配給主體權(quán)利。最小特權(quán)原則的優(yōu)點是最大限度地限制了主體實施授權(quán)行為，可以避免來自突發(fā)事件、錯誤和未授權(quán)用戶主體的危險，即為了達(dá)到一定的目的，主體必須執(zhí)行一定的操作，但主體只能做允許范圍內(nèi)的操作。

② 最小泄露原則。 最小泄露原則指主體執(zhí)行任務(wù)時，按照主體所需要知道的信息最小化的原則分配給主體權(quán)利。

③ 多級安全原則。 多級安全原則指主體和客體間的數(shù)據(jù)流向和權(quán)限控制按照安全級別進(jìn)行劃分，包括絕密、秘密、機密、限制和無級別5級。多級安全原則的優(yōu)點是可避免敏感信息擴散。對于具有安全級別的信息資源，只有安全級別比它高的主體才能夠訪問它。

3.2、訪問控制策略的實現(xiàn)方式

訪問控制的安全策略有：基于身份的安全策略和基于規(guī)則的安全策略。目前使用這兩種安全策略的基礎(chǔ)都是授權(quán)行為。

① 基于身份的安全策略

基于身份的安全策略與鑒別行為一致，其目的是過濾對數(shù)據(jù)或資源的訪問，只有能通過認(rèn)證的主體才有可能正常使用客體的資源?；谏矸莸陌踩呗园ɑ趥€人的安全策略和基于組的安全策略。

基于個人的安全策略是指以用戶為中心建立的一種策略。這種策略由一些列表組成，這些列表限定了針對特定的客體，哪些用戶可以實現(xiàn)何種策略操作行為。

基于組的安全策略是基于個人的安全策略的擴充，指一些用戶被允許使用同樣的訪問控制規(guī)則訪問同樣的客體。

基于身份的安全策略有兩種基本的實現(xiàn)方法：訪問能力表和訪問控制列表。訪問能力表提供了針對主體的訪問控制結(jié)構(gòu)，訪問控制列表提供了針對客體的訪問控制結(jié)構(gòu)。

② 基于規(guī)則的安全策略

基于規(guī)則的安全策略中的授權(quán)通常依賴于敏感性。在一個安全系統(tǒng)中，對數(shù)據(jù)或資源應(yīng)該標(biāo)注安全標(biāo)記。代表用戶進(jìn)行活動的進(jìn)程可以得到與其原發(fā)者相應(yīng)的安全標(biāo)記。

基于規(guī)則的安全策略在實現(xiàn)時，由系統(tǒng)通過比較用戶的安全級別和客體資源的安全級別來判斷是否允許用戶進(jìn)行訪問。