数据库的访问控制

客体和每个主体对每个客体所拥有权限之间的
关系。任何访问控制策略最终均可被模型化为
访问矩阵形式：一行表示一个主体的能力列表，
一列表示一个客体的访问控制列表。每个矩阵 元素规定了相应的主体对应于相应的客体被准 予的访问许可、实施行为。
返回
10
表1 访问控制矩阵 O1 S1 S2 读 读、写 O2 读、写 -
返回
23
BLP模型主要用来控制主体和客体之间的信息流动。 该模型设计了一种信息流动的策略来保证信息安全性。 信息流动可以用一个格<L,->>表示，->决定了不同实 体间信息是否可以流动，如x->y，即x的信息可以流 向y。
BLP模型信息流动的一般原则：
简单安全性。主体s对客体o具有读访问权， 当且仅当(Ao,Co)≤(As,Cs)。简单安全性确 定了读操作的原则。对读操作来说，主体必 须对客体有支配权，这一原则也称为下读原 则。
13
表2 访问控制操作集合 原语 3添加主体 4删除主体 操作 Creat Subject Si Destroy r from A[si,oj] 含义
添加新主体si
条件 Si
∈
S
删除主体si
Si ∈ S
3 结果状态:S′= S ∪{Si } ， O′= O ∪{Si } Aˊ[s, o]= A[s,o] （S ∈S， o ∈o） Aˊ[si,o]= O (o ∈oˊ） Aˊ[s, si]= O（S ∈Sˊ） 4 结果状态:S′= S - {Si } ， O′= O - {Si } Aˊ[s, o]= A[s,o] （S ∈S， o ∈o）
返回
3
4.1 访问控制策略概述
4.1.1 自主访问控制概述

自主访问控制是一种最为普遍的访问控制手段，
用户可以按自己的意愿对系统的参数做适当修
改以决定哪些用户可以访问他们的资源，亦即
一个用户可以有选择地与其它用户共享他的资
源。用户有自主的决定权。
返回
4
自主访问控制模型中，用户对信息的控 制基于对用户的鉴别和访问规则的确定。它 基于对主体及主体所属的主体组的识别，来 限制对客体的访问，还要校验主体对客体的 访问请求是否符合存取控制规定来决定对客 体访问的执行与否。这里所谓的自主访问控 制是指主体可以自主地（也可能是单位方式） 将访问权，或访问权的某个子集授予其它主 体。
BIBA模型的完整性等级由安全等级和范围集合两个部 分组成。其中，安全等级主要的类型是极重要 (crucial,C)、非常重要(Very Important,VI)和重要 (Important,I)，三者之间是全序关系，即C>VI>I。范围 的定义与BLP模型类似。
返回
26
BIBA模型的基本思想是低完整性的信息不能向高完 整性的实体流动。反之可以。即如果信息能从一个实体流 向另一个实体时，必须满足前者的完整性等级和实体所属 类别都支配后者。 支配关系定义如下： 给定两个安全等级I1=<C1,S1>, I2=<C2,S2>,称 （1）I1支配I2成立，当且仅当C1≥C2且S1 S2。 记I1≥I2。
∩ ∩
显然对于安全类集合中的任意元素A、B、C都有： （1）自反性：A≤A； （2）传递性：如果A≤B且B≤C，则A≤C； （3）反对称性：如果A≤B且B≤A，则A=B。 BLP模型提供了八种操作：
操作 Get access Release access Give access 含义 按要求的方式初始化对一个客 体的访问 终止由以前“Get”开始的访问 方式 授予一个主体对客体的某种访 问
先前的操作。
返回
16
自主访问控制特点：
根据主体的身份及允许访问的权限进行决策。 自主是指具有某种访问能力的主体能够自主地将访 问权的某个子集授予其它主体。 灵活性高，被大量采用。
自主访问控制缺点：
信息在移动过程中其访问权限关系会被改变，权限 控制某些情况下不够严格。如用户A可将其对目标O 的访问权限传递给用户B,从而使不具备对O访问权 限的B可访问O。
返回
7
4.1.3 基于角色的访问控制概述

基于角色访问控制（RBAC）模型是目前国际上流行的
先进的安全访问控制方法。它通过分配和取消角色来
完成用户权限的授予和取消，并且提供角色分配规则。 安全管理人员根据需要定义各种角色，并设臵合适的 访问权限，而用户根据其责任和资历再被指派为不同 的角色。这样，整个访问控制过程就分成两个部分， 即访问权限与角色相关联，角色再与用户关联，从而 实现了用户与访问权限的逻辑分离。 返回
数据库的访问控制
返回
1
本 章 概 要
4.1 4.2 4.3 4.4 4.5 4.6 4.7 访问控制策略概述 自主访问控制 强制访问控制 多级安全访问控制模型 安全数据视图模型 贾让第-沙胡模型 RBAC96模型
返回
2
4.1 访问控制策略概述
在数据库中，访问控制可以分为两大类： （1）基于能力的访问控制：以访问主体为判断对象 实现访问控制。访问主体能力列表中的一个元素 表示为一个二元组（o,a）,其中o表示资源客体， a表示一种访问控制方式。 （2）基于访问控制列表的访问控制：以资源客体为 判断对象实现访问控制。资源客体访问控制列表 中的一个元素表示为一个二元组（s,a）,其中s表 示访问主体，a表示一种访问控制方式。
返回
14

表2 访问控制操作集合
原语
5 添加客体 6 删除客体
操作 Creat Object Oj
Destroy Object Oj
含义
添加新客体Oj 删除客体Oj
条件
∈
Oj
O
Oj ∈ O
5 结果状态:S′= S ， O′= O ∪{Oj} Aˊ[s, o]= A[s,o] （S ∈S， o ∈o） Aˊ[s, oj]= O（ o ∈oˊ） 6 结果状态: S′= S ， O′= O - {Oj} Aˊ[s, o]= A[s,o] （S ∈S， o ∈o）
（2）I1严格支配I2成立，当且仅当C1>C2且S1 S2。 记I1>I2。 对给定的两个安全等级I1，I2，如果I1≥I2和I2≥I1 均不成立，则I1和I2是不可比的。
包括读、写、执行、附加和拥有。
访问控制矩阵原语是对访问控制矩阵执行的、
不使之中断或处于不完整状态的操作。
返回
12
表2 访问控制操作集合 原语 1 授予权限 2 撤销权限 操作 Enter r into A[si,oj] Delete r from A[si,oj] 含义
赋予主体si对客 体oj的访问模式r
返回
15
约束条件
每种命令的可选的条件语句中，可以包含对该命 令执行时的时间或数据约束。
数据约束：可规定所访问的数据的值的限制。 时间约束：规定允许读写发生的时间条件。 上下文约束：例如只读取姓名字段或工资字段是
允许的，但把它们组合起来读取就需要限制。
历史记录约束：该约束条件的激活依赖于该操作
将主体si对客体oj 的访问模式r撤销
条件
Si ∈S
oj ∈o Si ∈S
oj ∈o
1 结果状态: S′= S， O′= O Aˊ[si,oj]= A[si,oj] ∪{r} Aˊ[sh,ok]= A[sh,ok](h≠i, k≠j) 2 结果状态: S′= S， O′= O Aˊ[si,oj]= A[si,oj] - {r} Aˊ[sh,ok]= A[sh,ok](h≠i, k≠j) 返回
返回
22
操作 Rescind access Create Object Delete Object Change subject security level Change object security level
含义 回收由“Give”操作授予的访问方 式 激活一个客体，使其成为可访问 的 将客体从激活状态转化为未激活 状态 改变主体的当前安全等级 修ll-Lapadula模型
BLP模型用于保证保密性，其依赖于系统元素密级。 密级用安全等级来表示。每个安全等级是一个二元组<密 级，范围>，记作L=<C,S>。通常将密级划分为公开 (Unclassified)、秘密(Confidential)、机密(Secret)、 绝密(Topsecret)四个等级，这些等级构成一个全序关系， 即Topsecret>Secret>Confidential>Unclassified。 范围：根据主体和客体所涉及的信息类别将主体和客 体分为一系列不同的属类，这些属类称为范围。类别之间 是彼此独立，并有是无序的。 一个安全类仅包含一个安全等级，而它包括的类别可 以任意多。 返回
18
（3）向下写（wd，write down）：主体安全级别 高于客体信息资源的安全级别时允许执行的动 作或是写操作； （4）向上写（wu，write up）：主体安全级别低 于客体信息资源的安全级别时允许执行的动作 或是写操作。 其访问控制关系可分为：下读/上写和上读/下写， 分别进行机密性控制和完整性控制 通过安全标签实现单向信息流通模式。
返回
17
4.3 强制访问控制
为系统中每个主体和客体标出不同安全等级，这些 安全等级由系统控制，不能随意更改。根据主体和客体 的级别标记来决定访问模式。如绝密级，机密级，秘密 级，无密级等。 在军队中经常应用，支持多级安全 考虑到偏序关系，主体对客体的访问主要有四种方 式： （1）向下读（rd，read down）：主体安全级别高 于客体信息资源的安全级别时允许的读操作； （2）向上读（ru，read up）：主体安全级别低于 客体信息资源的安全级别时允许的读操作； 返回
8
4.2 自主访问控制