访问控制和鉴权

1.2.1　密码技术、访问控制和鉴权

虽然当前存在各种信息安全技术，但密码技术仍然是信息安全技术的核心。对称加密算法标准的提出和应用、公钥加密思想的提出是其发展的重要标志。数字签名和各种密码协议则从不同的需求角度将密码技术进行延伸。认证技术包括消息认证和身份鉴别。消息认证的目的是保证通信过程中消息的合法性、有效性。身份鉴别则保证通信双方身份的合法性，这也是网络通信中最基本的安全保证。数字签名技术可以理解为手写签名在信息电子化的替代技术，主要用以保证数据的完整性、有效性和不可抵赖性等，它不但具有与手写签名类似的功能，而且还具有比手写签名更高的可靠性。发达国家（比如美国）已为数字签名立法，使其具有很现实的实用价值。密钥共享、零知识证明系统等其他各种密码协议更是将密码技术深深地与网络应用连接在一起。

访问控制的目的是防止对信息资源的非授权访问和非授权使用。它允许用户对其常用的信息库进行一定权限的访问，限制他随意删除、修改或复制信息文件；还可以使系统管理员跟踪用户在网络中的活动，及时发现并拒绝“黑客”的入侵。访问控制采用最小特权原则：即在给用户分配权限时，根据每个用户的任务特点使其获得完成自身任务的最低权限，不给用户赋予其工作范围之外的任何权利。权利控制和存取控制是主机系统必备的安全手段，系统根据正确的认证，赋予某用户适当的操作权利，使其不能进行越权的操作。该机制一般采用角色管理办法，针对不同的用户，系统需要定义各种角色，然后赋予他们不同的执行权利。Kerberos存取控制是访问控制技术的一个代表，它由数据库、验证服务器和票据授权服务器3部分组成。其中，数据库包括用户名称、口令和授权进行存取的区域；验证服务器验证要存取的人是否有此资格；票据授权服务器在验证之后发给票据允许用户进行存取。

鉴权是信息安全的基本机制，通信的双方之间应相互认证对方的身份，以保证赋予正确的操作权利和数据的存取控制。网络也必须认证用户的身份，以保证合法的用户进行正确的操作并进行正确的审计。通常有3种方法验证主体身份：一是只有该主体了解的秘密，如口令、密钥；二是主体携带的物品，如智能卡和令牌卡；三是只有该主体具有的独一无二的特征或能力，如指纹、声音、虹膜或签字等。