11.1.4 訪問控制

　　自動、有效地防止對系統資源進行非法訪問或者不當使用。

　　它是建立在身份認證的基礎之上的。

　　1、身份認證技術

　　識別用戶的身份有兩種不同形式：身份認證、身份鑒定。

　　認證的方法 歸結為 3大類：知道什么、擁有什么、是什么。

　　是什么，是一種基于生物識別技術的認證。

　　1. 用戶名和口令認證，三種簡單的認證方式：明文傳送、單向散列、單向散列函數和隨機函數。

　　2. 使用令牌認證，密鑰存儲于令牌中。

　　令牌是一個可以加密存儲并運行相應加密算法的設備，完成對用戶必須擁有某物的驗證。

　　令牌的實現分為：質詢響應令牌、時間戳令牌，常用的是時間戳令牌。

　　系統的安全強度大大增加：私鑰采用令牌存儲的方式解決了 私鑰自身的安全問題，安全強度大大增加。

　　而且令牌有 PIN碼 保護，對令牌的非法訪問超過一定次數后，令牌會死鎖。

　　時間戳令牌利用時間代替隨機數，需要重點考慮時間同步問題，目前在安全性較高的認證系統中，多是采用這種方案。

　　3. 生物識別與三因素認證

　　基于生物識別技術的認證，主要根據認證者的 圖像、指紋、氣味、聲音等作為認證數據。

　　2、訪問控制技術

　　根據 控制手段 和 具體目的 的不同，通常將 訪問控制技術 劃分為幾個方面：入網訪問控制、網絡權限控制、目錄級安全控制、屬性安全控制、網絡服務器安全控制等。

　　入網訪問控制，控制準許用戶 入網的時間、準許的工作站等。

　　由于用戶口令驗證方式容易被攻破，很多網絡都開始采用 基于數字證書的驗證方式。

　　用戶 和 用戶組 被 賦予一定的權限。

　　訪問機制 兩種實現方式：“受托者指派”和“繼承權限屏蔽”

　　“受托者指派”控制用戶 和 用戶組 如何使用網絡服務器。

　　“繼承權限屏蔽”相當于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權限。

　　特殊用戶、一般用戶、審計用戶。

　　對目錄和文件的訪問權限 一般有 8種：系統管理員權限、讀、寫、創建、刪除、修改、查找、訪問控制。

　　屬性 能夠控制以下幾個方面的權限：寫 數據、復制 文件、刪除 目錄或文件、察看 目錄和文件、執行 文件、隱含 文件、共享、系統屬性等。

　　2010年下半年軟考試題及答案解析匯總

　　2010年下半年軟件水平考試答案

　　2011年軟考系統架構設計師學習筆記匯總