H H ệ ệ đi đi ề ề u h u h à à nh m nh m ạ ạ ng ng nâng cao nâng cao Gi Gi ả ả ng viên: Ho ng viên: Ho à à ng Xuân D ng Xuân D ậ ậ u u Email: dauhoang@vnn.vn Email: dauhoang@vnn.vn Khoa Công ngh Khoa Công ngh ệ ệ thông tin 1 thông tin 1 H H ọ ọ c vi c vi ệ ệ n Công ngh n Công ngh ệ ệ BC BC - - VT VT HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 2 2 II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p v p v à à qu qu ả ả n tr n tr ị ị ngư ngư ờ ờ i d i d ù ù ng ng • Khái niệm kiểm soát truy nhập • Các biện pháp kiểm soát truy nhập • Kiểm soát truy nhập và quản lý người dùng ở một số HĐH cụ thể. • Giới thiệu một số công nghệ kiểm soát truy nhập. HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 3 3 Kh Kh á á i ni i ni ệ ệ m ki m ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p • Kiểm soát truy nhập là quá trình mà trong đó người dùng được nhận dạng và trao quyền truy nhập đến các thông tin, các hệ thống và tài nguyên. • Một hệ thống kiểm soát truy nhập có thể được cấu thành từ 3 dịch vụ: – Xác thực (Authentication): • Là quá trình xác minh tính chân thực của các thông tin nhận dạng mà người dùng cung cấp. – Trao quyền (Authorization): • Trao quyền xác định các tài nguyên mà người dùng được phép truy nhập sau khi người dùng đã được xác thực. – Quản trị (Administration): • Cung cấp khả năng thêm, bớt và sửa đổi các thông tin tài khoản người dùng, cũng như quyền truy nhập của người dùng. HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 4 4 Ki Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p (ti p (ti ế ế p) p) • Mục đích chính của kiểm soát truy nhập là để đảm bảo tính bí mật, toàn vẹn và sẵn dùng của thông tin, hệ thống và các tài nguyên: – Tính bí mật (confidentiality): đảm bảo chỉ những người có thẩm quyền mới có khả năng truy nhập vào dữ liệu và hệ thống. – Tính toàn vẹn (Integrity): đảm bảo dữ liệu không bị sửa đổi bởi các bên không có đủ thẩm quyền. – Tính sẵn dùng: đảm bảo tính sẵn sàng (đáp ứng nhanh/kịp thời) của dịch vụ cung cấp cho người dùng thực sự. HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 5 5 C C á á c bi c bi ệ ệ n ph n ph á á p ki p ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p • Kiểm soát truy nhập tuỳ chọn - Discretionary Access Control (DAC) • Kiểm soát truy nhập bắt buộc - Mandatory Access Control (MAC) • Kiểm soát truy nhập dựa trên vai trò - Role-Based Access Control (RBAC) • Kiểm soát truy nhập dựa trên luật - Rule- Based Access Control HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 6 6 Ki Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p tu p tu ỳ ỳ ch ch ọ ọ n n - - DAC DAC • Kiểm soát truy nhập tuỳ chọn được định nghĩa là các cơ chế hạn chế truy nhập đến các đối tượng dựa trên thông tin nhận dạng của các chủ thể và/hoặc nhóm của các chủ thể. • Thông tin nhận dạng có thể gồm: – Bạn là ai? (CMND, bằng lái xe, vân tay, ) – Những cái bạn biết (tên truy nhập, mật khẩu, ) – Bạn có gì? (Thẻ tín dụng, ) HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 7 7 Ki Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p tu p tu ỳ ỳ ch ch ọ ọ n n - - DAC DAC • DAC cho phép người dùng có thể cấp hoặc huỷ quyền truy nhập cho các người dùng khác đến các đối tượng thuộc quyền kiểm soát của họ. • Chủ sở hữu của các đối tượng (owner of objects) là người dùng có toàn quyền kiểm soát các đối tượng này. HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 8 8 Ki Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p tu p tu ỳ ỳ ch ch ọ ọ n n - - DAC DAC • Ví dụ: Với DAC: – Người dùng có quyền tạo, sửa đổi và xoá các files trong thư mục của riêng mình (home directory). – Họ cũng có khả năng trao hoặc huỷ quyền truy nhập vào các files của mình cho các người dùng khác. HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 9 9 Ki Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p b p b ắ ắ t bu t bu ộ ộ c c - - (MAC) (MAC) • Kiểm soát truy bắt buộc được định nghĩa là các cơ chế hạn chế truy nhập đến các đối tượng dựa trên – Tính nhạy cảm (sensitivity) của thông tin (thường được gán nhãn) chứa trong các đối tượng, và – Sự trao quyền chính thức (formal authorization) cho c ác chủ thể truy nhập các thông tin nhạy cảm này. HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 10 10 Ki Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p b p b ắ ắ t bu t bu ộ ộ c c - - (MAC) (MAC) • MAC không cho ph ép người tạo ra các đối tượng (thông tin/tài nguyên) có toàn quyền truy nhập các đối tượng này. • Quyền truy nhập đến các đối tượng (thông tin/tài nguyên) do người quản trị hệ thống định ra trước trên cơ sở chính sách an toàn thông tin của tổ chức đó. • MAC thường được sử dụng phổ biến trong các cơ quan an ninh, quân đội và ngân hàng. [...]... quyển sở hữu… HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 20 Gán quyền truy nh ập trong Windows HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 21 Gán quyền truy nh ập trong Windows HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 22 Kiểm soát truy nh ập và quản lý người dùng ở HĐH Unix/Linux • Các HĐH Unix/Linux • Quản lý người dùng: – Các thông tin người dùng (users) được... người dùng Mô tả người dùng Thuộc nhóm Tên thư mục riêng (home directory) Đường dẫn đến profile HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 17 Kiểm soát truy nh ập và quản lý người dùng ở HĐH MS Windows • Quản lý người dùng (tiếp): – Người dùng được tổ chức thành các nhóm (groups), mỗi nhóm có quyền truy nhập khác nhau Một người dùng có thể thuộc nhiều nhóm và một nhóm có thể có nhiều người. .. trò cho phép người dùng truy nhập vào hệ thống và thông tin dựa trên vai trò (role) c ủa họ trong công ty/tổ chức đó • Kiểm soát truy nhập dựa trên vai trò có thể được áp dụng cho một nhóm người dùng hoặc từng người dùng riêng lẻ • Quyền truy nhập được tập hợp thành các nhóm “vai trò” với các mức quyền truy nhập khác nhau HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 12 Kiểm soát truy nh ập... đổi – Quyền truy nhập các đối tượng con được thừa hưởng từ quyền truy nhập các đối tượng cha, mẹ HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 27 Kiểm soát truy nh ập và quản lý người dùng ở HĐH Unix/Linux • Quản lý quyền truy nhập (tiếp): – Các thuộc tính truy nhập đối tượng có thể được cấp hoặc huỷ cho từng nhóm người dùng, cũng như từng người dùng riêng lẻ Các thuộc tính truy nhập gồm 3... danh sách người dùng (users) • /etc/shadow lưa mật khẩu người dùng dưới dạng hash • /etc/groups lưu danh sách các nhóm HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 23 Kiểm soát truy nh ập và quản lý người dùng ở HĐH Unix/Linux • Quản lý người dùng (tiếp): – Thông tin chính về người dùng gồm có: • • • • • • Tên truy nhập (username) Mật khẩu được lưu dưới dạng hash Họ tên người dùng Nhóm Tên... 66252 Oct 1 2005 sma II Kiểm soát truy nhập Kiể soá nhậ 25 Kiểm soát truy nh ập và quản lý người dùng ở HĐH Unix/Linux • Quản lý người dùng (tiếp): – Người dùng được tổ chức thành các nhóm (groups), mỗi nhóm có quyền truy nhập khác nhau Một người dùng có thể thuộc một hoặc một số nhóm và một nhóm có thể có nhiều người dùng – Các nhóm ngầm định: root, bin, sys, adm, – Các người dùng ngầm định: root,... định: root, mail, news, ftp,… HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 26 Kiểm soát truy nh ập và quản lý người dùng ở HĐH Unix/Linux • Quản lý quyền truy nhập: DAC + RBAC – Quyền truy nhập tại mỗi miền được tổ chức thành các nhóm “vai trò” và đến từng người dùng – Mỗi đối tượng (file, thư mục, tiến trình, …) trong hệ thống đều có một chủ sở hữu, thường là người tạo ra đối tượng Chủ sở hữu... giữa người dùng và vai trò có thể được tạo lập và huỷ bỏ dễ dàng • Quản lý phân cấp vai trò: các vai trò được tổ chức thành một cây theo mô hình phân cấp tự nhiên của các công ty/tổ chức HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 14 Kiểm soát truy nh ập dựa trên lu ật • Kiểm soát truy nhập dựa trên luật cho phép người dùng truy nhập vào hệ thống vào thông tin dựa trên các luật (rules) đã được... các khoá mã (encrypted keys) • Kiểm soát truy nhập dựa trên thẻ bài (token) • Thẻ thông minh (smart card) • Kiểm soát truy nhập dựa trên các đặc điểm sinh học (biometric) HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 29 Kiểm soát dựa trên m ật khẩu • Thông thường mỗi người dùng được cấp 1 tài khoản (account) Để truy nhập tài khoản, thường cần có: – Tên người dùng (username) – Mật khẩu (Passoword)... lọc các nội dung bị cấm HĐH mạng nâng cao mạ II Kiểm soát truy nhập Kiể soá nhậ 16 Kiểm soát truy nh ập và quản lý người dùng ở HĐH MS Windows • Các HĐH Microsoft Windows NT , 2000, XP, 2003 server • Quản lý người dùng: – Các thông tin về người dùng (users) được lưu trong 1 file C:\WINDOWS\system32\config\SAM – Thông tin chính về người dùng gồm có: + + + + + + + Tên truy nhập (username) Mật khẩu được . d ù ù ng ng • Khái niệm kiểm soát truy nhập • Các biện pháp kiểm soát truy nhập • Kiểm soát truy nhập và quản lý người dùng ở một số HĐH cụ thể. • Giới thiệu một số công nghệ kiểm soát truy nhập. HĐH m HĐH. thêm, bớt và sửa đổi các thông tin tài khoản người dùng, cũng như quyền truy nhập của người dùng. HĐH m HĐH m ạ ạ ng nâng cao ng nâng cao II. Ki II. Ki ể ể m so m so á á t truy nh t truy nh ậ ậ p p 4 4 Ki Ki ể ể m. trò - - (RBAC) (RBAC) • Kiểm soát truy nhập dựa trên vai trò cho ph ép người dùng truy nhập vào hệ thống và thông tin dựa trên vai trò (role) c ủa họ trong công ty/tổ chức đó. • Kiểm soát truy nhập dựa trên