第 10 章存取控制系統與方法

第10章存取控制系統與方法

學習目標 • 使用存取控制技術來達成機密性與完整性目標 • 實作存取控制的主要概念，並與系統安全建立關聯 • 適當運用「自訂式存取控制」與「強制性存取控制」技術 • 選擇有效的密碼 • 實作密碼替代方案，包括智慧卡、密碼令牌，以及其他多元技術 • 針對企業或一般使用者，教育單一登入的觀念 • 使用本章所述的技術，控制遠端使用者的存取

簡介 • 存取控制乃是一組安全架構機制，可用來保護資訊系統的重要資訊。 • 存取控制的目標之一，便是確認使用者的責任問題。

專有名詞與概念 • 身分識別（Identification）憑據（Credential）可在資訊系統中識別使用者的身分。 • 驗證（Authentication）憑據可讓系統確認身分識別憑據的正確性。 • 「最低權限」（Least Privilege）原則亦稱為「知其所需」（Need-to-know），乃確保機密性的重要方法。 • 「資訊擁有者」（Information Owner）必須為資訊系統中的資訊負起全責。

依照「自訂式存取控制」（Discretionary Access Control，DAC）的原則，資訊擁有者決定何人可存取系統。 • 「存取控制清單」（Access control Lists，ACL）為具有特定系統或資源（資料庫等等）存取權限的使用者清單。

「強制性存取控制」（Mandatory Access Control（MAC），亦稱為非自訂式存取控制）的系統中，系統會根據主體（Subject）、物件（Object）與標籤（Label），決定何人可存取資訊。 • 「以角色為基礎的存取控制」（Role-Based Access Control，RBAC）將使用者分成不同的群組，每個群組的使用者具有相同的存取需求，或執行相同的工作。

驗證原則 • 只有真正的使用者，才會擁有系統所要求的秘密資訊，足以讓系統確認此一使用者有權使用特定的帳號。

密碼的問題 • 密碼必須由人來管理，也因此導致以下問題。 • 密碼並不安全：使用者在選擇密碼時，通常會挑選容易記住或猜中的密碼。 • 密碼很容易破解：網際網路上有許多免費程式，可破解常用系統的密碼保護。 • 密碼並不方便：為了提高密碼的安全性，企業通常核發電腦產生的密碼給使用者，而這類密碼通常很難記住。 • 密碼的可否認性：密碼與簽名不同，當交易僅涉及密碼時，無法確認執行交易人員的身分。

多元驗證 • 在驗證使用者身分時，除了密碼之外，也可再加上更多的機制。若驗證涉及多個元素（多元驗證），則可提高驗證的可靠性。 • 使用多元驗證時，會在密碼驗證流程上，加入其他控制措施或裝置。

二元驗證 • 二元驗證系統中，使用者擁有一項實體裝置（卡片、令牌、智慧卡等等），其中包含使用者的證明資料，並受到個人識別碼（PIN）或密碼的保護。

三元驗證 • 乃是在二元驗證流程上，再加入一項與使用者有關的獨特資訊。此一獨特資訊可能是某種生物特徵（指紋、網膜掃描等等）。這些技術常用於實體安全領域，也可應用在電腦或邏輯存取。

生物特徵辨識 • 這類技術包括指紋辨識、虹膜或網膜掃瞄、動態簽名確認、臉部辨識。目前常用的生物特徵辨識技術如下： • 指紋辨識 • 動態簽名確認 • 虹膜掃瞄 • 網膜掃瞄 • 聲紋辨識 • 臉部辨識

單一登入 • 本章所述的驗證方法，在使用者存取系統時，需要提供一組獨特的帳號與密碼。因此，若有許多系統，使用者便必須持有多組帳號密碼。 • 由於許多網站要求使用者註冊並建立帳號與密碼，使得此一問題更加嚴重。單一登入系統（Single Sign-On，SSO），正可解決此問題。 • 管理多組帳號密碼的常用方法之一，便是建立一個密碼或密碼保險庫（PIN Vault）。程式所儲存的這些帳號與密碼，受到主密碼的保護。使用者必須輸入主密碼，才能使用程式中的這些帳號與密碼。

Kerberos • Kerberos為網路驗證協定。 • Kerberos採用對稱式加密法，提供主從式驗證機制。 • 使用Kerberos時，使用者只需登入一次。之後在存取不同的資源時，資源端皆會檢查其票證，確保票證的有效性與時效。

Kerberos票證交換流程

聯合身份識別 • 聯合網路身份識別架構的優點如下： • 滿足使用者的線上需求，並提供更多個人化、保護與控管身分識別資訊的新功能。 • 讓IT人員可更容易且更安全地提供帳號，以及設定相關資源的權限。 • 使企業彼此之間建立新關係，以便能更快、更安全且使用更少的經費來達成企業目標。

遠端使用者存取與驗證 • 員工在遠端工作時，由於必須透過不安全的網路（網際網路），連線至企業內部的區域網路，因此會產生額外的安全問題。若要解決這個問題，必須使用特定的存取控制機制，才能保護區域網路與使用者。

遠端存取撥接使用者服務 • 遠端存取撥接使用者服務」（Remote Access Dial-In User Service，RADIUS）是一種主從式協定與軟體，可讓遠端使用者與中央伺服端通訊，藉以驗證使用者身分，並授權使用者存取所需的系統或服務。

虛擬私人網路 • 虛擬私人網路（Virtual Private Network，VPN）乃是遠端使用者存取企業網路的常用方法。 • VPN使用者可靠的加密技術，可驗證訊息傳送者與接收者的身分，以及加密通訊內容，可有效防止「中間人攻擊」（Man-in-the-middle Attack）。

總結 • 存取控制乃是資訊安全的核心主題。 • 存取控制必須區分識別使用者與驗證使用者的差異。藉由自訂式存取控制，資訊擁有者可決定何人具有存取權限。 • 密碼是驗證身分最常用的方法。但是密碼也導致許多問題，因而發展出許不同的替代方案。 • 單一登入與相關技術及協定，可減少使用者所需帳號與密碼的數量，因而提高組織內外存取控制機制的安全性。 • RADIUS與虛擬私人網路等遠端存取控制技術，可讓遠端使用者存取企業內部網路，而毋須使用昂貴的撥接連線或額外的硬體費用。

第 10 章存取控制系統與方法