深入理解《白帽子讲 Web 安全》之访问控制

引言

在当下数字化浪潮席卷的时代，网络已经深度融入到我们生活、工作的每一处角落。无论是日常购物、社交娱乐，还是企业开展核心业务、管理关键数据，都高度依赖于 Web 应用。然而，繁华背后，暗流涌动，网络安全威胁如影随形。黑客攻击手段层出不穷，数据泄露事件频频见诸报端，给个人隐私、企业运营乃至社会稳定都带来了巨大冲击。

在错综复杂的 Web 安全体系里，访问控制占据着举足轻重的地位，堪称守护系统资源的核心防线。想象一下，Web 系统如同一个庞大的数字城堡，里面珍藏着海量的宝贵资源，从用户的个人信息、企业的商业机密，到各类关键业务数据等。而访问控制就像是城堡的门禁系统，精准把控着谁能进入城堡的哪个区域，以及进入后能进行何种操作。没有它，城堡将门户大开，恶意攻击者可肆意穿梭，随意窃取、篡改或破坏资源，后果不堪设想。吴翰清在《白帽子讲 Web 安全》中，凭借深厚的专业知识与丰富的实战经验，对访问控制进行了鞭辟入里的剖析。接下来，就让我们沿着他的思路，一同深入探索这一关键领域，揭开访问控制的神秘面纱，探寻保障 Web 系统安全的有效之道。

概述

在 Web 安全领域，“认证” 与 “授权” 是两个紧密相关但又截然不同的概念。

认证，简单来说，就是确认用户的身份，就像你进入大楼时，保安通过查看你的证件来确认你是否有权进入。常见的认证方式有用户名密码登录、指纹识别、短信验证码等。

而授权，则是在确认用户身份后，决定该用户能够执行哪些操作、访问哪些资源。例如，在一个公司内部系统中，通过用户名和密码认证成功后，普通员工只能查看自己的工资条，而人力资源部门的员工则可以查看所有员工的工资信息，这就是授权在起作用。

访问控制正是围绕授权展开的，它是在用户身份确认无误后，对其操作权限进行精细管理的过程。这种管理广泛应用于各类系统之中。以 Linux 系统为例，它通过访问控制列表（ACL）来决定主体（可以是用户、用户组等）对客体（如文件、目录等）的操作权限。在 Linux 中，可以使用setfacl命令来设置文件的 ACL。比如，要给用户userB对文件example.txt赋予读取权限，可以这样操作：

setfacl -m u:userB:r example.txt

这里，u表示用户，userB是用户名，r代表读取权限。而文件所有者可以通过类似方式，规定某个用户组对该文件只有读取权限，而另一个用户则有读写权限，从而实现对文件访问的精准控制。

访问控制模型

自主访问控制

自主访问控制赋予了用户基于自身权限对客体进行访问控制的权力。在这种模型下，文件所有者拥有极大的权限，他们可以自行决定其他主体对自己文件的访问权限。例如，在一个共享文件夹中，用户 A 创建了一个文档，A 可以根据自己的意愿，允许用户 B 对该文档进行读取和修改操作，而只允许用户 C 进行读取操作。

在一些编程语言中，也可以模拟自主访问控制的逻辑。以 Python 为例，假设我们有一个文件类File，用户类User，可以通过如下代码实现简单的自主访问控制：

class User:

def __init__(self, name):

self.name = name

class File:

def __init__(self, owner):

self.owner = owner

self.permissions = {}

def grant_permission(self, user, permission):

self.permissions[user] = permission

def check_permission(self, user, required_permission):

if user == self.owner:

return True

if user in self.permissions and self.permissions[user] == required_permission:

return True

return False

# 创建用户和文件

userA = User("userA")

userB = User("userB")

userC = User("userC")

file = File(userA)

# 用户A赋予用户B读写权限，赋予用户C只读权限

file.grant_permission(userB, "rw")

file.grant_permission(userC, "r")

# 模拟用户访问

print(file.check_permission(userB, "rw")) # True

print(file.check_permission(userC, "r")) # True

print(file.check_permission(userC, "w")) # False

然而，这种模型存在明显的权限滥用风险。假设用户 A 误信了一个恶意用户 D，将文档的完全控制权限赋予了 D，那么 D 就可以随意篡改、删除该文档，甚至可能将文档内容泄露出去，给用户 A 带来严重的损失。

基于角色的访问控制（RBAC）

RBAC 模型根据角色来分配权限，不同的角色对应着不同的权限集合。

在一个企业的办公系统中，通常会有普通员工、部门经理、系统管理员等角色。普通员工角色可能只被赋予查看和编辑自己工作文档的权限，部门经理角色除了能操作自己的文档外，还可以查看和审批本部门员工的工作汇报，而系统管理员角色则拥有对整个系统的全面管理权限，包括添加用户、修改系统配置等。

我们可以用代码来进一步理解 RBAC 模型。以 Java 为例，创建角色枚举类和权限接口，以及用户类和权限分配类：

// 角色枚举类

enum Role {

NORMAL_EMPLOYEE, DEPARTMENT_MANAGER, SYSTEM_ADMIN

}

// 权限接口

interface Permission {

void execute();

}

// 普通员工权限实现类

class NormalEmployeePermission implements Permission {

@Override

public void execute() {

System.out.println("普通员工执行查看和编辑自己工作文档的操作");

}

}

// 部门经理权限实现类

class DepartmentManagerPermission implements Permission {

@Override

public void execute() {

System.out.println("部门经理执行查看和审批本部门员工工作汇报的操作");

}

}

// 系统管理员权限实现类

class SystemAdminPermission implements Permission {

@Override

public void execute() {

System.out.println("系统管理员执行添加用户、修改系统配置等操作");

}

}

// 用户类

class User {

private Role role;

private Permission permission;

public User(Role role) {

this.role = role;

assignPermission();

}

private void assignPermission() {

switch (role) {

case NORMAL_EMPLOYEE:

permission = new NormalEmployeePermission();

break;

case DEPARTMENT_MANAGER:

permission = new DepartmentManagerPermission();

break;

case SYSTEM_ADMIN:

permission = new SystemAdminPermission();

break;

}

}

public void performAction() {

permission.execute();

}

}

// 测试代码

public class RBACExample {

public static void main(String[] args) {

User normalEmployee = new User(Role.NORMAL_EMPLOYEE);

User departmentManager = new User(Role.DEPARTMENT_MANAGER);

User systemAdmin = new User(Role.SYSTEM_ADMIN);

normalEmployee.performAction();

departmentManager.performAction();

systemAdmin.performAction();

}

}

这种模型非常适用于角色相对固定的场景，它能极大地简化权限管理工作。例如，当公司新入职一名员工时，只需将其分配到相应的角色（如普通员工角色），该员工就自动获得了该角色所对应的所有权限，无需逐一为其设置权限。

基于属性的访问控制（ABAC）

ABAC 模型依据主体、客体和环境等多维度属性来确定访问权限，具有极高的灵活性。在云资源访问场景中，主体的属性可能包括用户所属的部门、职位级别、安全等级等；客体属性可以是云存储中的文件类型、敏感度等；环境属性则涵盖了当前的网络位置、时间等信息。

假设我们使用 Python 的pandas库来模拟一个简单的 ABAC 访问控制场景，对员工访问公司文件的权限进行控制：

import pandas as pd

# 模拟员工数据，包含部门、职位级别、安全等级

employees = pd.DataFrame({

"employee_id": [1, 2, 3],

"department": ["HR", "Engineering", "Finance"],

"position_level": [1, 2, 3],

"security_level": ["Low", "Medium", "High"]

})

# 模拟文件数据，包含文件类型、敏感度

files = pd.DataFrame({

"file_id": [101, 102, 103],

"file_type": ["Document", "Spreadsheet", "Report"],

"sensitivity": ["Low", "Medium", "High"]

})

# 模拟环境数据，包含网络位置、时间

environment = {

"network_location": "Internal",

"time": "09:00 - 17:00"

}

def check_access(employee_id, file_id):

employee = employees[employees["employee_id"] == employee_id].iloc[0]

file = files[files["file_id"] == file_id].iloc[0]

# 简单的访问控制逻辑，这里只是示例，实际更复杂

if employee["security_level"] == file["sensitivity"] and environment["network_location"] == "Internal":

return True

return False

# 测试访问

print(check_access(1, 101))

比如，在一家跨国公司中，位于总部的高级管理人员在工作时间内，可以访问公司云存储中所有机密级别的文件；而位于分支机构的普通员工，在非工作时间，即使通过了身份认证，也无法访问这些机密文件。在零信任访问场景中，ABAC 同样发挥着重要作用，它可以根据实时的环境变化，动态调整访问权限，确保访问的安全性。

越权访问漏洞

水平越权

水平越权是指相同权限级别的用户能够访问彼此的数据。这种漏洞通常源于参数处理不当或权限校验不严格。

以一个在线购物平台为例，用户 A 和用户 B 都是普通用户，拥有相同的权限。假设该平台在处理订单查询功能时，没有对用户请求中的订单 ID 参数进行严格的权限校验。用户 A 可以通过修改订单 ID，尝试访问用户 B 的订单信息。

在一个简单的 Web 应用示例中，使用 Node.js 和 Express 框架，如果代码编写不当，就可能出现水平越权漏洞。假设我们有如下代码来处理订单查询：

const express = require('express');

const app = express();

const orders = [

{ id: 1, userId: 1, items: ['item1'] },

{ id: 2, userId: 2, items: ['item2'] }

];

app.get('/orders/:id', (req, res) => {

const orderId = parseInt(req.params.id);

const order = orders.find(o => o.id === orderId);

if (order) {

res.json(order);

} else {

res.status(404).send('订单未找到');

}

});

const port = 3000;

app.listen(port, () => {

console.log(`Server running on port ${port}`);

});

在这个代码中，任何用户都可以通过修改 URL 中的id参数来查询任意订单，而没有对用户和订单的关联进行权限校验，就会导致用户 A 成功获取用户 B 的订单数据，包括购买的商品、收货地址等敏感信息，严重侵犯了用户 B 的隐私。

垂直越权

垂直越权是指低权限用户能够执行高权限操作。在一个企业的内部管理系统中，普通用户本应只能查看自己的个人信息和执行一些简单的业务操作。但如果系统存在权限控制缺陷，普通用户可能通过某些手段，如修改请求参数或利用系统漏洞，获取到管理员权限。

假设我们有一个使用 Flask 框架的简单用户管理系统，存在垂直越权漏洞：

from flask import Flask, request, jsonify

app = Flask(__name__)

users = {

1: {"role": "admin", "name": "admin_user"},

2: {"role": "user", "name": "normal_user"}

}

@app.route('/user/<int:user_id>', methods=['GET'])

def get_user(user_id):

if 'role' not in request.headers or request.headers['role'] not in ['admin', 'user']:

return jsonify({"error": "权限不足"}), 403

user = users.get(user_id)

if user:

if request.headers['role'] == 'admin' or (request.headers['role'] == 'user' and user['role'] == 'user'):

return jsonify(user)

else:

return jsonify({"error": "权限不足"}), 403

else:

return jsonify({"error": "用户未找到"}), 404

在这个示例中，如果普通用户通过修改请求头中的role字段为admin，就可能绕过权限检查，获取到管理员权限，从而可以对系统进行任意操作，包括删除重要数据、修改其他用户权限等，这将给企业带来巨大的损失。

零信任模型

基本原理

零信任模型秉持 “永不信任，始终验证” 的原则。在传统的网络安全模型中，通常默认内部网络是可信的，只要用户通过了一次认证，就可以在内部网络中自由访问各种资源。然而，随着网络安全威胁的日益复杂，这种传统模型已难以应对。零信任模型则完全摒弃了这种默认信任，无论是内部用户还是外部用户，无论是企业内部设备还是外部设备，在发起任何访问请求时，都需要进行严格的认证和授权。例如，即使是企业内部的员工，在访问公司内部的核心数据时，也需要再次进行身份验证，并且系统会根据该员工的实时状态、访问环境等因素，动态决定是否授予访问权限。

中心方案

零信任模型强调对网络流量和访问行为的持续监控与分析。通过多因素认证，如结合密码、指纹识别、短信验证码等多种方式进行身份验证，大大提高了认证的准确性和安全性。同时，遵循最小权限原则，只授予用户执行其工作所需的最小权限集合。

例如，一名开发人员在开发项目时，只需要访问与该项目相关的代码仓库和测试环境，系统就只授予其对这些特定资源的访问权限，而不会给予其对整个公司网络的广泛访问权限。通过持续监控网络流量和用户的访问行为，系统可以及时发现异常情况，如某个用户突然频繁访问敏感数据，或者某个设备在非工作时间发起大量网络请求，一旦发现异常，立即采取相应的措施，如阻断访问、发出警报等。

实现方式

零信任模型借助微隔离、软件定义边界等技术来构建安全访问边界，有效限制非法访问。

微隔离技术可以将网络划分为多个微小的安全区域，每个区域之间相互隔离，只有经过授权的流量才能在区域之间流动。例如，在一个大型企业的数据中心中，通过微隔离技术，将不同业务系统的服务器分别划分到不同的安全区域，即使某个区域内的服务器受到攻击，攻击者也很难横向移动到其他区域，从而有效限制了攻击范围。

软件定义边界（SDP）则通过在用户和资源之间建立一个虚拟的安全边界，只有经过认证和授权的用户才能穿越这个边界访问资源。例如，当用户访问企业的云应用时，SDP 会对用户的身份进行验证，并根据用户的权限决定是否允许其访问相应的云应用，从而为企业的云资源提供了一层强大的保护屏障。

小结

访问控制与业务需求紧密相连，一个合理的访问控制方案不仅能够保障系统的安全，还能提升产品的用户体验。例如，在设计一个在线教育平台的访问控制方案时，如果能够充分考虑教师、学生、管理员等不同角色的业务需求，为他们分配恰当的权限，那么教师可以方便地管理课程、批改作业，学生可以专注于学习课程内容，管理员可以高效地维护系统，从而提升整个平台的运行效率和用户满意度。反之，如果访问控制方案设计不合理，可能会导致用户操作不便，甚至引发安全问题。

零信任架构因其先进的安全理念，越来越受到企业的关注。然而，在实施零信任架构时，企业不能盲目照搬，而要结合自身的实际情况，如企业的网络架构、业务特点、安全需求等，制定出适合自己的实施方案。同时，企业在设计访问控制方案时，应始终遵循最小权限原则，这不仅可以降低安全风险，还能提高系统的管理效率。

总之，访问控制是 Web 安全领域中不可或缺的重要组成部分，深入理解和合理应用访问控制相关知识，对于保障系统安全、提升业务运营水平具有至关重要的意义。

喜欢就点点赞和评论关注一起进步呗