深入解析The-Art-of-Hacking项目中的访问控制模型：DAC、MAC、RBAC与ABAC-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00524/article/details/148362464

深入解析The-Art-of-Hacking项目中的访问控制模型：DAC、MAC、RBAC与ABAC

h4cker This repository is primarily maintained by Omar Santos (@santosomar) and includes thousands of resources related to ethical hacking, bug bounties, digital forensics and incident response (DFIR), artificial intelligence security, vulnerability research, exploit development, reverse engineering, and more. 项目地址: https://gitcode.com/gh_mirrors/h4/h4cker

前言

在信息安全领域，访问控制是保护系统资源免受未授权访问的核心机制。本文将深入探讨四种主流的访问控制模型：自主访问控制(DAC)、强制访问控制(MAC)、基于角色的访问控制(RBAC)和基于属性的访问控制(ABAC)。这些模型在The-Art-of-Hacking项目中有着重要应用，理解它们的区别和适用场景对于构建安全系统至关重要。

一、自主访问控制(DAC)

1.1 基本概念

自主访问控制(Discretionary Access Control, DAC)是最常见也最灵活的访问控制模型。在这种模型中，资源的所有者有权决定谁可以访问该资源以及以何种方式访问。

1.2 核心特点

基于身份：访问决策基于请求者的身份
所有者控制：资源所有者拥有完全的控制权
权限传播：所有者可以将权限授予其他用户

1.3 典型应用

DAC常见于Unix/Linux文件系统中，用户可以使用chmod命令设置文件权限。例如：

chmod 755 myfile.txt  # 设置文件权限为rwxr-xr-x

1.4 优缺点分析

优点：

配置灵活，适合小型组织
用户对自有资源有完全控制权

缺点：

权限管理可能变得复杂
存在权限传播风险(如"权限蔓延"问题)

二、强制访问控制(MAC)

2.1 基本概念

强制访问控制(Mandatory Access Control, MAC)是一种严格的访问控制模型，访问决策基于系统预定义的安全策略，用户无法更改这些策略。

2.2 核心特点

基于标签：使用安全标签(如机密、秘密、绝密)
系统强制：访问规则由系统强制执行
不可更改：普通用户无法修改访问规则

2.3 典型应用

MAC常见于高安全等级系统，如SELinux(Security-Enhanced Linux)就是MAC的实现。在SELinux中，每个进程和文件都有安全上下文：

user:role:type:sensitivity

2.4 优缺点分析

优点：

提供高级别的安全保障
防止权限滥用

缺点：

配置复杂
灵活性差，不适合需要频繁变更的环境

三、基于角色的访问控制(RBAC)

3.1 基本概念

基于角色的访问控制(Role-Based Access Control, RBAC)通过将权限分配给角色而非个人用户来简化权限管理。

3.2 核心特点

角色中心：权限与角色关联而非用户
最小权限：用户只获得完成工作所需的最小权限
层级结构：支持角色继承

3.3 典型应用

RBAC广泛应用于企业系统，如：

数据库管理系统(如Oracle、MySQL)
企业资源规划(ERP)系统
云计算平台(IAM服务)

3.4 优缺点分析

优点：

简化权限管理
支持职责分离
易于审计

缺点：

角色爆炸问题(角色过多)
动态权限调整不够灵活

四、基于属性的访问控制(ABAC)

4.1 基本概念

基于属性的访问控制(Attribute-Based Access Control, ABAC)是最灵活的模型，它基于用户、资源、环境等多种属性进行访问决策。

4.2 核心特点

多维度属性：考虑用户属性、资源属性、环境属性等
动态决策：访问决策可以基于实时条件
细粒度控制：支持非常精细的权限控制

4.3 典型应用

ABAC适用于复杂场景：

云计算环境(如AWS IAM策略)
信息系统(基于特定关系)
时间/位置敏感的系统

示例ABAC策略：

{
  "Effect": "Allow",
  "Action": "read",
  "Resource": "records",
  "Condition": {
    "Equals": {
      "user.department": "Research",
      "resource.owner": "${user.id}"
    }
  }
}

4.4 优缺点分析

优点：

极高的灵活性
支持复杂策略
适应动态环境

缺点：

实现复杂
策略管理难度大
性能开销可能较大

五、四种模型的对比分析

| 特性 | DAC | MAC | RBAC | ABAC | |---------------------|------------------------------|------------------------------|------------------------------|------------------------------| | 控制粒度 | 中等 | 粗粒度 | 中等 | 细粒度 | | 管理复杂度 | 用户数量增加时复杂度高 | 高 | 中等 | 高 | | 灵活性 | 高 | 低 | 中等 | 非常高 | | 适用场景 | 小型组织/个人系统 | 高安全需求环境 | 企业环境 | 复杂/动态环境 | | 实施难度 | 低 | 高 | 中等 | 高 |