21、访问控制：策略、模型与机制

访问控制：策略、模型与机制

在访问控制领域，安全模型的构建至关重要。其中，非干扰原则是接口模型的基础之一。非干扰原则由 Goguen 和 Meseguer 提出，直观来讲，它要求高级输入不能干扰低级输出。非干扰约束增强了模型中可形式化和证明的安全属性，但需要注意的是，安全模型并不能确保系统的完全安全，它只是基于特定模型建立安全机制，只能证明模型中所涵盖的属性。

1. 增强自主访问控制（DAC）的强制限制

强制策略在安全性上优于自主策略，因为它能控制间接信息流，但应用起来可能过于僵化。因此，有不少方案尝试将强制流控制与自主授权相结合。

1.1 中国墙策略

中国墙策略旨在平衡商业自主性与强制控制，防止因信息流动导致个人顾问出现利益冲突。例如，单个顾问不应同时掌握两家银行或两家石油公司的信息。与 Bell 和 LaPadula 模型不同，该策略对数据的访问限制并非基于数据分类，而是取决于主体已访问的数据。

数据对象的层次组织如下：
- 基本对象：是单个的信息项，如文件，每个文件涉及单个公司。
- 公司数据集：定义了与同一公司相关的对象组。
- 利益冲突类：定义了涉及竞争公司的公司数据集。

中国墙策略根据以下两个属性限制访问：
- 简单安全规则 ：主体 s 只有在以下情况下才能被授予对对象 o 的访问权限：
- 对象 o 与主体 s 已访问的对象处于同一公司数据集，即“墙内”。
- 对象 o 属于完全不同的利益冲突类。
- *-属性 ：只有在满足以下条件时才允许写访问：