Topic: Access Control

Course:

Date: 20210314

Professor: Wentz Wu

Access Control

主體(subject)對客體(object)的存取必須受到安全核心(security kernel)的3A管制。主體是主動方，客體是被動方；主體對客體的存取動作分為簡單的讀取(read)動作及其它的動作，如寫入(write)。安全核心的任務就是作存取制，也就是驗證身份(authentication)、檢查授權(authorization)及記錄行為(accounting)。

• Identity and Access management (I+3A)
• Security Kernel : 負責存取控制的安全元件 (Authentication, Authorization, Accounting )
• Authentication : 身份驗證是檢查Subject自己宣稱的身份(identity)是否為真, 通常都只檢查帳號及密碼
• 身份驗証協定
• Authorization:授權是指Subject(身份驗證通過後)對Object提出存取請求, 這個請求是被拒絕或接受, 就是(系統的)授權決定.XACML， OAuth2是與授權有關, 不用在身份驗證
• Accounting: Audit , Accountability

Access Control Example

• 身份驗証三步驟
  • 出示身份: 如果是卡片, 會有一些smard card的標準(但不用管它)
  • 檢查身份: X.500, LDAP
  • 通知結果: SAML, OIDC

OASIS制度了很多以XML為基礎的協定, 如SAML, XACML, SPML這些markup language

(XML) SAML (業界標準Token) = Security Assertion Modeling Language

(Json)OIDC = OpenID Connect (OAuth2)

Identity and Access Management

• Identity Management (IdM)
  • User Life Cycle
  • Registration
  • Identity Proofing
  • ID Cards
  • Provisioning/De-Provisioning (SPML)