Bài giảng Bảo mật cơ sở dữ liệu: Chương 4 - Trần Thị Kim Chi

Bài giảng Bảo mật cơ sở dữ liệu - Chương 4: Role based access control models (Điều khiển truy cập dựa trên vai trò) trình bày các nội dung: Role-Based Access control, các tiêu chuẩn RBAC do NIST đề xuất, core RBAC, operations, permissions assignment, the role hierarchy,... Mời các bạn cùng tham khảo.

ROLE BASED ACCESS CONTROL MODELS Điều khiển truy cập dựa vai trò Đặt vấn đề Sự phức tạp bảo mật quản trị  Khi hệ thống có số lượng lớn chủ thể đối tượng tham gia ủy quyền trở nên lớn phức tạp  Khi hệ thống có nhiều người sử dụng thao tác cấp quyền thu hồi quyền khó thực khó quản lý Để giải vấn đề người ta dùng chế Role Based access control model Giới thiệu  Điều khiển truy cập dựa vai trò (Role Based Access Control-RBAC)      Phát minh vào năm 1970 Áp dụng với hệ thống đa người dùng đa ứng dụng trực tuyến Còn gọi Điều khiển Truy cập không tùy ý Quyền truy cập dựa chức công việc RBAC gán quyền cho vai trò cụ thể tổ chức Các vai trò sau gán cho người dùng Giới thiệu  Điều khiển truy cập dựa vai trò (Rule Based Access Control-RBAC)     Tự động gán vai trò cho chủ thể dựa tập quy tắc người giám sát xác định Mỗi đối tượng tài nguyên chứa thuộc tính truy cập dựa quy tắc Khi người dùng truy cập tới tài nguyên, hệ thống kiểm tra quy tắc đối tượng để xác định quyền truy cập Thường sử dụng để quản lý truy cập ngưới dùng tới nhiều hệ thống  Những thay đổi doanh nghiệp làm cho việc áp dụng quy tắc thay đổi Role-Based Access Control  Ý tưởng trọng tâm RBAC permission (quyền hạn) kết hợp với role (vai trò) user (người sử dụng) phân chia dựa theo role thích hợp  RBAC làm đơn giản việc quản lý permission.Tạo role cho chức công việc khác tổ chức USER phân role dựa vào trách nghiệm hạn cua ho.Những role cấp permission hủy bỏ permission cần thiết Role-Based Access Control  Các khái niệm bản:     User (Người dùng) - người, máy, trình, vv Role tập hợp bao gồm quyền (permission) role khác Đối tượng tham số đặc quyền để hạn chế quyền truy cập vào tập hợp đối tượng Session(phiên) phần quan trọng RBAC phân biệt với chế group truyền thống Session cho phép kích hoạt tập hợp role gán cho user Nếu khơng có session tất role user ln kích hoạt dẫn đến việc vi phạm đặc quyền tối thiếu Role-Based Access Control  Quyền hạn (permission): cho phép thực câu lệnh SQL phép truy xuất đến đối tượng  Chỉ cấp cho user xác quyền mà user cần đến Việc cấp dư thừa quyền khơng cần thiết gây nguy hại cho việc bảo mật hệ thống     Một permission cặp object-method hay class-method môi trường hướng đối tượng Một permission cặp table-query hay view-query ứng dụng CSDL Permissions are assigned to roles: Permission assignment (PA): rolepermission Users are assigned to roles: User assignment (UA): user-role Role-Based Access Control Có loại quyền: • Quyền hệ thống (System Privilege): • Là quyền thực tác vụ CSDL cụ thể quyền thực loại hành động tất đối tượng schema hệ thống • Vd: quyền ALTER SYSTEM, quyền CREATE TABLE, quyền DELETE ANY TABLE (xóa hàng bảng CSDL),… • User cấp quyền hệ thống có điều kiện sau: • User cấp quyền hệ thống với tùy chọn WITH ADMIN OPTION • User có quyền GRANT ANY PRIVILEGE Role-Based Access Control Quyền đối tượng (Schema Object Privilege Object Privilege): • Là quyền thực hành động cụ thể đối tượng schema cụ • Vd: quyền xóa hàng liệu khỏi bảng Department • Có nhiều quyền đối tượng khác dành cho loại đối tượng schema khác • Dùng để quản lý việc truy xuất đến đối tượng schema cụ thể • User cấp quyền đối tượng có điều kiện sau: • User có tất quyền đối tượng tất đối tượng thuộc schema Vì user có quyền cấp quyền đối tượng đối tượng thuộc sở hữu cho user khác • User có quyền GRANT ANY OBJECT PRIVILEGE User cấp quyền đối tượng với tùy chọn WITH GRANT OPTION Role-Based Access Control • Vai trò (Role) "là tập hợp quyền (permissions)” Configuring RBAC to Enforce MAC and DAC Configuring RBAC to Enforce MAC and DAC Configuring RBAC to Enforce MAC and DAC Configuring RBAC for DAC   The basic idea is to simulate the owner-centric policies of DAC using roles that are associated with each object    Strict DAC – only owner can grant access Liberal DAC – owner can delegate discretionary authority for granting access to an object to other users Create an Object For every object O that is created, three administrative roles and one regular role are also created (we show only Read operation) Eight Permissions  The following eight permissions are also created along with creation of each object O       canRead_O: assigned to the role READ_O (authorizes read operation on object O) destroyObject_O: assigned to the role OWN_O (authorizes deletion of the object) addReadUser_O, deleteReadUser_O: assigned to the role PARENT_O (add/remove users to/from role READ_O) addParent_O, deleteParent_O: assigned to the role PARENTwithGRANT_O (add/remove users to/from role PARENT_O) addParentWithGrant_O, deleteParentWithGrant_O: assigned to the role OWN_O (add/remove users to/from PARENTwithGRANT_O) Object deletion removes the roles OWN_O, PARENT_O, PARENTwithGRANT_O and READ_O along with the permissions Roles and associated Permissions  OWN_O   PARENTwithGRANT_O   addParent_O, deleteParent_O PARENT_O   destroyObject_O, addParentWithGrant_O, deleteParentWithgrant_O addReadUser_O, deleteReadUser_O READ_O  canRead_O Strict DAC   Only owner has discretionary authority to grant access to an object Example:    Cardinality constraints on roles:     Alice has created an object (she is owner) and grants access to Bob Now Bob cannot propagate the access to another user OWN_O = PARENT_O = PARENTwithGRANT_O = By virtue of the role hierarchy, owner can change assignments of the role READ_O Liberal DAC  Owner can delegate discretionary authority for granting access to other users    One Level grant Two Level Grant Multilevel Grant One Level Grant  Owner can delegate authority to another user but they cannot further delegate this power  Cardinality constraints as:    Role OWN_O = Role PARENTwithGRANT O = No restriction on Parent_O One Level Grant  In addition to a one level grant the owner can allow some users to delegate grant authority to other users  Cardinality constraints as:  Role OWN_O = Multi-Level Grant   In addition to a one level grant the owner can allow some users to delegate grant authority to other users Cardinality constraints as:   Additional permission    Role OWN_O = PARENTwithGRANT_O AddParentWithGrant_O DeleteParentWithGrant_O  Grant independent revocation Revocation     Grant-Independent Revocation Grant may be revoked by anyone (not necessarily the granter) Alice grants Bob access, but Bob’s access may be revoked by Charles Grant-Dependent Revocation   Revocation is tied to the granter grants Bob access, and only Alice can revoke Bob’s access Grant-Dependent Revocation Grant-Dependent Revocation    We need a different administrative role U_PARENT_O and a regular role U_READ_O for each user U authorized to a one-level grant by owner We also need two new administrative permissions    addU_ReadUser_O, deleteU_ReadUser_O: assigned to U_PARENT_O authorize the operations to add users to role U_Read_O and delete users from U_Read_O cardinality of U_PARENT_O = Summary     Group is NOT the same as Role Role hierarchy is NOT the same as company (report-to) hierarchy RBAC can support SoD, data abstraction and least privilege RBAC can be used to configure DAC and MAC ... thiết gây nguy hại cho việc bảo mật hệ thống     Một permission cặp object-method hay class-method mơi trường hướng đối tượng Một permission cặp table-query hay view-query ứng dụng CSDL Permissions... Role-Based Access Control  RBAC sách trung lập, trực tiếp hỗ trợ ba nguyên tắc bảo mật tiếng:  đặc quyền - Least Privilege  tách biệt nhiệm vụ - Separation of duties  trừu tượng hóa liệu .-. .. thể thành phần khác RBAC    Mối quan hệ Role-Permission Mối quan hệ User - Role Mối quan hệ Role - Role Role-Based Access Control Mối quan hệ Role-Permission  Một role tương ứng với quyền permission