關(guān)於身份的那些事之（一）身份標(biāo)識、身份認(rèn)證、授權(quán)和可問責(zé)性

信息安全在當(dāng)今社會關(guān)係中扮演著核心角色，它不僅保障了個(gè)體的隱私和權(quán)益，促進(jìn)了社會信任和秩序的建立，還是實(shí)現(xiàn)資源公平分配、維護(hù)社會穩(wěn)定和推動經(jīng)濟(jì)發(fā)展的關(guān)鍵因素，對構(gòu)建和諧社會和文化傳承具有深遠(yuǎn)影響。

信息安全的根本就是通過控制信息資源如何被訪問來防範(fàn)資源泄露或未經(jīng)授權(quán)的修改。

一、什麼是訪問控制

訪問控制是一種安全手段，它控制用戶和系統(tǒng)與其他的系統(tǒng)和資源進(jìn)行通信和交互。它能夠保護(hù)系統(tǒng)和資源免受未經(jīng)授權(quán)的訪問，並且在認(rèn)證通過後授權(quán)訪問的等級。訪問資源和信息的實(shí)體包括用戶、程序、進(jìn)程、系統(tǒng)、終端等多種類型的實(shí)體。訪問是在主體和客體之間的一種信息傳輸。所謂主體是一個(gè)主動的實(shí)體，它提出對客體中的對象或數(shù)據(jù)的訪問要求，如能夠訪問信息的用戶、程序、進(jìn)程等。所謂客體是含有被訪問信息的被動實(shí)體，如一臺計(jì)算機(jī)，一個(gè)數(shù)據(jù)庫，一個(gè)文件，一個(gè)程序等。訪問控制使得用戶能夠控制、限制、監(jiān)控以及保護(hù)資源的可用性、完整性和機(jī)密性。

二、CIA安全三原則

機(jī)密性(Confidentiality)
機(jī)密性就是保護(hù)信息不對未授權(quán)的實(shí)體泄露。
訪問控制機(jī)制需要規(guī)定誰能夠訪問該數(shù)據(jù)以及能夠?qū)υ摂?shù)據(jù)做什麼操作，這些活動都需要被控制、審計(jì)和監(jiān)控。

完整性(Integrity)
信息必須是準(zhǔn)確的、完整的和未授權(quán)不可以修改的。
如果一種安全機(jī)制提供完整性，它將保護(hù)數(shù)據(jù)免受未授權(quán)的修改，或者如果發(fā)生了非法的修改這種安全機(jī)制會發(fā)出警告。
比如：雜湊算法、數(shù)字簽名、消息校驗(yàn)碼等機(jī)制可以實(shí)現(xiàn)信息的完整性保護(hù)。

可用性(Availability)
信息、系統(tǒng)和資源必須在時(shí)間上能夠保證用戶的使用，這樣才不會影響工作的進(jìn)程。一般採用容錯(cuò)和恢復(fù)機(jī)制。

三、身份及身份認(rèn)證

在信息世界中，身份是一個(gè)實(shí)體區(qū)別於其他實(shí)體的一種標(biāo)識。身份在一定範(fàn)圍內(nèi)具有唯一性。身份可以標(biāo)識一個(gè)用戶，一臺機(jī)器，一個(gè)物體，一些虛擬的實(shí)體等。

身份認(rèn)證也稱為“身份驗(yàn)證”或“身份鑒別”，它是指在計(jì)算機(jī)及網(wǎng)絡(luò)中確認(rèn)實(shí)體身份的過程或是要確認(rèn)通信的另一端的實(shí)體是誰的過程，從而確認(rèn)該實(shí)體是否具有對某種資源的訪問和使用權(quán)限，使訪問策略能夠可靠有效執(zhí)行。

用戶身份認(rèn)證，用戶要向系統(tǒng)證明他就是他所聲稱的那個(gè)人。

機(jī)、物、虛擬實(shí)體的身份認(rèn)證即實(shí)體認(rèn)證，主要是指在通信中向另一端證明就是所聲稱的設(shè)備，即數(shù)據(jù)來源認(rèn)證。

身份認(rèn)證的作用：

 ? 防止攻擊者假冒合法用戶獲得資源的訪問權(quán)限

 ? 保證系統(tǒng)和數(shù)據(jù)安全

 ? 保證授權(quán)訪問者的合法利益

四、訪問控制和身份認(rèn)證的關(guān)係

對用戶來說，他必須證明他是他所聲稱的那個(gè)人，他擁有憑證並且被授予了一定的權(quán)限能夠完成某個(gè)操作，那麼他就可以訪問某類資源。一旦這些步驟成功，這個(gè)用戶就能夠訪問和使用資源，但還需要跟蹤這個(gè)用戶的活動並且能夠?qū)λ男袨檫M(jìn)行審計(jì)。

標(biāo)識是一種能夠確保主體就是它所聲稱的那個(gè)實(shí)體的方法。標(biāo)識可以通過一些證明來確認(rèn)，如用戶名或賬號。為了正確的身份認(rèn)證，用戶還需要提供進(jìn)一步的憑證，如密碼、PIN、生物特徵或令牌。如果匹配，那麼主體就通過了身份認(rèn)證。

接下來，系統(tǒng)需要確定這個(gè)主體是否具備相應(yīng)的權(quán)限來完成它將要執(zhí)行的操作。如果主體能夠訪問該資源，那麼主體就被授權(quán)。

主體在一個(gè)系統(tǒng)或域內(nèi)的行為應(yīng)當(dāng)可問責(zé)，即主體能夠被唯一標(biāo)識，並且主體的動作被記錄在案。

標(biāo)識、認(rèn)證、授權(quán)和可問責(zé)性這4步必須都發(fā)生，主體才能訪問到客體。

圖1 主體訪問客體4個(gè)步驟

用戶的身份認(rèn)證方式有三種：他知道的內(nèi)容，他持有的證明，他自身帶來的特徵。也就是根據(jù)知識進(jìn)行認(rèn)證、根據(jù)所有權(quán)進(jìn)行認(rèn)證以及根據(jù)特徵（生物特徵、行為特徵）進(jìn)行認(rèn)證。

授權(quán)。認(rèn)證和授權(quán)互相配合完成兩步操作才能確認(rèn)用戶是否能訪問一個(gè)資源。第一步是身份認(rèn)證，用戶必須向系統(tǒng)證明他就是他所聲稱的那個(gè)人，第二步系統(tǒng)必須確認(rèn)用戶已被授權(quán)訪問資源，且確認(rèn)用戶能對該資源執(zhí)行哪些操作。

三十年前隨著互聯(lián)網(wǎng)的快速發(fā)展，信息安全遭遇前所未有的挑戰(zhàn)，在這個(gè)關(guān)鍵時(shí)刻，握奇應(yīng)運(yùn)而生，開始嘗試用公開密鑰體系實(shí)現(xiàn)有效認(rèn)證。從1995年開發(fā)的中國銀行“長城卡網(wǎng)絡(luò)授權(quán)系統(tǒng)”，到2021推出的TGoMOS?天歌開放式多應(yīng)用安全操作系統(tǒng)；從PKI USB一代key到一系列FIDO硬件安全密鑰產(chǎn)品；握奇以密碼算法應(yīng)用技術(shù)、數(shù)字安全防護(hù)技術(shù)和安全芯片操作系統(tǒng)技術(shù)為基礎(chǔ)，為全球用戶的身份認(rèn)證提供了一系列軟硬件產(chǎn)品和服務(wù)。

用戶可以通過基於PKI的智能密碼鑰匙產(chǎn)品，使用USB接口或藍(lán)牙連接到電腦、手機(jī)等終端設(shè)備，快速、安全地完成登錄認(rèn)證。目前，握奇數(shù)據(jù)FIDO系列產(chǎn)品和基於PKI的智能密碼鑰匙產(chǎn)品獲得了國家商用密碼檢測中心頒發(fā)的密碼模塊二級證書，美國NIST頒發(fā)的FIPS 104-3 Level 2認(rèn)證證書，這些產(chǎn)品可以有效防範(fàn)安全攻擊，保證用戶身份認(rèn)證安全。