Nghiên cứu kiểm soát truy cập dựa trên phân vai và ứng dụng

Tuy nhiên, việc truy cập mạng và sử dụng tài nguyên nói chung từ những mạng nhỏ như LAN, MAN cho đến những mạng lớn như WAN, Internet đòi hỏi người quản trị phải có sự phân định rõ ràng

Bùi Văn Tâm

NGHIÊN CỨU KIỂM SOÁT TRUY CẬP DỰA TRÊN PHÂN VAI

Luận văn được hoàn thành tại:

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

Người hướng dẫn khoa học: PGS.TS Nguyễn Linh Giang

Phản biện 1: TS Nguyễn Phương Thái

Phản biện 2: PGS TS Đặng Văn Chuyết

Luận văn sẽ được bảo vệ trước Hội đồng chấm luận văn thạc sĩ tại Học viện Công nghệ Bưu chính Viễn thông

Vào lúc: 11 giờ 10, ngày 20 tháng 01 năm 2013.

Có thể tìm hiểu luận văn tại:

- Thư viện của Học viện Công nghệ Bưu chính Viễn thông

I MỞ ĐẦU

1 Lý do chọn đề tài

Ngày nay, với sự phát triển không ngừng, vượt bậc của khoa học máy tính nói riêng và công nghệ thông tin nói chung đặc biệt là hệ thống mạng toàn cầu, các dịch vụ truy cập tài nguyện, quản trị từ xa dễ dàng và phong phú được sử dụng một cách nhanh chóng và tin cậy Tuy nhiên, việc truy cập mạng và sử dụng tài nguyên nói chung từ những mạng nhỏ như LAN, MAN cho đến những mạng lớn như WAN, Internet đòi hỏi người quản trị phải

có sự phân định rõ ràng về quyền hạn sử dụng của mỗi người dùng được phép truy cập hệ thống và tài nguyên mạng Vấn đề sẽ đơn giản nếu hệ thống mạng vừa và nhỏ, việc quản trị sẽ dễ dàng hơn khi quản trị viên tạo và cấp quyền người dùng một cách cụ thể với số lượng ít, nhưng một trong những vấn đề thách thức nhất trong việc quản lý các mạng lớn là

sự phức tạp của an ninh trong việc truy cập hệ thống cũng như tài nguyên chia sẻ Như vậy bện cạnh sự phát triển của các hệ thống mạng lớn với sự dồi dào của tài nguyên chia sẻ cũng như truy cập hệ thống mọi lúc, mọi nơi thì cũng luôn luôn gặp phải những khó khăn

mà nó mang lại như không kiểm soát được người dùng truy cập hệ thống mạng, An ninh hệ thống có thể tốn kém và dễ bị lỗi bởi vì các quản trị viên thường chỉ định các danh sách kiểm soát truy cập cho mỗi người dùng trên hệ thống cá nhân, vô hình chung tạo điều kiện cho Hacker tấn công phá hoại mạng.

Kiểm soát truy cập dựa trên vai trò – Role-Based Access Control (RBAC còn gọi là bảo mật dựa trên phan vai), chính thức hóa vào năm 1992 bởi David Ferraiolo và Rick Kuhn, đã trở thành mô hình chủ yếu để kiểm soát truy cập tiên tiến, vì nó làm giảm chi phí quản trị Ngày nay, hầu hết các nhà cung cấp công nghệ thông tin đã kết hợp RBAC vào dòng sản phẩm của họ, và công nghệ đang tìm kiếm các ứng dụng trong các lĩnh vực khác nhau, từ chăm sóc y tế, quốc phòng, ngoài các hệ thống thương mại chính thống mà nó được thiết kế Đến năm 2010, đa số các doanh nghiệp có số lượng người dùng từ 500 hoặc nhiều hơn đều sử dụng RBAC Với RBAC, an ninh được quản lý ở một mức độ tương ứng chặt chẽ với cấu trúc của tổ chức Mỗi người sử dụng được chỉ định một hoặc nhiều quyền hạn, và mỗi quyền được phân công một hoặc nhiều đặc quyền cho phép người sử dụng trong quyền đó An ninh hệ thống với RBAC bao gồm xác định các hoạt động phải được thực hiện bởi người dùng trong công việc cụ thể, và nhân viên với vai trò thích hợp Phức tạp được giới thiệu bởi hai bên vai trò độc quyền hoặc phân cấp vai trò được xử lý bởi các phần mềm RBAC, an ninh quản lý dễ dàng hơn.

2 Mục đích nghiên cứu

Truy cập là khả năng làm một cái gì đó với một nguồn tài nguyên máy tính (ví dụ, sử dụng, thay đổi, hoặc xem) Kiểm soát truy cập là phương tiện có khả năng được rõ ràng

cho phép hoặc hạn chế một cách nào đó (thường là thông qua điều khiển vật lý và dựa trên

hệ thống) Kiểm soát truy cập dựa trên máy tính có thể quy định không chỉ những người hoặc những quá trình có thể có quyền truy cập vào tài nguyên hệ thống cụ thể, mà còn truy cập được phép Những điều khiển này có thể được thực hiện trong hệ thống máy tính hoặc trong các thiết bị bên ngoài.

Với kiểm soát truy cập dựa trên vai trò, quyết định truy cập dựa trên vai trò mà người dùng cá nhân như là một phần của một tổ chức Người dùng có vai trò được giao (chẳng hạn như y tá, bác sĩ, nhân viên giao dịch, quản lý) Quá trình xác định vai trò cần phải được dựa trên một phân tích toàn diện của một tổ chức hoạt động như thế nào và nên bao gồm đầu vào từ một phổ rộng của người sử dụng trong một tổ chức.

Quyền truy cập được nhóm lại theo tên vai trò, và việc sử dụng các nguồn lực bị hạn chế cho các cá nhân có thẩm quyền đảm nhận vai trò liên quan Ví dụ, trong một hệ thống bệnh viện về vai trò của bác sĩ có thể bao gồm các hoạt động để thực hiện chẩn đoán, kê toa thuốc, và phòng thí nghiệm để kiểm tra và vai trò của nhà nghiên cứu có thể được giới hạn để thu thập những thông tin lâm sàng cho các nghiên cứu.

Kiểm soát truy cập dựa trên vai trò (RBAC) là một tính năng bảo mật cho người dùng truy cập kiểm soát với nhiệm vụ mà thông thường sẽ được hạn chế quyền đến thư mục gốc Bằng cách áp dụng các thuộc tính bảo mật cho các quy trình và cho người dùng, RBAC có thể phân chia khả năng siêu người dùng nhiều trong số các quản trị viên Quy trình quản lý quyền được thực hiện thông qua các đặc quyền

Vì thế, việc sử dụng vai trò kiểm soát truy cập sẽ là một phương tiện hiệu quả để phát triển và thực thi các chính sách bảo mật doanh nghiệp cụ thể, và tinh giản quá trình quản lý

hệ thống.

3 Đối tượng và phạm vi nghiên cứu

Tập trung nghiên cứu và đánh giá các kỹ thuật RBAC trong các hệ thống mạng của các doanh nghiệp vừa và nhỏ (số lượng người dùng từ 500 trở lên) sử dụng các hệ thống Server trên nền tảng hệ điều hành Windows Server hoặc Linux.

4 Phương pháp nghiên cứu

Kết hợp các nghiên cứu trước đây về kỹ thuật RBAC trong các tài liệu chuyên ngành

và các phương pháp sử dụng RBAC trong các hệ thống mạng lớn để kiểm nghiệm và ứng dụng trên nền tảng hệ điều hành Windows Server hoặc Linux

II NỘI DUNG

CHƯƠNG 1 TỔNG QUAN VỀ BÀI TOÁN KIỂM SOÁT

TRUY CẬP

1.1 Các khái niệm và bài toán kiểm soát truy cập

Access Control hay kiểm soát truy cập, được chia thành 2 thành phần là Access và Control Access được biết đến như việc truy cập các tài nguyên của một chủ thể (Subject) tới một đối tượng (Object), Control được biết đến là hành động cho phép hoặc không cho phép truy cập, cũng như các phương thức áp dụng cho Access Control

Một chủ thể (Subject) có thể là Users, Program, Service…và đối tượng (Object) có thể là File, Database, hay một Service nào đó; việc xác định chủ thể

để cấp cho quyền hạn truy cập vào đối tượng là công việc chủ yếu của Access Control Áp dụng Access Control vào trong cuộc sống rất nhiều, và cũng có rất nhiều mô hình dựng nên cho Access Control này

Xem xét một số ví dụ về Access Control, khóa cửa là một cách thức áp dụng Access Control vì chỉ có người có chìa khóa (Subject) mới có thể mở khóa và sử dụng phòng (Object) Ở ví dụ này, người là chủ thể, khóa và chìa khóa là phương thức áp dụng, còn phòng là đối tượng

Việc xác định chủ thể (Subject) thường được biết đến với cái tên là Identify,

có nhiều cách để định danh, nhận diện, giữa các chương trình với nhau có thể sử dụng các PID (Process ID), cũng có thể dựa trên Username, hoặc một Biometric như giọng nói, vân tay … Việc này không khó, và dĩ nhiên để đảm bảo chính xác là người đó thì cần phải kiểm chứng thông qua một vài điều bí mật mà chỉ

có người đó mới biết, chẳng hạn như Password, PIN, Token, hoặc là Biometric (Fingerprint), và lần này sẽ dùng những thông tin đó cùng với thuật toán, cách thức xử lý để đối chiếu thông tin và ‘thẩm định’ có đúng người đó hay không Quá trình này được gọi là Authentication, tức là chứng thực; chứng thực có thể chỉ sử dụng một lần hoặc nhiều lần tùy thuộc chính sách và cũng có thể có nhiều phương pháp, cách thức khác nhau

Nói chung là có rất nhiều thủ thuật, từ việc trực tiếp sử dụng kỹ thuật hoặc không cần đế kỹ thuật như Social Engineering là cách thức không cần nhiều đến

kỹ thuật, hoặc là khống chế người thân của ai đó để có được thông tin mình cần (nghe có vẻ bạo lực quá) hoặc là cài key-logger cho nó nhẹ nhàng và liên quan tới kỹ thuật một tí

Đó chính là lý do mà việc kiểm soát truy cập ra đời và kiểm soát cũng đi liền với giám sát (bao gồm cả Monitoring và Recording, tức là cả Prevention lẫn Detection)

1.2 Thực tế chính sách, mô hình và cơ chế kiểm soát truy cập tại các

doanh nghiệp

Khi các doanh nghiệp ngày càng coi việc truy cập mạng ở khắp nơi là yếu tố quan trọng đối với thành công của mình, thì họ nhanh chóng nhận ra rằng kiểm soát, bao quát và quản lý truy cập của các ứng dụng và người dùng là những công cụ hữu hiệu để loại bỏ những nguy cơ rủi ro trước những tấn công cả bên trong lẫn ngoài mạng Tương tự, kiểm soát truy cập mạng đang ngày càng được nâng cấp từ việc thiết lập những kiểm soát việc lúc đăng nhập, cho phép người dùng Guest truy cập và đánh giá chính sách điểm cuối, tới thực thi một cách linh hoạt các chính sách và kiểm soát sau khi đăng nhập, quản lý truy cập ứng dụng theo quyền cũng như bao quát và kiếm soát ứng dụng và mạng Giải pháp Kiểm soát truy cập hợp nhất - United Access Control (UAC) phiên bản 2.1 sẽ cải tiến khả năng của giải pháp này để đáp ứng những yêu cầu về bảo mật và kiểm soát truy cập ngày càng tăng của các doanh nghiệp kinh doanh trên nền mạng hiệu suất cao Giải pháp Kiểm soát truy cập hợp nhất sẽ giải quyết những vấn đề: Cung cấp khả năng kiểm soát, báo cáo, quản lý truy cập của ứng dụng và người dung; giải quyết triệt để vấn đề về tuân thủ quy định một cách hiệu quả hơn trong khi loại bỏ được những rủi ro và nguy cơ tiềm ẩn trước những hình thái đe dọa ngày càng tăng trong môi trường mạng Với việc tăng cường khả năng kiểm soát truy cập đối với lưu lượng mạng bằng cách thực thi các chính sách bảo mật rộng hơn và sâu hơn đối với lõi mạng và mạng vùng biên, UAC 2.1 sẽ loại bỏ

được những rủi ro liên quan đến nguy cơ mất an toàn thông tin - một nguồn tài nguyên trọng yếu của doanh nghiệp trong môi trường kinh tế mạng ngày nay.

1.3 Chính sách bảo mật hiện nay tại các tổ chức, cơ quan

Trong môi trường kinh tế, chính trị, và xã hội ngày nay, giải quyết vấn đề an ninh đang trở thành một điều cần thiết cốt lõi cho hầu hết, nếu không phải tất cả, các tổ chức khách hàng đang đòi hỏi nó như là mối quan tâm về sự riêng tư và

sự gia tăng hành vi trộm cắp danh tính Đối tác kinh doanh, nhà cung cấp, và các nhà cung cấp đang đòi hỏi từ những người khác, đặc biệt là khi cung cấp lẫn nhau mạng và truy cập thông tin Gián điệp thông qua việc sử dụng mạng để đạt được cạnh tranh trí tuệ và tống tiền các tổ chức đang trở nên phổ biến hơn Quốc gia và các quy định quốc tế đang kêu gọi các tổ chức (và các nhà lãnh đạo của họ) để chứng minh việc chăm sóc do liên quan đến an ninh

CHƯƠNG 2 KIỂM SOÁT TRUY CẬP DỰA TRÊN PHÂN

VAI - RBAC

2.1 Giới thiệu tổng quan, khái niệm RBAC

2.1.1 Vai trò và các khái niệm liên quan

Vai trò là một bộ sưu tập các quyền nhất định, nhiệm vụ và vị trí mô tả tình trạng trong tổ chức, các nhà phát triển tạo ra các vai trò theo các chức năng công việc được thực hiện trong công ty hay tổ chức, cấp các quyền cho các vai trò này và sau cùng là gán những người sử dụng vào các vai trò này dựa trên cơ sở trách nhiệm

và năng lực của công việc đặc thù đó

Một vai trò có thể trình bày một nhiệm vụ cụ thể như là một vai trò bác sĩ hay vai trò một nhà điều hành kinh doanh Một vai trò bao gồm quyền và trách nhiệm trong đó quyền và trách nhiệm được phân biệt rất rõ ràng Một người có thể có quyền quản lý nhiều phòng ban nhưng anh ta chỉ có trách nhiệm đối với phòng ban

cụ thể được quản lý Các vai trò cũng có thể phản ánh trách nhiệm cụ thể được gán vòng quanh qua nhiều người sử dụng, ví dụ như trách nhiệm của một bác sĩ hay một nhân viên làm ca

Các vai trò định nghĩa cả sự cho phép riêng biệt cụ thể để truy cập các tài nguyên và quy mô của các tài nguyên được truy cập Lấy ví dụ một vai trò người điều hành có thể truy cập tất cả các tài nguyên máy tính nhưng không thể thay đổi các quyền truy cập của mình, hay một kiểm toán viên chỉ có thể truy cập vào máy tính để kiểm tra sổ sách Các vai trò được sử dụng để quản trị hệ thống trong nhiều

hệ điều hành mạng như NetWare của Novell hay WindowNT của Microsoft

2.1.2 Các loại kiểm soát truy cập

2.1.2.1 Kiểm soát truy cập bắt buộc - Mandatory Access Control

(MAC)

2.1.2.2 Kiểm soát truy cập tùy quyền - Discretionary access

control (DAC)2.1.2.3 Kiểm soát truy cập dựa trên phân vai (vai trò) – Role-

Based Access Control (RBAC)

2.2 Sự khác nhau giữa RBAC, MAC và DAC.

Những động lực chính đằng sau RBAC là khả năng xác định và thực thi chính sách kiểm soát truy cập trong doanh nghiệp một cách cụ thể và đơn giản hóa quá trình quản lý chuyên môn của người đứng đầu RBAC đại diện cho một tiến bộ lớn trong sự linh hoạt và chi tiết kiểm soát từ các tiêu chuẩn hiện có của DAC và MAC

 MAC (Mandatory Access Control)

 DAC (Discretionary access control)

 RBAC (Role-Based Access Control)

2.3 Các tiêu chuẩn về RBAC do NIST đề xuất.

Tiêu chuẩn này mô tả các tính năng RBAC đã được chấp nhận trong thị trường thương mại Nó bao gồm một mô hình tham chiếu và các chi tiết kỹ thuật đặc tả chức năng cho RBAC được xác định trong mô hình tham chiếu

Tiêu chuẩn này bao gồm hai phần chính - mô hình tham chiếu RBAC và hệ thống RBAC với đặc tả chức năng quản trị

Mô hình tham chiếu RBAC định nghĩa tập hợp các yếu tố cơ bản RBAC (tức

là, users, roles, permissions, operations, and objects) và các loại quan hệ, các chức năng được bao gồm trong tiêu chuẩn này Mô hình tham chiếu RBAC phục vụ hai mục đích Đầu tiên, mô hình tham chiếu xác định phạm vi của tính năng RBAC được bao gồm trong tiêu chuẩn Xác định các thiết lập tối thiểu các tính năng bao gồm trong tất cả các hệ thống RBAC, các khía cạnh của hệ thống phân cấp vai trò, các khía cạnh của mối quan hệ ràng buộc tĩnh, và các khía cạnh của mối quan hệ ràng buộc năng động Thứ hai, mô hình tham chiếu cung cấp một ngôn ngữ chính xác và nhất quán, trong điều khoản của bộ phần tử và các chức năng để sử dụng trong việc xác định các đặc tả chức năng

2.3.1 Core RBAC (RBAC 0)

Hình 2 Mô hình tổng quát Core RBAC

2.3.2 Role hierarchy

Hình 3 Mô hình tổng quát Role hierarchy (RBAC 1)

2.3.2.1 General Role Hierarchies

2.3.2.2 Limited Role Hierarchies

2.3.3 Constrained RBAC

2.3.3.1 Các quan hệ Static SoD (SSD)

2.3.3.2 Các quan hệ Dynamic SoD (DSD)

2.3.4 RBAC 3

2.4 Quản lý truy cập phân vai trong RBAC

Trong an ninh đối với các hệ thống máy tính, điều khiển truy cập trên cơ sở vai trò (RBAC) là một trong số các phương pháp điều khiển và đảm bảo quyền sử dụng cho người dùng Đây là một phương pháp có thể thay thế điều khiển truy cập

tùy quyền (discretionary access control - DAC) và điều khiển truy cập bắt buộc (mandatory access control - MAC).

Điều khiển truy cập dựa trên cơ sở vai trò (RBAC) khác với các hình thức điều khiển truy cập tùy quyền – DAC và điều khiển truy cập bắt buộc – MAC DAC và MAC trước đây là hai mô hình duy nhất được phổ biến trong điều khiển truy cập Nếu một hệ thống không dùng DAC thì người ta chỉ có thể cho rằng hệ thống đó dùng MAC mà không có lựa chọn thứ ba Song sau những cuộc nghiên cứu vào những năm 90 đã cho thấy RBAC không phải là DAC hay MAC

Trong nội bộ một tổ chức, các vai trò (role) được kiến tạo để đảm nhận các chức năng công việc khác nhau Mỗi vai trò được gắn liền với một số quyền hạn

(permissions) cho phép nó thao tác một số hoạt động cụ thể Các thành viên trong lực lượng cán bộ công nhân viên (hoặc những người dùng trong hệ thống) được

phân phối một vai trò riêng, và thong qua việc phân phối vai trò này mà họ tiếp thu được một số những quyền hạn cho phép họ thi hành những chức năng cụ thể trong

hệ thống

Vì người dùng không được cấp phép trực tiếp, mà chỉ tiếp thu được quyền hạn

thông qua vai trò của họ (hoặc các vai trò), việc quản lý quyền hạn của người dùng

trở thành một việc khá đơn giản, và người ta chỉ cần chỉ định những vai trò thích hợp cho người dùng mà thôi Việc chỉ định vai trò này đơn giản hóa những công việc thông thường như việc cho thêm một người dùng vào trong hệ thống, hay đổi

phòng công tác (department) của người dùng.

Hình 8 Điểm khác biệt giữa RBAC và các mô hình truyền thống