网络安全知识：什么是授权？

授权是信息安全和访问管理中的一个基本概念。确定谁可以访问特定资源以及他们可以执行哪些操作至关重要。

本文将深入探讨授权概念，研究其重要性、各种模型和实际应用。

了解授权

授权是授予或拒绝用户或系统访问资源的特定权限。

它是身份和访问管理(IAM)的关键组件，包含身份验证（验证身份）和授权（授予权限）。

身份验证可以确保用户是他们所声称的身份，而授权则决定了经过身份验证的用户可以执行哪些操作。

授权的工作原理

授权是一个关键的安全组件，它决定用户可以访问哪些资源以及可以执行哪些操作。

它确保只有具有适当权限的用户才能与特定资源交互，从而维护数据的完整性和机密性。以下是授权工作原理的详细分步概述：

步骤 1：初始身份验证

在授权之前，用户必须首先验证其身份。

这通常需要输入用户名和密码，但生物识别或多因素身份验证 (MFA) 等更安全的方法也越来越多地被使用。身份验证可验证用户是否是他们所声称的身份。

第 2 步：授权请求

经过身份验证后，用户将请求访问特定资源。此请求包括用户的身份详细信息（例如用户名）以及相关属性（例如角色或群组隶属关系）。这些属性对于确定用户的访问权限至关重要。

步骤 3：访问控制评估

访问控制系统接收授权请求并根据预定义的策略或规则进行评估。

这些策略定义了谁可以在什么条件下访问特定资源。评估过程通常涉及检查：

• 用户角色：用户有哪些角色？例如，他们是员工、经理还是管理员？

• 权限：这些角色允许执行哪些操作？例如，只读或读写访问。

• 条件：是否存在必须满足的特定条件，例如基于时间的访问限制或基于位置的条件？

步骤 4：授权决策

根据对访问控制策略的评估，系统做出授权决策：

• 授予访问权限：如果用户的属性和请求符合策略，则授予他们访问资源的权限。

• 拒绝访问：如果请求不符合所需条件或策略，则拒绝访问。用户被告知他们无法访问该资源。

步骤 5：活动记录

做出授权决定后，所有相关信息都会被记录下来。其中包括以下详细信息：

• 访问时间：何时访问该资源？

• 用户身份：谁访问或试图访问资源？

• 活动详情：执行了哪些操作？

此日志记录对于审计和合规性目的至关重要。它提供了用户活动的踪迹，有助于检测和调查安全事件。

步骤 6：撤销权限

访问权限可根据预定义策略随时撤销，也可由管理员手动撤销。撤销可能因用户角色变更、终止雇佣或安全策略更新而发生。撤销权限后：

• 拒绝访问：用户无法再访问该资源。

• 日志记录：撤销后的任何访问尝试都将被记录下来，以用于审计和调查目的。

授权的实际应用

授权是各个领域中许多实际应用程序不可或缺的一部分：

1.云服务

AWS、Azure 和 Google Cloud 等云提供商使用 IAM 服务来管理用户对云资源的访问。可以为用户分配具有特定权限的角色，确保安全高效的资源管理。

2.协作工具

Google Docs 和Microsoft Teams等应用程序使用授权机制来控制用户文档共享和编辑权限。所有者可以指定谁可以查看或编辑文档，从而在保持安全性的同时增强协作。

3. 电子商务平台

电子商务平台实施授权以安全地管理客户帐户和交易。它们确保只有授权用户才能查看个人信息或进行购买。

4. 医疗保健系统

在医疗保健系统中，授权控制确保只有授权人员才能访问患者记录和敏感数据，从而遵守 HIPAA 等法规。

授权策略模型

在计算机系统中实现授权有几种策略：

1.基于角色的访问控制（RBAC）

RBAC 根据角色而不是单个用户分配权限。角色是与组织内的工作职能相关的权限集合。例如：

• “经理”角色可能包括批准休假申请和访问财务报告的权限。

• “开发人员”角色可能包括修改代码存储库的权限。

RBAC 允许管理员分配角色而不是管理每个用户的单独权限，从而简化了管理。

2.基于属性的访问控制（ABAC）

ABAC 使用用户、资源和环境属性来确定访问权限。属性可以包括用户角色、部门名称、位置，甚至一天中的时间。例如：

• 在线商店可能会根据用户的年龄属性授予购买酒精的权限。

• 系统可能会根据用户的位置属性限制对敏感数据的访问。

ABAC 通过考虑多种属性来对访问决策提供细粒度的控制。

3.基于关系的访问控制（ReBAC）

ReBAC 关注的是实体之间的关系，而不是静态角色或属性。它考虑实体如何连接，并使用这些关系来确定访问权限。示例包括：

• 作为项目团队一员的用户可以访问与项目相关的文档。

• 授予编辑权限的父文件夹会自动将其扩展到子文件。

ReBAC 在关系频繁变化的动态环境中特别有用。

授权用例和示例

授权，通常缩写为 AuthZ，是各种系统中的关键安全组件。

它决定用户的行为并确保只有授权的个人才能访问某些资源或执行特定的操作。

以下是一些真实场景，展示了跨不同域授权的实际应用。

1. 操作系统中的授权

操作系统 (OS) 实施授权来管理用户对文件、应用程序和系统设置的访问。这可确保敏感操作仅由具有必要权限的用户执行。

例子：

• 管理员访问：在许多操作系统中，安装软件或修改关键系统设置需要管理员权限。尝试执行这些操作的标准用户将被提示输入管理员密码，以确保只有具有提升权限的用户才能进行重大更改。

2. Web 应用程序中的授权

Web 应用程序使用授权来根据用户的角色或权限控制用户对应用程序不同部分的访问。这对于维护数据隐私和完整性至关重要。

例子：

• 电子商务平台：在电子商务网站上，客户可以浏览产品并下订单，但只有具有特定权限的登录用户才能访问订单历史记录或个人帐户详细信息。此外，管理用户可能有权管理库存或查看客户数据。

3. 数据库中的授权

数据库采用授权机制来限制用户对敏感数据的访问，确保用户只能与他们能够看到或修改的数据进行交互。

例子：

• 基于角色的访问：在公司数据库中，人力资源部门的员工可能有权访问员工记录，但无权访问财务数据。相反，财务团队成员可能对工资表具有只读访问权限，但对预算报告具有完全访问权限。

4.云环境中的授权

云环境提供灵活的资源管理，但需要强大的授权控制来安全访问虚拟机和存储等虚拟资源。

例子：

• 云资源管理：在 AWS 或 Azure 等云平台中，可以为用户分配“虚拟机操作员”或“存储管理员”等角色。“虚拟机操作员”可能有权启动和停止虚拟机，但不能修改网络设置，而“虚拟机管理员”可以完全控制虚拟机的所有方面。

5.物联网设备中的授权

物联网 (IoT)涉及大量连接设备，这些设备通常会处理敏感数据。授权对于保护这些设备免受未经授权的访问至关重要。

例子：

• 智能家居安全：智能安全摄像头可能要求用户在访问实时信息或远程更改设备设置之前进行身份验证。这可以防止未经授权的个人控制设备，并确保只有受信任的用户才能管理其功能。

授权是信息安全的一个重要方面，它决定谁可以访问资源以及他们可以执行什么操作。

组织可以通过实施 RBAC、ABAC 或 ReBAC 等强大的授权策略来增强安全性，同时提供灵活高效的访问控制。

原文始发于微信公众号（祺印说信安）：网络安全知识：什么是授权？