AAA (ACCESS CONTROL, AUTHENTICATION, AUDITING)

A: Access Control

Định nghĩa: là quá trình resource hoặc service được cho phép hoặc từ chối trên hệ thống máy tính hoặc network.

4 bước điều khiển truy cập

Identification (ID): 1 user khi truy cập vào hệ thống máy tính thì phải xuất trình ID (ví dụ username)

Authentification: xác thực, chống giả mạo (ví dụ dựa vào ID user cung cấp phí trên hệ thống sẽ kiểm tra password)

Authorization: ủy quyền, hệ thống sẽ gán quyền tương ứng cho user

A computer user is granted access: hệ thống chỉ cung cấp ứng dụng và dịch vụ phù hợp với quyền của user

Để thực hiện 4 bước điều khiển truy cập trên dùng 3 thành phần sau:

Hardware

Software

Policy

Các thuật ngữ:

Protected object: system resource cần được bảo vệ. VD: memory, file…

Subject: thực thể chủ động yêu cầu việc truy cập đến tài nguyên.

Access Mode: loại truy cập. VD: read,write…

Các phương pháp điều khiển truy cập

Smart card

Kiểm tra sinh trắc học

Remote access services (RAS)

Virtual Private Network (VPNs)

Wireless Access Point (WAP)

A: Authentication

Định nghĩa: Quá trình xác thực nhằm chứng minh một người dùng trong quá trình tiếp cận tài nguyên hệ thống như đăng nhập hay truy xuất dữ liệu.

Là 1 phần của quá trình nhận dạng và xác thực (identification and authentification – I & A)

Nhận dạng là báo cho hệ thống biết họ là ai.

Nhận dạng dựa vào:

Computer name

MAC Address

IP Address

Xác thực dựa vào:

Something you know (password, Personal Identification Number – PIN…)

Something you have (Smart Card…)

Something you are (dấu vân tay, giọng nói, võng mạc mắt…)

Các phương pháp xác thực:

Kerberos

Challenge Handshake Authentication Protocol (CHAP)

Certificate

Username/ Password

Tokén

Multi – factor: xác thực kết hợp nhiều nhân tố, ít nhất là sự kết hợp của 2 nhân tố xác thực

Mutual Authentication: xác thực lẫn nhau

Biometrics: sinh trắc học 

A: Auditing: theo dõi

Là quá trình giám sát người dùng, khi truy cập hệ thống người dùng có thể không chỉ truy cập phù hợp với quyền hạn của họ mà còn có thể truy cập vào những tài nguyên khác vì vậy cần có chính sách giám sát công việc của họ