Xác thực và Kiểm soát Truy cập

Xác thực xác minh một bên là ai, và kiểm soát truy cập quyết định bên đó có thể làm gì; cùng nhau, chúng là những người gác cổng thực thi chính sách bảo mật trong mọi hệ thống đa người dùng.

Definition

Xác thực là quá trình thiết lập sự tin cậy vào một danh tính được tuyên bố, trong khi kiểm soát truy cập là việc thực thi các quy tắc xác định chủ thể đã được xác thực nào có thể thực hiện các thao tác nào trên các tài nguyên nào.

Scope

Chủ đề này bao gồm xác minh danh tính (mật khẩu, xác thực đa yếu tố, sinh trắc học, thông tin xác thực mật mã, đăng nhập một lần) và các mô hình, cơ chế ủy quyền (danh sách kiểm soát truy cập, khả năng, kiểm soát truy cập dựa trên vai trò và dựa trên thuộc tính, nguyên tắc đặc quyền tối thiểu). Nó đề cập đến danh tính liên kết và các giao thức như OAuth và SAML. Nó không bao gồm các nguyên thủy mật mã làm nền tảng cho thông tin xác thực và các kiểm soát lớp mạng được xử lý trong bảo mật mạng.

Core questions

• Làm thế nào một hệ thống có thể xác minh đáng tin cậy rằng một bên là người mà họ tuyên bố?
• Những sự đánh đổi nào tồn tại giữa các yếu tố xác thực dựa trên kiến thức, quyền sở hữu và bản chất?
• Các mô hình kiểm soát truy cập (DAC, MAC, RBAC, ABAC) thể hiện và thực thi chính sách như thế nào?
• Nguyên tắc đặc quyền tối thiểu được áp dụng trong thực tế như thế nào?
• Danh tính được liên kết giữa các tổ chức thông qua đăng nhập một lần như thế nào?

Key concepts

• các yếu tố xác thực
• xác thực đa yếu tố
• mật khẩu và lưu trữ thông tin xác thực
• sinh trắc học
• danh sách kiểm soát truy cập và khả năng
• kiểm soát truy cập dựa trên vai trò (RBAC)
• kiểm soát truy cập dựa trên thuộc tính (ABAC)
• đặc quyền tối thiểu
• đăng nhập một lần và danh tính liên kết

Key theories

Các yếu tố xác thực và xác thực đa yếu tố

Danh tính được xác minh bằng thứ bạn biết (mật khẩu), có (thiết bị hoặc điện thoại), hoặc là (sinh trắc học); việc kết hợp các yếu tố độc lập giúp nâng cao đáng kể rào cản chống lại việc đánh cắp thông tin xác thực, vì việc xâm phạm một yếu tố là không đủ.

Các mô hình kiểm soát truy cập và đặc quyền tối thiểu

Ủy quyền được cấu trúc thông qua các mô hình — kiểm soát truy cập tùy ý và bắt buộc, dựa trên vai trò (RBAC) và dựa trên thuộc tính (ABAC) — mà, được hướng dẫn bởi đặc quyền tối thiểu, cấp cho mỗi chủ thể chỉ những quyền mà nó cần, hạn chế thiệt hại do sự xâm phạm.

Mechanisms

Các cơ chế xác thực xác minh một yếu tố: so sánh một hàm băm mật khẩu đã được thêm muối (salted password hash), xác thực một mã dùng một lần hoặc chữ ký của thiết bị phần cứng, hoặc khớp một mẫu sinh trắc học. Xác thực mật mã (chứng chỉ khóa công khai, FIDO2/WebAuthn) chứng minh quyền sở hữu khóa riêng mà không gửi bí mật. Ủy quyền sau đó tham khảo một chính sách: danh sách kiểm soát truy cập gắn quyền với tài nguyên, khả năng gắn chúng với chủ thể, và RBAC/ABAC tính toán các quyết định từ vai trò hoặc thuộc tính. Các giao thức danh tính liên kết (OAuth, OIDC, SAML) cho phép một nhà cung cấp bảo đảm cho một người dùng đối với nhiều dịch vụ.

Clinical relevance

Xác thực và kiểm soát truy cập là nơi hầu hết các cuộc tấn công thực tế thành công hoặc thất bại: mật khẩu bị đánh cắp hoặc có thể bị lừa đảo gây ra phần lớn các vụ vi phạm, đó là lý do tại sao xác thực đa yếu tố và khóa truy cập chống lừa đảo (WebAuthn) hiện đang được khuyến nghị mạnh mẽ. RBAC quản lý quyền trong các doanh nghiệp và nền tảng đám mây, và đăng nhập một lần (đăng nhập Google, Microsoft) định hình trải nghiệm người dùng hàng ngày và các rủi ro bảo mật của nó.

Evidence & guidelines

NIST SP 800-63 (Hướng dẫn Danh tính Kỹ thuật số) định nghĩa các cấp độ đảm bảo xác thực và hướng dẫn mật khẩu hiện đại (ưu tiên độ dài và kiểm tra vi phạm hơn là độ phức tạp bắt buộc). RBAC được chuẩn hóa thành INCITS 359, và FIDO2/WebAuthn cung cấp xác thực chống lừa đảo. OAuth 2.0 (RFC 6749) và OpenID Connect chuẩn hóa ủy quyền và xác thực liên kết.

History

Kiểm soát truy cập có từ các hệ thống chia sẻ thời gian ban đầu, với ma trận kiểm soát truy cập của Lampson và mô hình bắt buộc Bell-LaPadula đã chính thức hóa nó vào những năm 1970. Kiểm soát truy cập dựa trên vai trò được Sandhu và các đồng nghiệp chính thức hóa vào năm 1996 và trở thành tiêu chuẩn doanh nghiệp. Xác thực đã phát triển từ mật khẩu thông qua các thiết bị phần cứng và mật khẩu dùng một lần đến các khóa truy cập đa yếu tố và chống lừa đảo ngày nay, trong khi danh tính liên kết (SAML, sau đó là OAuth/OIDC) đã cho phép đăng nhập một lần trên quy mô web.

Key figures

• Ravi Sandhu
• Ross Anderson
• Jerome Saltzer
• Butler Lampson
• Roger Needham

Seminal works

• anderson2020
• sandhu1996
• saltzer1975

Frequently asked questions

Tại sao xác thực đa yếu tố lại được khuyến nghị mạnh mẽ như vậy?

Mật khẩu một mình thường xuyên bị đánh cắp thông qua lừa đảo, tái sử dụng và vi phạm cơ sở dữ liệu. Yêu cầu một yếu tố độc lập thứ hai (một thiết bị hoặc sinh trắc học) có nghĩa là mật khẩu bị đánh cắp không đủ để đăng nhập, ngăn chặn phần lớn các cuộc tấn công chiếm đoạt tài khoản.

Sự khác biệt giữa RBAC và ABAC là gì?

Kiểm soát truy cập dựa trên vai trò cấp quyền thông qua các vai trò được gán cho người dùng, điều này đơn giản để quản lý. Kiểm soát truy cập dựa trên thuộc tính đưa ra quyết định từ các thuộc tính của người dùng, tài nguyên và ngữ cảnh (chẳng hạn như thời gian hoặc địa điểm), mang lại các chính sách động, chi tiết hơn với chi phí phức tạp hơn.