安全测试中的身份鉴别和访问控制

北京中电普华信息技术有限公司 张 静

身份认证服务、访问控制服务被ISO定义为网络安全标准中2个层次的安全服务。从接触安全测试工作以来，安全功能测试项中关于身份鉴别和访问控制的用例屡见不鲜，通过实际操作系统，现整理在实际工作中对身份鉴别和访问控制的理解并形成本文。

1 身份鉴别

1.1 概念

身份鉴别，别名身份认证，日常生活中，人们常把对主客体身份进行确认的过程称为认证过程，换言之，身份认证在电力软件行业及互联网行业中，可理解为当互联网用户想要访问系统或者受限制资源时，系统会对想要访问的用户身份进行识别和验证的一个过程。目的就是确认什么身份，什么角色，身份合不合法。

既然要对身份进行鉴别，首先得了解该身份具有什么特别之处，这就可以引入身份标识这个概念了。举个例子，坐火车，需要出示有效证件来证明我是‘我’，也就是说，身份标识是能够证明用户身份且证明用户独有特征的，一个人只有张身份证，每张身份证清楚地表明姓名、出生日期、出生地点、户口所在地以及个人照片等信息，‘我’是‘我’且只有一个我，所以身份标识必须具有唯一性。实际软件项目开发设计中，我们可以把身份标识通常设为用户名、用户ID等

身份标识确定之后，如何来确认什么身份，什么角色，合不合法?这就引进了身份鉴别。

1.2 身份鉴别的类型

身份鉴别通常划分为单向鉴别和双向鉴别。

单向鉴别是指在通信协议中，只有一方执行鉴别动作，在单向身份鉴别中，一个实体充当声称者；……