it-swarm-ru.tech

В чем смысл и разница между субъектом, пользователем и принципалом?

В контексте систем безопасности обычно встречаются несколько терминов субъект, пользователь и принципал, из которых я не смог найти четкого определение и разница между ними.

Итак, что именно означают эти термины, и почему нужны эти различия субъект и принципал?

147
ams

Они иерархичны в том смысле, что род, вид и особь иерархичны.

  • Subject - В контексте безопасности субъект - это любой объект, который запрашивает доступ к объекта . Это общие термины, используемые для обозначения объекта, запрашивающего доступ, и объекта, против которого сделан запрос. Когда вы входите в приложение, вы являетесь субъектом, а приложение - объектом. Когда кто-то стучит в вашу дверь, посетитель является субъектом, запрашивающим доступ, а ваш дом - объектом запроса.
  • Принципал - Подмножество субъекта , которое представлено учетной записью, ролью или другим уникальным идентификатором. Когда мы дойдем до уровня деталей реализации, принципалы - это уникальные ключи, которые мы используем в списках контроля доступа. Они могут представлять пользователей, автоматизацию, приложения, соединения и т.д.
  • Пользователь - Подмножество принципала , обычно ссылающегося на человека-оператора. Различие со временем стирается, потому что слова "пользователь" или "идентификатор пользователя" обычно взаимозаменяемы с "аккаунтом". Однако, когда вам необходимо провести различие между широким классом вещей, которые являются принципалами , и их подмножеством, которые являются интерактивными операторами, управляющими транзакциями в не -детерминированная мода, "пользователь" - это правильное слово.

Предмет/Объект наследуется от тех же терминов, что и в грамматике. В предложении субъект - это субъект, а объект - это то, над чем действовал. В этом смысле использование было вокруг еще до того, как были изобретены компьютеры. В контексте безопасности субъект - это все, что может сделать запрос. Как отмечалось выше, это не должно ограничиваться ИТ-безопасностью и поэтому является очень широкой классификацией. Интересно то, что субъект подразумевает объект. Без объекта нет субъекта.

Принципы - вот что решают субъекты. Когда вы представляете свою кредитную карту, вы - субъект, а номер счета - основной. В других случаях ваш основной идентификатор пользователя или удостоверение личности, выданное штатом. Но принципы могут быть связаны со многими типами субъектов, которые не являются людьми. Когда приложения делают запросы на функции системного уровня, принципал может подписать подписанный модуль исполняемого кода, но даже в этом случае пользователь, управляющий запросом, остается субъектом.

Пользователь более конкретен, чем субъект или принципал в том смысле, что он обычно относится к интерактивному оператору. Вот почему у нас есть графический интерфейс пользователя, а не основной графический интерфейс. Пользователь является экземпляром субъекта , который разрешается к принципалу . Один пользователь может разрешить любое количество участников, но ожидается, что любой участник разрешит одному пользователю (при условии, что люди соблюдают требование не предоставлять идентификаторы). В приведенном выше примере подписавшийся модуль исполняемого кода определенно не пользователь, но это действительный принципал. Интерактивный оператор, пытающийся загрузить модуль, является пользователем.

Как отмечается в комментариях, даже авторитетные источники не согласны с этими условиями. При подготовке этого ответа я искал NIST, SANS, IEEE, MITER и несколько "квазиавторизованных" источников, таких как руководства по проверке безопасности. Ни один источник, который я нашел, который был бы, по крайней мере, квази-авторитетным, не охватывал все три термина, и все они значительно различались в их использовании. Это мое понимание того, как следует использовать термины , но с практической точки зрения, когда вы переходите к руководству среди ночи, Определения, как правило, соответствуют тому, что говорят продавцы или авторы. Хотелось бы надеяться, что ответы здесь предоставят достаточно информации для навигации по водам и анализа любого документа безопасности с использованием этих терминов.

236
T.Rob
61
Marinus

Я думаю, что терминология взята из JAAS .

Когда приложение использует аутентификацию JAAS для аутентификации пользователя (или другого объекта, такого как служба), в результате создается субъект . Целью Субъекта является представление аутентифицированного пользователя. Субъект состоит из набора Принципалов , где каждый Принципал представляет личность для этого пользователя. Например, субъект может иметь имя принципал ("Сьюзан Смит") и принципал номера социального страхования ("987-65-4321"), тем самым отличая этот субъект от других субъектов.

15
Aravind R. Yarram

Subject это объект, который запрашивает услугу. Это может быть пользователь или процесс. Вероятно, поэтому имя пользователя было выбрано вместо пользователя.

Когда субъект пытается получить доступ к услуге, субъект должен быть сначала аутентифицирован. Успешная аутентификация заканчивается загрузкой Security Principals для этого субъекта. Например, в системе контроля доступа на основе ролей прошедший проверку (вошедший в систему) пользователь обычно имеет два принципала - userId и roleId. В таких системах привилегии (то есть, кто и к чему имеет доступ) указываются как для ролей, так и для пользователей. Во время авторизации (т. Е. Проверки, разрешена ли запрашиваемая услуга), система безопасности проверит доступность для обоих участников.

Следовательно, с точки зрения авторизации, субъекты являются фактическими объектами, доступ к которым разрешен или запрещен. Субъект - это просто пользователь/поток/процесс, который содержит некоторые принципы.

10
rahulmohan

Как объяснил T.Rob, субъект - это любая сущность, которая запрашивает доступ к объекту. Начиная с этого момента, я нашел комментарий к коду javax.security.auth.Subject, который я нашел ОЧЕНЬ полезным и простым для понимания:

"Субъекты могут потенциально иметь несколько идентификаторов. Каждая идентичность представлена ​​как субъект внутри субъекта. Принципалы просто связывают имена с субъектом. Например, субъект, являющийся человеком, Алиса, может иметь два принципала: один, связывающий" "Алиса Бар", имя в ее водительских правах, для субъекта, и другое, которое связывает, "999-99-9999", номер на ее карточке студента, для субъекта. Оба принципала относятся к одному и тому же субъекту, хотя каждый имеет другое имя. "

Надеюсь, поможет.

10
Rafael

Это ссылка для приведенного ниже объяснения из Oracle Java Документация SE.

Предметы, принципалы, аутентификация и учетные данные. Для авторизации доступа к ресурсам приложения сначала должны аутентифицировать источник запроса. Каркас JAAS определяет термин субъект для представления источника запроса. Субъектом может быть любая сущность, такая как человек или услуга. Предмет представлен классом javax.security.auth.Subject .

Аутентификация представляет процесс проверки личности субъекта и должна выполняться безопасным образом; в противном случае преступник может выдать себя за других, чтобы получить доступ к системе. Аутентификация обычно включает в себя предмет, демонстрирующий некоторую форму доказательства, чтобы доказать свою идентичность Такие доказательства могут представлять собой информацию, которую только вероятно мог бы знать или иметь только субъект (например, пароль или отпечаток пальца), или это может быть информация, которую может предоставить только субъект (например, подписанные данные с использованием личного ключа).

После проверки подлинности субъект заполняется соответствующими идентификаторами или принципалами (типа Java.security.Principal ). У субъекта может быть много Принципалов. Например, человек может иметь имя Принципал ("Джон Доу") и Принципал SSN ("123-45-6789"), которые отличают его от других субъектов.

В дополнение к связанным принципалам субъект может иметь атрибуты безопасности, которые называются учетными данными . Учетные данные могут содержать информацию, используемую для аутентификации субъекта новых услуг. Такие учетные данные включают пароли, билеты Kerberos и сертификаты открытых ключей. Учетные данные могут также содержать данные, которые позволяют субъекту выполнять определенные действия. Криптографические ключи, например, представляют учетные данные, которые позволяют субъекту подписывать или шифровать данные. Открытые и частные учетные классы не являются частью основного API J2SE. Следовательно, любой класс может представлять учетные данные.

4
fgul