Nel contesto dei quadri di sicurezza, comunemente si presentano alcuni termini soggetto , utente e principale , di cui non sono stato in grado di trovare una definizione chiara e la differenza tra di essi.
Quindi, cosa significano esattamente questi termini e perché sono necessarie queste distinzioni di soggetto e di principio ?
Risposte:
Questi sono gerarchici nel modo in cui genere, specie e individuo sono gerarchici.
Oggetto / Oggetto eredita dagli stessi termini usati in grammatica. In una frase il soggetto è l'attore e l'oggetto è la cosa recitata. In questo senso l'uso è in uso da prima dell'invenzione dei computer. In un contesto di sicurezza, un soggetto è tutto ciò che può fare una richiesta. Come notato sopra, questo non deve essere limitato alla sicurezza IT e quindi è una classificazione molto ampia. La cosa interessante è che il soggetto implica oggetto. Senza un oggetto, non c'è soggetto.
I presidi sono ciò che i soggetti risolvono. Quando presenti la tua carta di credito sei il soggetto e il numero di conto è il principale. In altri contesti l'ID utente o l'identificazione rilasciata dallo stato è il principale. Ma i presidi possono essere associati a molti tipi di soggetti che non sono persone. Quando le applicazioni fanno richieste per funzioni a livello di sistema, il principale può firmare un modulo di codice eseguibile firmato ma anche in quel caso l'utente che guida la richiesta rimane l'oggetto.
L'utente è più specifico del soggetto o dell'entità in quanto di solito si riferisce a un operatore interattivo. Ecco perché abbiamo un'interfaccia utente grafica e non un'interfaccia principale grafica. Un utente è un'istanza di soggetto che si risolve in un'entità . Un singolo utente può risolvere un numero qualsiasi di entità, ma si prevede che qualsiasi entità si risolva in un singolo utente (supponendo che le persone osservino il requisito di non condividere gli ID). Nell'esempio sopra, il firmatario di un modulo di codice eseguibile non è sicuramente l'utente, ma è un'entità valida. L'operatore interattivo che cerca di caricare il modulo è l'utente.
Come notato nei commenti, anche le fonti autorevoli non concordano su questi termini. Ho cercato NIST, SANS, IEEE, MITRE e diverse fonti "quasi autorevoli" come le guide agli esami di sicurezza mentre preparavo questa risposta. Nessuna singola fonte che ho trovato che fosse almeno quasi autorevole copriva tutti e tre i termini e differivano significativamente nel loro utilizzo. Questa è la mia opinione su come usare i termini , ma da un punto di vista pratico, quando stai studiando attentamente un manuale nel cuore della notte, le definizioni tendono ad essere qualunque sia il venditore o lo scrittore che dicono di essere. Speriamo che le risposte qui forniranno informazioni sufficienti per navigare nelle acque e analizzare qualsiasi documento di sicurezza usando questi termini.
John (human) SUBJECT > username_1 PRINCIPAL > password_1 USER John (human) SUBJECT > username_1 PRINCIPAL > password_2 USER John (human) SUBJECT > username_1 PRINCIPAL > smartcard_1 USER John (human) SUBJECT > username_1 PRINCIPAL > cellphone_1 USER
Dai un'occhiata alla mia mappa concettuale di autenticazione :
Penso che la terminologia sia presa da JAAS .
Quando un'applicazione utilizza l'autenticazione JAAS per autenticare l'utente (o un'altra entità come un servizio), di conseguenza viene creato un Soggetto . Lo scopo del Soggetto è rappresentare l'utente autenticato. Un Soggetto è composto da un insieme di Principali , in cui ciascun Principale rappresenta un'identità per quell'utente. Ad esempio, un Soggetto potrebbe avere un nome Principal ("Susan Smith") e un Principal Numero di previdenza sociale ("987-65-4321"), distinguendo così questo Soggetto da altri Soggetti.
Oggetto è l'entità che richiede un servizio. Può essere un utente o un processo. Probabilmente è per questo che è stato scelto il nome Oggetto anziché l'utente.
Quando un soggetto tenta di accedere a un servizio, deve prima essere autenticato. L'autenticazione corretta termina con il caricamento dei Security Principals per quell'oggetto. Ad esempio, in un sistema di controllo degli accessi in base al ruolo, un utente autenticato (connesso) avrà in genere due entità: userId e roleId. In tali sistemi, i privilegi (cioè chi può accedere a cosa) sono specificati sia per i ruoli che per gli utenti. Durante l'autorizzazione (ovvero verificando se il servizio richiesto dovrebbe essere autorizzato), il sistema di sicurezza verificherà l'accessibilità rispetto a entrambi i principali.
Pertanto, dal punto di vista dell'autorizzazione, i titolari sono le entità effettive per le quali è consentito o vietato l'accesso. Il soggetto è solo un utente / thread / processo che contiene alcuni principi.
Come spiegato da T.Rob, Oggetto è qualsiasi entità che richiede l'accesso a un oggetto. A partire da quel punto ho trovato un commento su javax.security.auth. Codice soggetto che ho trovato MOLTO utile e facile da capire:
"I soggetti possono potenzialmente avere identità multiple. Ciascuna identità è rappresentata come Principale all'interno del Soggetto. I Principali vincolano semplicemente i nomi a un Soggetto. Ad esempio, un Soggetto che sembra essere una persona, Alice, potrebbe avere due Principali: uno che si lega" Alice Bar ", il nome sulla sua patente di guida, al Soggetto e un altro che lega" 999-99-9999 ", il numero sulla sua carta di identità dello studente, al Soggetto. Entrambi i Principali si riferiscono allo stesso Soggetto anche se ciascuno ha un nome diverso ".
Spero che sia d'aiuto.
Questo è il link per l'esplorazione di seguito dalla documentazione Oracle JAVA SE.
Soggetti, entità, autenticazione e credenziali Per autorizzare l'accesso alle risorse, le applicazioni devono prima autenticare l'origine della richiesta. Il framework JAAS definisce il termine soggetto per rappresentare l'origine di una richiesta. Un soggetto può essere qualsiasi entità, come una persona o un servizio. Un soggetto è rappresentato dalla classe javax.security.auth.Subject .
L'autenticazione rappresenta il processo mediante il quale viene verificata l'identità di un soggetto e deve essere eseguita in modo sicuro; in caso contrario un autore potrebbe impersonare altri per ottenere l'accesso a un sistema. L'autenticazione in genere coinvolge il soggetto che dimostra una qualche forma di prova per dimostrare la sua identità. Tali prove possono essere informazioni che solo il soggetto potrebbe conoscere o avere (come una password o un'impronta digitale), oppure potrebbero essere informazioni che solo il soggetto potrebbe produrre (come i dati firmati che utilizzano una chiave privata).
Una volta autenticato, un Soggetto viene popolato con identità associate o Principali (di tipo java.security.Principal ). Un soggetto può avere molti principi. Ad esempio, una persona può avere un nome Principal ("John Doe") e un SSN Principal ("123-45-6789"), che lo distingue dagli altri Soggetti.
Oltre ai Principali associati, un Soggetto può possedere attributi relativi alla sicurezza, che vengono definiti credenziali . Una credenziale può contenere informazioni utilizzate per autenticare l'oggetto di nuovi servizi. Tali credenziali includono password, ticket Kerberos e certificati di chiave pubblica. Le credenziali potrebbero contenere anche dati che consentono al soggetto di svolgere determinate attività. Le chiavi crittografiche, ad esempio, rappresentano le credenziali che consentono al soggetto di firmare o crittografare i dati. Le classi di credenziali pubbliche e private non fanno parte dell'API J2SE principale. Qualsiasi classe, quindi, può rappresentare una credenziale.
secondo rahulmohan ， penso, prima che l'Autenticazione sia subjet, dopo che l'Autenticazione è fondamentale, a differenza, un subjet può avere molti pricipali