7.3 身份认证与访问控制
本篇定位：身份认证与访问控制是信息安全多选辨析重灾区（9 年直接命中 10+ 题：2019 单77、2020 单24/36/62、2021 单25/75/76、2023 单70/76/多95、2025 单76、2026 单48），且金融场景实务题高频（离职撤销、最小权限、外包权限）。考点：认证因子与双因子、DAC/MAC/RBAC、最小权限、职责分离、账户锁定、chmod 权限。核心能力：三大访问控制模型对比 + 最小权限/职责分离/离职撤销三动作。 数据依据：
01-真题/真题文本/+01-真题/考点汇总/+05-笔记/信息安全-高频考点清单.md；答案以专业判断为准。 阅读提示：访问控制与 4.1 完整性、7.9 金融合规（外包权限）衔接；DAC 与 2.3 文件权限（chmod）衔接。
一、考点定位（本章真题统计）
| 考点 | 真题锚点 | 频次 | 考法 |
|---|---|---|---|
| 认证因子/双因子 | 2020 单62 | 1 年 | 两种因子（口令+令牌）更安全 |
| 弱认证识别 | 2021 单76 | 1 年 | 统一制发初始口令最不安全 |
| DAC vs MAC vs RBAC | 2019 单77、2021 单25 | 2 年 | DAC 灵活；MAC 强制；RBAC 角色 |
| 最小权限 | 2021 单75、2023 多95、2025 单76、2026 单48 | 4 年 4 题 | 离职即撤销；补偿性控制；不用管理员账号 |
| 职责分离 | 2023 单76 | 1 年 | 开发员访问安全系统软件=违背职责分离 |
| 账户锁定 | 2023 单70 | 1 年 | 防暴力破解 |
| chmod/权限交集 | 2020 单24/36 | 1 年 2 题 | 744 读写执行；文件权限取交集 |
命题规律：认证访问控制考"模型对比 + 实务动作"——最小权限（4 年 4 题）是绝对主角（离职/外包/管理员账号场景）。2027 预测 2–3 题：最小权限场景、DAC/MAC/RBAC 辨析、双因子。核心能力：最小权限三动作（撤销/补偿/不用管理员）+ 三大模型一句话。
二、知识框架（先搭骨架）
身份认证（你是谁）
├── 认证因子（2020 单62）
│ ├── 知识：口令/PIN
│ ├── 持有：令牌/智能卡/手机验证码
│ ├── 生物：指纹/人脸/虹膜
│ └── 双因子=两类不同因子（口令+令牌）比单因子安全
├── 弱认证识别（2021 单76）
│ └── 统一制发的初始口令最不安全（人人相同，必须立即改）
└── 账户锁定（2023 单70）
└── 多次失败锁定账户 → 防暴力破解
访问控制（你能做什么）
├── 三大模型（2019 单77、2021 单25）
│ ├── DAC 自主访问控制：属主自己决定谁能访问（Windows/Unix 文件权限）——灵活
│ ├── MAC 强制访问控制：系统强制按安全标签（机密/秘密）——严格
│ └── RBAC 基于角色：按角色分配权限（银行柜员/经理）——最常用
├── 最小权限原则（2021 单75、2026 单48 等，4 年 4 题）
│ ├── 离职/轮岗：立即撤销原职责权限、离职即注销（2026 单48）
│ ├── 特权过多：先检查是否有有效的补偿性控制（2021 单75）
│ └── 普通操作不用管理员账号（2023 多95）
├── 职责分离（2023 单76）
│ └── 开发/运维/安全角色分开（开发员不能访问安全系统软件）
└── 权限数字与交集（2020 单24/36）
├── chmod 744：属主读写执行、组只读、其他只读
└── 文件+文件夹权限取交集（文件读+写、文件夹只读→最终只读）
一句话记忆：认证三因子（口令/令牌/生物）+ 双因子更安全；访问控制三模型（DAC 灵活/MAC 强制/RBAC 角色）；最小权限三动作（离职即撤/查补偿/不用管理员）；职责分离三角色分开。
三、考点详解
3.1 认证因子与双因子（2020 单62）
精确定义：身份认证因子三类：
- 所知（知识）：口令、PIN；
- 所有（持有）：令牌、智能卡、短信验证码；
- 所是（生物）：指纹、人脸、虹膜。
2020 单62（选双因子）：使用两种不同类别的因子（如口令+动态令牌）比单一因子更安全——双因子认证。
坑：双因子=两类不同因子（口令+指纹），不是"两个口令"。
3.2 弱认证识别（2021 单76）
2021 单76（选最不安全）：信息系统运行管理方统一制发的初始口令最不安全——所有人初始口令相同、容易被猜中/泄露，必须登录后立即修改。
口诀：初始口令=人人一样的公开秘密，最弱。
3.3 DAC vs MAC vs RBAC（2019 单77、2021 单25，必考）
| 模型 | 全称 | 核心 | 特点 |
|---|---|---|---|
| DAC | 自主访问控制 | 资源属主自主决定谁能访问 | 灵活性高（2019 单77）；Windows/Unix 文件权限 |
| MAC | 强制访问控制 | 系统强制按安全标签（密级）控制 | 严格、安全性高（军事/涉密） |
| RBAC | 基于角色访问控制 | 按角色分配权限 | 银行/企业最常用（角色=岗位） |
2019 单77（选较高灵活性）：DAC 相比 MAC 的优点是较高灵活性（属主可自主授权）。
口诀：DAC 自主灵活、MAC 强制严格、RBAC 角色管理。
3.4 最小权限原则（2021 单75、2023 多95、2025 单76、2026 单48，必考）
精确定义：最小权限 = 用户只拥有完成工作所必需的最小权限——不多给一分权限。
三个必背场景（4 年 4 题）：
- 离职/轮岗（2026 单48）：工作人员离职 → 离职即注销用户身份（不能集中批量/保留备用）；
- 特权用户过多（2021 单75）：先检查是否有有效的补偿性控制（再决定是否降权）；
- 普通操作（2023 多95）：日常操作用数据库账号的普通权限（原题文本"数据号"为"数据库账号"误录）、保护客户端启动进程；"可用管理员账号"是错误做法。
口诀：最小权限=够用就行；离职即注销、特权要补偿、普通操作不登管理员。
3.5 职责分离（2023 单76）
精确定义：职责分离 = 把关键职责分配给不同人员/角色，防止一人独揽（防内鬼、防舞弊）。
2023 单76：程序开发员访问安全系统软件 = 违背职责分离——开发与安全/运维职责必须分开（开发者不应有生产环境安全权限）。
口诀：开发的不碰生产安全、管钱的不碰账。
3.6 账户锁定（2023 单70）
2023 单70（选防暴力破解）：账户锁定策略（多次失败锁定）防止暴力破解（不断试口令）——与 DDoS（流量型）区分。
3.7 chmod 与权限交集（2020 单24/36）
权限数字（必背）：读=4、写=2、执行=1；chmod 744 = 属主(7=读写执行)、组(4=只读)、其他(4=只读)。
2020 单24（权限交集）：用户 A 对文件有读+写权限、对所在文件夹只有读权限 → A 对文件最终只读——文件权限受所在文件夹权限限制（取交集）。
2020 单36：chmod 权限数字换算（r=4、w=2、x=1）。
口诀：744=属主全、组其他只读；文件权限=文件与文件夹权限取交集。
3.10 访问控制的实现层与安全模型（补强）
三种实现形态：
| 形态 | 挂在哪 | 例子 | 特点 |
|---|---|---|---|
| 访问控制矩阵 | 抽象模型（主体×客体） | 教材示意 | 直观但规模大，不直接落地 |
| ACL（访问控制表） | 客体（记录"谁能访问我"） | Windows DACL、Linux 文件权限 | 查"某资源谁能用"快 |
| 能力表（Capability） | 主体（记录"我能访问谁"） | 令牌、票据 | 查"某人能用什么"快 |
- UNIX 权限 9 比特：
rwxrwxrwx（属主/属组/其他），数字 4/2/1；2021 单25：UNIX/Windows 的文件权限属 DAC（自主访问控制），不是 MAC。 - Windows 流程：用户登录得访问令牌 → 访问客体时由 SRM（安全引用监视器） 把令牌与对象 DACL 比对；SACL 用于记录审计。
- 三型对比：DAC 自主（属主可授权，灵活但易失控）／MAC 强制（系统按密级定，属主不能改）／RBAC 角色（按岗位授权，最适合企业）。
口令与账号策略九项：长度与复杂度、首次登录改初始口令、一人一号不共用、加盐存储、传输加密、定期更换且不重复、失败锁定、人员变动立即改/停、弱口令检测。
2025 单71"受约束接口"：限制授权人员只能执行许可的操作（最小权限的具体实现）；2025 单70：IoT 被黑最常见原因是默认口令/默认配置未改。
四个安全模型（判断题，必背方向）：
| 模型 | 规则 | 保什么 |
|---|---|---|
| BLP | 不上读、不下写（no read up, no write down） | 机密性 |
| Biba | 不下读、不上写 | 完整性 |
| Clark-Wilson | 良构事务＋职责分离＋审计 | 商业完整性 |
| Chinese Wall | 利益冲突类之间强制隔离 | 防利益冲突 |
- 评价标准：TCSEC 七级 D → C1 → C2 → B1 → B2 → B3 → A1（B1 起强制保护）；CC 的 EAL1–EAL7。
- 动态模型演进：PDR（防护-检测-响应）→ P2DR（＋策略）→ PPDRR（＋恢复）；目标 Pt > Dt + Rt（保护时间 > 检测 + 响应时间）。
四、易错坑汇总（命题人惯用陷阱）
- 双因子=两类因子（2020 单62）——"两个口令是双因子"错误（同类不算双因子）。
- 初始口令最弱（2021 单76）——"统一制发初始口令很安全"错误（人人相同必须改）。
- DAC 灵活（2019 单77）——"MAC 比 DAC 灵活"错误（MAC 强制严格，DAC 自主灵活）。
- 离职即注销（2026 单48）——"集中批量注销/保留备用"错误（离职立即注销）。
- 普通操作不用管理员（2023 多95）——"可用管理员账号执行日常操作"是错误做法。
- 职责分离（2023 单76）——"开发员可以访问生产安全系统"错误（违背职责分离）。
- 账户锁定防暴力破解（2023 单70）——"账户锁定防 DDoS"错误（DDoS 是流量型）。
- 权限取交集（2020 单24）——"文件权限不受文件夹限制"错误（取交集取最严）。
五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）
说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。
- 多因子认证（MFA）【高】：双因子升级版（口令+令牌+生物三选二）——概念题高概率。
- 单点登录（SSO）【中】：一次登录访问多系统——与 8.5 金融应用衔接。
- OAuth/令牌机制【低】：第三方授权登录——名词题。
- 最小权限在数据库的落地【高】：列级/行级授权（2020 单45 考过）——与 4.6 衔接。
- RBAC 角色继承【低】：角色层级、权限继承——名词题。
- 审计日志与访问控制【中】：审计=记录谁做了什么（2018 单62）——与 7.9 衔接。
- 强制访问控制的安全标签【低】：机密/秘密/公开分级——名词题。
- 会话管理（超时/锁定）【低】：空闲超时自动锁定——名词题。
六、真题演练（代表性真题 + 解析）
例 1（2019 单77） DAC 自主访问控制相比 MAC 强制访问控制的优点是（口径已核）。 A. 安全性更高 B. 灵活性较高 C. 成本更低 D. 管理更简单
答案：B。DAC 优点=灵活性高（属主自主授权）；MAC 是强制严格（安全性高但灵活性低）。口诀：DAC 灵活、MAC 严格。
例 2（2026 单48） 商业银行工作人员辞职离开时，其信息系统中的账户和权限应（口径已核）。 A. 集中批量注销 B. 离职即注销 C. 一年一次集中注销 D. 保留备用
答案：B。最小权限原则：离职即注销用户身份（不能拖、不能留）。口诀：离职即注销。
例 3（2020 单62） 下列认证方式中，安全性最高的是（口径已核）。 A. 仅使用口令 B. 口令+动态令牌（双因子） C. 仅使用指纹 D. 仅使用身份证号
答案：B。双因子认证（两类不同因子组合）安全性最高。口诀：双因子最安全。
例 4（2023 单76） 程序开发员访问安全系统软件，这违背了（口径已核）。 A. 最小权限原则 B. 职责分离 C. 账户锁定策略 D. 双因子认证
答案：B。开发与安全职责要分开——违背职责分离。口诀：开发不碰生产安全。
例 5（2020 单24） 用户 A 对文件有读、写权限，但对文件所在文件夹只有读权限，A 对文件最终具备（口径已核）权限。 A. 读 B. 写 C. 读和写 D. 执行
答案：A。文件权限受文件夹权限限制——取交集（文件读+写 ∩ 文件夹读 = 只读）。口诀：文件权限=文件与文件夹权限取交集。
例 6（2023 多95） 关于权限管理，正确的做法有（口径已核）。 A. 遵循最小权限原则 B. 普通数据操作使用管理员账号 C. 使用数据库账号的普通权限执行日常操作 D. 保护客户端的启动进程
答案：ACD。最小权限（A）、数据库账号普通权限执行日常操作（C）、保护客户端进程（D）都对；"用管理员账号执行普通操作"（B）错误。口诀：日常操作不用管理员。 ⚠️ 文本勘误：原题文本（常见误选录入）作"数据号"，应为"数据库账号"之误——语境"只能访问必需的数据"指应用系统访问数据库所用的账号（等保/安全开发规范标准表述：应用系统连数据库用普通权限账号、启动进程权限最小化）。且常见误选题面与解析自相矛盾（题面只有 A/B/C 而答案为 ACD、题面 B 是正确做法解析却判 B 错），本题选项按专业判断重构，答案 ACD 不变。
七、本章小结
- 一条主线：认证三因子+双因子 → 弱认证（初始口令）→ 账户锁定 → 三大模型（DAC 灵活/MAC 强制/RBAC 角色）→ 最小权限三动作 → 职责分离 → chmod/权限交集。
- 必背判定：DAC 灵活（2019 单77）；双因子最安全（2020 单62）；离职即注销（2026 单48）；职责分离（2023 单76）；权限取交集（2020 单24）。
- 衔接预告：列级授权→4.6 数据库；外包权限→7.9 金融合规；审计→7.9。