计算环境安全之操作系统安全机制中标识与鉴别一

(1)标识与鉴别

标识和鉴别是操作系统基础的安全机制。操作系统利用标识来跟踪用户的操作，用户一 旦完成了身份鉴别，就要对基于该标识的所有行为负责。关于标识与签别机制的详细内容请参见本书第二章中“身份鉴别”的有关内容。

◇Windows的身份标识与鉴别

Winclows的安全主体类型主要包括用户账户、组账户、计算机和服务，使用安全标识符（Security Identifler，SID）在系统内部进行标记。SID的创建者和作用范围依赖于账户类型。

对于用户账户，就由本地安全授权机构(LSA)生成在该系统内惟一的SID。而对于域账户则是由域安全授权机构来产生SID。活动目录把域账户SID当作该SID所标识的用户或组的一 个对象属性来存储，而域账户SID在域内是唯一的。当授予用户、组、服务或者其它安全主体访问对象的权限时，操作系统会把安全标识符和权限写入对象的访问控制列表中。安全标识是—串字符，例如：S-l-5-21-1534169462-1651380828-111620651-500。

鉴别是使用户和标识建立联系的过程，Winclows本地登录验证身份鉴别是通过安全通道将用户鉴别信息与预先存储的信息进行对比的过程。Winclows本地用户信息加密存储在注册表中，并且只有syslem账户才有权限进行访问，而system作为系统内置账户，不可从交互界面登记，因此确保了用户信息不会被任何一个用户账号获取。用户对鉴别信息的操作，例如更改密码等都通过一个以system权限运行的服务“security Accounts Manager”来实现。而远程登录则较为复杂，在Winclows发展中经历了SMB鉴别协议、LM鉴别机制、NTML 鉴别机制、Kerberos鉴别体系等阶段。