암호화를 사용하는 경우 왜 액세스 제어 정책이 필요합니까?

암호화 된 데이터가 서버에 저장되고 해독 키가 합법적 인 사용자에게 (전자 메일을 통해) 전파되는 경우 액세스 제어 정책을 구현해야합니까?암호화를 사용하는 경우 왜 액세스 제어 정책이 필요합니까?

(해독 키가 합법적 인 사용자 만 사용할 수있는 경우) 두 시나리오가 모두 필요한 시나리오는 무엇입니까?

출처

2011-08-14 Shani

액세스 제어 및 인증은 두 가지 개별 보안 모드입니다. 귀하의 필요에 따라 하나 또는 둘 다를 필요로 할 수도 있습니다.

서버에서 데이터를 암호화 한 다음 키를 보급하는 것은 틀림없이 인증 방식입니다. (적어도 이론 상으로는) 키를 알고 있으면 합법적 인 사용자임을 증명하기 때문입니다.

액세스 제어는 다른 사용자에게 다른 수준의 액세스 권한을 제공하는 경우가 많습니다. 예를 들어 대부분의 사용자가 일반 문서에 액세스 할 수 있고 일부 사용자는 권한있는 데이터에 액세스 할 수 있습니다.

궁극적으로, 사용자는 요구 사항을 평가하고 필요한 모드를 결정해야합니다.

출처

2011-08-14 23:49:55

보안 요구 사항에 따라 다릅니다. 보안 수준을 유지할 필요가 있습니까?

합법적 인 사용자 만 사이트에 액세스 할 수 있도록하려면 사용자 이름을 키로 암호화 한 다음 암호를 사용하여 사용자가 무언가를 알고 있어야하며, 팩터 인증), 사이트에 들어갈 수 있습니다.

출처

2011-08-14 23:31:45

여기에 적용되는 Princple of Least Privilege

엔터프라이즈 시스템은 사용자 나 응용 프로그램이 수행하는 다양한 역할들을 것입니다 용어. 이러한 경우, 배우가 실수로 (또는 의도적으로) 다른 배우 역할의 영역으로 침입하는 것을 한 역할에서 막는 것이 적절합니다.

간단한 비유 : 저는 회사의 직원입니다. 나는 합법적 인 직원으로 보안 카드를 통과하여 내 워크 스테이션에 도착할 수있는 패스 카드를 가지고 있습니다. 그러나 회사의 은행 계좌에 액세스 할 수 없습니다.

대부분의 직원은 은행 계좌 세부 정보를 제공 받았지만 정보에 부적절한 것은 아무것도 없습니다. 이 회사의 관리자는 각 직원의 정직성을 신뢰하거나 계정에 액세스 할 필요가 없으며 잠긴 상태로 유지할 수있는 훨씬 간단한 경로를 사용할 수 있습니다. 돈이 사라지기 시작하면 의심 할 여지가 훨씬 적습니다.

출처

2011-08-14 23:48:54

액세스 제어 정책은 놀랍게도 필요에 따라 액세스를 제어합니다.

합법적 인 사용자 계정 중 하나가 여러 가지 이유로 (사용자가 변경된 고용, 위반 한 서비스 약관, 신고 된 신원 도용) 여러 가지 이유로 불법이 될 경우 해당 계정의 데이터에 대한 액세스를 어떻게 든 제어해야합니다.

출처

2011-10-07 09:45:51 Constantin