自主访问控制与强制访问控制的原理是什么？有什么区别

自主访问控制（DAC）是一个接入控制服务，它执行基于系统实体身份和它们的到系统资源的接入授权。这包括在文件，文件夹和共享资源中设置许可。强制访问控制是“强加”给访问主体的，即系统强制主体服从访问控制政策。强制访问控制（MAC）的主要特征是对所有主体及其所控制的客体（例如：进程、文件、段、设备）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。系统通过比较主体和客体的敏感标记来决定一个主体是否能够访问某个客体。用户的程序不能改变他自己及任何其它客体的敏感标记，从而系统可以防止特洛伊木马的攻击。强制访问控制一般与自主访问控制结合使用，并且实施一些附加的、更强的访问限制。一个主体只有通过了自主与强制性访问限制检查后，才能访问某个客体。用户可以利用自主访问控制来防范其它用户对自己客体的攻击，由于用户不能直接改变强制访问控制属性，所以强制访问控制提供了一个不可逾越的、更强的安全保护层以防止其它用户偶然或故意地滥用自主访问控制。强制访问策略将每个用户及文件赋于一个访问级别，如，最高秘密级（Top Secret），秘密级（Secret），机密级（Confidential）及无级别级（Unclassified）。其级别为T>S>C>U，系统根据主体和客体的敏感标记来决定访问模式。访问模式包括：下读（read down）：用户级别大于文件级别的读操作；上写（Write up）：用户级别小于文件级别的写操作；下写（Write down）：用户级别等于文件级别的写操作；上读（read up）：用户级别小于文件级别的读操作；

自主访问控制是保护系统资源不被非法访问的一种有效手段。但是这种控制是自主的，即它是以保护用户的个人资源的安全为目标并以个人的意志为转移的。

自主访问控制是一种比较宽松的访问控制,一个主题的访问权限具有传递性。

计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。

实施机制（例如：访问控制表）允许命名用户以用户和（或）用户组的身份规定并控制客体的共享；阻止非授权用户读取敏感信息。并控制访问权限扩散。

自主访问控制机制根据用户指定方式或默认方式，阻止非授权用户访问客体。访问控制的粒度是单个用户。没有存取权的用户只允许由授权用户指定对客体的访问权。阻止非授权用户读取敏感信息。

---