面向Web的細粒度信息流控制模型研究.pdf

1、當前的Web應(yīng)用程序是由多個作者撰寫的JavaScript的集合：開發(fā)人員經(jīng)常性地集成來自第三方的代碼，并且mashup應(yīng)用需要集成在不同站點托管的數(shù)據(jù)和代碼。由于當前的瀏覽器本質(zhì)上缺乏足夠限制不受信任的第三方代碼的機制，無法保障用戶隱私的安全性和應(yīng)用程序的完整性。
　　針對第三方代碼所引發(fā)的安全問題，通過研究各類Web應(yīng)用的特點和安全需求，提出了可應(yīng)用于瀏覽器的基于標簽的細粒度信息流控制模型，兼顧職責(zé)分離原則和最小特權(quán)原則，能夠

2、高效靈活地保障用戶信息的私密性和應(yīng)用程序完整性。模型引入兩種不同粒度的信息流標簽，即頁面標簽和消息標簽，并通過跟蹤這些動態(tài)變化的標簽來實現(xiàn)靈活準確的信息流控制策略。頁面標簽用來關(guān)聯(lián)瀏覽器組件，代表組件中所有數(shù)據(jù)的特權(quán)。它不僅能夠表示私密性和完整性，也能夠嚴格定義授權(quán)和降密操作。消息標簽用來關(guān)聯(lián)組件間傳遞的通信消息，表示被標記的消息中包含相關(guān)組件的私密信息。模型可以通過消息標簽跟蹤私密信息，防止其泄露出瀏覽器。此外，通過證明信息流控制技術(shù)