基于TRILL協(xié)議和時(shí)間及等級約束的G-SIS模型研究應(yīng)用.pdf

1、社會經(jīng)濟(jì)、文化的發(fā)展需要各個(gè)領(lǐng)域資源的共享,伴隨著信息及互聯(lián)網(wǎng)技術(shù)的迅速發(fā)展,也激發(fā)了人們對信息共享技術(shù)的關(guān)注。為了能更好的滿足信息的共享,傳統(tǒng)的訪問控制技術(shù)將被新的訪問控制技術(shù)所取代。
　　分組安全信息共享技術(shù)(G-SIS)作為一種新的訪問控制技術(shù)的引入,不僅克服了傳統(tǒng)的訪問控制主體授權(quán)容易傳播(DAC)、主客體安全屬性不可改變(MAC)、授權(quán)只能局限于角色(RBAC)等缺點(diǎn)也繼承了使用控制(UCON)的八要素以及屬性的可變性和

2、連續(xù)性。利用分組的概念將主客體統(tǒng)一進(jìn)行組管理,并在核心屬性的基礎(chǔ)上提出了額外屬性使得授權(quán)更加靈活。
　　現(xiàn)有的數(shù)據(jù)中心級網(wǎng)絡(luò)架構(gòu)多是采用二層匯聚+三層接入模式即二層STP等協(xié)議+三層路由協(xié)議的多協(xié)議方式而不能使用統(tǒng)一的協(xié)議架構(gòu)。在二層同網(wǎng)段中使用MAC地址對主客體進(jìn)行標(biāo)記而在三層不同網(wǎng)段卻要使用 IP地址對主客體標(biāo)記。而TRILL協(xié)議Nickname不僅能夠映射同網(wǎng)段二層MAC地址學(xué)習(xí)也能在不同網(wǎng)段進(jìn)行類似三層IP路由計(jì)算,因此只

3、需要一套協(xié)議訪問控制策略即可。
　　G-SIS模型中主要是針對主體和客體進(jìn)行分組,組內(nèi)主體并沒有唯一標(biāo)記。而TRILL協(xié)議中Nickname相當(dāng)于IP地址和每臺設(shè)備MAC地址對應(yīng)且全網(wǎng)唯一,其中Egress Nickname信息發(fā)出端口Nickname確定了訪問者來自何處可以用來唯一標(biāo)記G-SIS中主體。
　　G-SIS模型中組內(nèi)用戶可以訪問對應(yīng)組內(nèi)資源但是并沒有對主體進(jìn)行等級劃分。因此我們需要加入一個(gè)等級約束,不僅使組內(nèi)不

4、同等級主體享有不同權(quán)限,也能讓不同等級主體在設(shè)定的條件下進(jìn)行角色轉(zhuǎn)變。我們同時(shí)在G-SIS另加入一個(gè)時(shí)間約束,它能夠解決G-SIS模型僅僅依靠組操作(主體進(jìn)入、離開及客體加入、刪除)時(shí)態(tài)動作。不僅能夠?yàn)橹黧w等級角色轉(zhuǎn)變提供時(shí)間上的設(shè)計(jì)也能使主體對客體資源操作實(shí)現(xiàn)了時(shí)間上約束控制。并利用線性時(shí)態(tài)邏輯(LTL)語言對這些策略進(jìn)行“語言化”描述。
　　最后在G-SIS模型中引用 PEI框架,在策略模式(Policy Mode)下提出Ni