基于角色訪問控制（RBAC）中屬性約束委托模型研究.pdf

1、訪問控制是信息安全技術(shù)的重要組成部分，經(jīng)歷了多個階段發(fā)展。當(dāng)前訪問控制的研究重點和熱點是基于角色的訪問控制-RBAC。其中又以Sandhu提出的RBAC96模型的應(yīng)用最為廣泛。RBAC主要完成對角色、權(quán)限、用戶-角色指派（URA）和權(quán)限-角色指派（PRA）的管理。其主要思想是通過用戶與權(quán)限的分離，使權(quán)限管理方便靈活。通過用戶與角色的指定，角色與權(quán)限的配置，又可使RBAC達(dá)到所需的安全要求，成為一種適應(yīng)多種場合的中性安全策略。 委

2、托（delegation）又稱為轉(zhuǎn)授權(quán)，它表示系統(tǒng)中某個處于活動的實體（可以是用戶，也可以是代表用戶的程序、進(jìn)程等）將自己的權(quán)力轉(zhuǎn)授給其他活動實體，使被授予的實體可以代表授給實體執(zhí)行相應(yīng)的權(quán)力。委托的類型有多種，目前研究的重點是基于角色的用戶-用戶委托。在基于角色的委托模型中，委托被看作是一種特殊的URA過程。與RBAC中URA的主要不同在于委托中的URA及其撤銷主要是由委托者自己完成，而RBAC中的URA及其撤銷主要是由系統(tǒng)管理員或安

3、全管理員完成。委托增加了訪問控制中授權(quán)的靈活性，可看作在一定程度上實現(xiàn)了自主訪問控制（DAC）安全策略。 本論文提出了屬性約束委托模型-ARDM，該模型包含三個子模型ARDM0、ARDM1和ARDM2。其中ARDM0和ARDM1主要針對用戶-用戶的委托，而ARDM2主要針對角色-角色的委托。其主要研究內(nèi)容如下： 1、 由于屬性和屬性表達(dá)式是實現(xiàn)屬性約束委托模型的基礎(chǔ)，因而本論文首先對其進(jìn)行定義。同時，由于委托過程中需要對

4、用戶和權(quán)限以及角色的屬性表達(dá)式進(jìn)行比較，還對屬性表達(dá)式的優(yōu)先級判斷進(jìn)行了研究。與已有委托模型的不同之處在于本論文的屬性、屬性表達(dá)式和屬性表達(dá)式優(yōu)先級判斷更能滿足實際應(yīng)用。 2、傳統(tǒng)的角色工程主要關(guān)注角色和權(quán)限的產(chǎn)生過程，幾乎沒有涉及屬性表達(dá)式的產(chǎn)生方法。本論文利用軟件工程相關(guān)知識，給出了完整的用戶和權(quán)限的屬性表達(dá)式產(chǎn)生方法，并就用戶和權(quán)限屬性表達(dá)式的管理給出了相應(yīng)的方法。 3、提出了完整的屬性約束委托模型。針對現(xiàn)有委托模

5、型的缺點，本論文將屬性引入到委托模型中，實現(xiàn)了委托模型的擴(kuò)展，從而使得委托過程更加安全和方便。ARDM0是一個屬性約束的用戶-用戶委托模型。該子模型對現(xiàn)有的用戶-用戶委托操作進(jìn)行改進(jìn)，將屬性加入到委托過程中，實現(xiàn)委托約束的擴(kuò)展，從而保證了用戶-用戶委托過程的安全性。ARDM1中提出了在用戶-用戶委托中增加委托靈活性的方法。在該子模型中，委托者可以修改委托約束（主要是屬性表達(dá)式），使得不滿足某些委托約束的用戶也能獲得委托權(quán)限。由于對委托約

6、束的修改只能在管理員的許可下進(jìn)行，不是隨意進(jìn)行的，因而保證了委托過程的安全。ARDM2是一個屬性約束的角色-角色委托模型。該子模型將屬性引入到角色-角色委托中，詳細(xì)說明了角色-角色委托中的委托操作方式。本論文給出了各個子模型的完整定義，對各個子模型中的委托和撤銷過程進(jìn)行了詳細(xì)描述。同時，還與現(xiàn)有委托模型進(jìn)行了分析比較，從三個方面對不同的委托模型進(jìn)行了對比。 4、給出了用XACML進(jìn)行用戶和權(quán)限屬性表達(dá)式的表達(dá)和優(yōu)先級判斷方法。X

7、ACML通常作為一種可擴(kuò)展的訪問控制標(biāo)記語言，其主要作用在于描述訪問控制中的相關(guān)約束和策略。本論文對XACML的表達(dá)方式進(jìn)行了擴(kuò)展，設(shè)計了基于XACML的用戶和權(quán)限屬性表達(dá)式的描述語言——A-XACML(Attribute-based XACML)，并說明了用A-XACML實現(xiàn)委托的方法與過程。 5、本論文給出了所提模型的實際應(yīng)用案例和模型實現(xiàn)框架。通過對實際應(yīng)用案例的詳細(xì)分析，說明了屬性在委托過程中所起到的重要作用，也表明在委