基于屬性的權(quán)限訪問控制研究與應(yīng)用.pdf

1、隨著互聯(lián)網(wǎng)和分布式系統(tǒng)的不斷發(fā)展，出現(xiàn)了越來越多的組織組成聯(lián)盟進(jìn)行協(xié)同工作，并伴隨出現(xiàn)越來越多的分布式協(xié)作系統(tǒng)（Decentralized Collaboration System）。在此系統(tǒng)中協(xié)作的實體不再面向熟知群體，而是轉(zhuǎn)而面向陌生用戶群體，開發(fā)使用環(huán)境也不再是集中、封閉、靜止的，而是分布、開放、動態(tài)的。開放、跨域的網(wǎng)絡(luò)環(huán)境已經(jīng)成為人們網(wǎng)絡(luò)活動的必然趨勢。如何在進(jìn)行事務(wù)處理、協(xié)同工作時保障信息的安全是分布式環(huán)境下進(jìn)行跨域訪問急需解

2、決的問題。
　　傳統(tǒng)的基于角色的訪問控制模型（Role-Based Access Control,RBAC）在封閉的環(huán)境下能夠發(fā)揮其優(yōu)勢，而在開放網(wǎng)絡(luò)環(huán)境下進(jìn)行協(xié)同工作、信息共享時暴露了其劣勢，為保障跨域訪問下的共享資源的安全，本文提出基于屬性的訪問控制模型（Attribute-Based Access Control, ABAC），即將實體（主體、客體、環(huán)境、動作）用屬性進(jìn)行描述，擺脫了基于身份 ID的訪問控制所帶來的局限性，設(shè)

3、計一種兩層粒度的訪問控制模型。采用XACML（Extensible Access Control Markup Language）標(biāo)準(zhǔn)模型化了ABAC的實施框架，對資源進(jìn)行粗粒度和細(xì)粒度的控制，粗粒度的訪問控制以實際應(yīng)用中的業(yè)務(wù)流程為參考，采用扁平嵌套結(jié)構(gòu)，細(xì)粒度的訪問控制則是以實際資源中的內(nèi)容特性為參考，即內(nèi)容屬性，采用二元組線性結(jié)構(gòu)。將業(yè)務(wù)流程與實質(zhì)內(nèi)容進(jìn)行分離管理，增加了模型的靈活性和可擴(kuò)展性，提高訪問控制效率。
　　在AB

4、AC的研究上，國內(nèi)外大多集中在策略模型的建立和ABAC的策略合成與沖突消減上，并沒有考慮屬性檢索和策略檢索對評估帶來的影響，對屬性檢索和策略檢索一般仍采取傳統(tǒng)的檢索方式，即屬性和策略的窮舉遍歷查詢，大大降低了ABAC的效率，缺乏可用性。本文提出以業(yè)務(wù)流程建立索引機(jī)制，對屬性和策略進(jìn)行類別集中存儲，并充分結(jié)合緩存機(jī)制，優(yōu)化基于屬性的訪問控制模型，提高評估檢索效率，使其滿足商業(yè)應(yīng)用的高業(yè)務(wù)的吞吐量。最后在創(chuàng)新聯(lián)盟進(jìn)行協(xié)同創(chuàng)新時應(yīng)用ABAC模