论文部分内容阅读
访问控制是信息安全技术的重要组成部分,经历了多个阶段发展。当前访问控制的研究重点和热点是基于角色的访问控制-RBAC。其中又以Sandhu提出的RBAC96模型的应用最为广泛。RBAC主要完成对角色、权限、用户-角色指派(URA)和权限-角色指派(PRA)的管理。其主要思想是通过用户与权限的分离,使权限管理方便灵活。通过用户与角色的指定,角色与权限的配置,又可使RBAC达到所需的安全要求,成为一种适应多种场合的中性安全策略。委托(delegation)又称为转授权,它表示系统中某个处于活动的实体(可以是用户,也可以是代表用户的程序、进程等)将自己的权力转授给其他活动实体,使被授予的实体可以代表授给实体执行相应的权力。委托的类型有多种,目前研究的重点是基于角色的用户-用户委托。在基于角色的委托模型中,委托被看作是一种特殊的URA过程。与RBAC中URA的主要不同在于委托中的URA及其撤销主要是由委托者自己完成,而RBAC中的URA及其撤销主要是由系统管理员或安全管理员完成。委托增加了访问控制中授权的灵活性,可看作在一定程度上实现了自主访问控制(DAC)安全策略。本论文的研究是在教育部博士点基金项目“基于用户和角色属性的访问控制研究”(项目编号20040611002)的资助下进行的。文中,为解决目前几种基于角色委托模型普遍存在委托过程安全性过多地依赖委托者和系统管理员的问题,提出在委托过程中引入用户属性作为委托约束的一部分来增强委托过程安全性的方法。本论文提出了属性约束委托模型-ARDM,该模型包含三个子模型ARDM0、ARDM1和ARDM2。其中ARDM0和ARDM1主要针对用户-用户的委托,而ARDM2主要针对角色-角色的委托。其主要研究内容如下:1、由于属性和属性表达式是实现属性约束委托模型的基础,因而本论文首先对其进行定义。同时,由于委托过程中需要对用户和权限以及角色的属性表达式进行比较,还对属性表达式的优先级判断进行了研究。与已有委托模型的不同之处在于本论文的属性、属性表达式和属性表达式优先级判断更能满足实际应用。2、传统的角色工程主要关注角色和权限的产生过程,几乎没有涉及属性表达式的产生方法。本论文利用软件工程相关知识,给出了完整的用户和权限的属性表达式产生方法,并就用户和权限属性表达式的管理给出了相应的方法。3、提出了完整的属性约束委托模型。针对现有委托模型的缺点,本论文将属性引入到委托模型中,实现了委托模型的扩展,从而使得委托过程更加安全和方便。ARDM0是一个属性约束的用户-用户委托模型。该子模型对现有的用户-用户