基于屬性的權限訪問控制研究與應用.pdf

1、隨著互聯(lián)網(wǎng)和分布式系統(tǒng)的不斷發(fā)展，出現(xiàn)了越來越多的組織組成聯(lián)盟進行協(xié)同工作，并伴隨出現(xiàn)越來越多的分布式協(xié)作系統(tǒng)（Decentralized Collaboration System）。在此系統(tǒng)中協(xié)作的實體不再面向熟知群體，而是轉而面向陌生用戶群體，開發(fā)使用環(huán)境也不再是集中、封閉、靜止的，而是分布、開放、動態(tài)的。開放、跨域的網(wǎng)絡環(huán)境已經(jīng)成為人們網(wǎng)絡活動的必然趨勢。如何在進行事務處理、協(xié)同工作時保障信息的安全是分布式環(huán)境下進行跨域訪問急需解

2、決的問題。
　　傳統(tǒng)的基于角色的訪問控制模型（Role-Based Access Control,RBAC）在封閉的環(huán)境下能夠發(fā)揮其優(yōu)勢，而在開放網(wǎng)絡環(huán)境下進行協(xié)同工作、信息共享時暴露了其劣勢，為保障跨域訪問下的共享資源的安全，本文提出基于屬性的訪問控制模型（Attribute-Based Access Control, ABAC），即將實體（主體、客體、環(huán)境、動作）用屬性進行描述，擺脫了基于身份 ID的訪問控制所帶來的局限性，設

3、計一種兩層粒度的訪問控制模型。采用XACML（Extensible Access Control Markup Language）標準模型化了ABAC的實施框架，對資源進行粗粒度和細粒度的控制，粗粒度的訪問控制以實際應用中的業(yè)務流程為參考，采用扁平嵌套結構，細粒度的訪問控制則是以實際資源中的內(nèi)容特性為參考，即內(nèi)容屬性，采用二元組線性結構。將業(yè)務流程與實質(zhì)內(nèi)容進行分離管理，增加了模型的靈活性和可擴展性，提高訪問控制效率。
　　在AB

4、AC的研究上，國內(nèi)外大多集中在策略模型的建立和ABAC的策略合成與沖突消減上，并沒有考慮屬性檢索和策略檢索對評估帶來的影響，對屬性檢索和策略檢索一般仍采取傳統(tǒng)的檢索方式，即屬性和策略的窮舉遍歷查詢，大大降低了ABAC的效率，缺乏可用性。本文提出以業(yè)務流程建立索引機制，對屬性和策略進行類別集中存儲，并充分結合緩存機制，優(yōu)化基于屬性的訪問控制模型，提高評估檢索效率，使其滿足商業(yè)應用的高業(yè)務的吞吐量。最后在創(chuàng)新聯(lián)盟進行協(xié)同創(chuàng)新時應用ABAC模