擴展組織PKI網(wǎng)絡訪問控制方法研究.pdf

1、鑒于Internet技術發(fā)展的迅猛，為解決其安全問題，世界各國進行了多年的研究，初步形成了一套完整的Internet安全解決方案，即目前被廣泛采用的PKI技術。由于網(wǎng)絡的動態(tài)性、廣域性、可擴展性，如何使PKI網(wǎng)絡很好地適應網(wǎng)絡的這些特點，因此PKI網(wǎng)絡的互連成為近些年研究的熱點。而擴展組織PKI網(wǎng)絡的訪問控制方法研究也倍受關注。本文系統(tǒng)的研究了實現(xiàn)擴展組織PKI網(wǎng)絡訪問控制所涉及的相關理論和技術，以及這些理論和技術的國際、國內(nèi)研究現(xiàn)狀，

2、圍繞課題內(nèi)容展開了相關研究、分析和實驗。本文主要創(chuàng)新性成果如下所述： 1.各個企業(yè)內(nèi)部使用各自的PKI處理內(nèi)部事務，然而大多數(shù)組織有事業(yè)上的伙伴，希望連接組織間的PKI而具有B2B的E商務能力。結合計算機的最新實現(xiàn)技術與理論，設計了一種基于Web服務的、在擴展組織PKI網(wǎng)絡中實現(xiàn)對資源進行訪問控制的安全訪問控制模型，該模型集成了PKI、PMI、RBAC及XML安全性等相關技術，能實現(xiàn)擴展組織PKI網(wǎng)絡中的授權和認證，給出了基于W

3、eb服務的擴展組織PKI網(wǎng)絡中的訪問控制機制的結構，并給出了對用戶請求的訪問控制實現(xiàn)過程與相應的算法。同時為后續(xù)開展相關內(nèi)容的研究奠定了基礎。 2.PKI是目前保證網(wǎng)絡信息安全的主流技術。但是目前國內(nèi)外PKI產(chǎn)品的互操作性差，應用部署難度高，系統(tǒng)維護缺乏足夠的靈活性，這些問題制約了PKI產(chǎn)品的應用。本文在介紹、討論了Web服務及相關的XML安全技術的基礎上，將目前成熟的安全體系結構PKI和Web服務融合起來，給出了一個新的基于X

4、ML的Web服務分層安全模型，并對其安全性和特點進行了詳細的分析論述。最后給出了該模型中的核心部分——安全服務子層的設計實現(xiàn)，給出了總體結構設計、服務器端的實現(xiàn)、客戶端的實現(xiàn)?？蛻舳司哂型ㄓ眯浴⒁子眯?、輕量級、易維護等特點，有利于PKI的推廣應用。 3.X.509v4 PMI支持基于角色的訪問控制RBAC，利用角色來實現(xiàn)用戶與權限的邏輯隔離，這種方式簡化了系統(tǒng)的權限管理。然而，在大型系統(tǒng)中，由于角色的復雜性，使得文獻中介紹的基于

5、角色的訪問控制模型不能滿足實際要求。本文給出了一種具有時間約束的基于角色的授權管理模型，該模型對RBAC中權限的定義進行了擴展，使它非常有利于公有權限、部門權限、私有權限的劃分與繼承，并在權限的繼承中加入了時間約束。該方法不僅有利于權限的頻繁更新，也對應了現(xiàn)實世界中的崗位數(shù)，易于理解與操作。 4.提出了一種對等計算中量化交易參與者行為和計算交易參與者信任值來評估交易參與者之間信任關系的基于行為的信任評估模型BBTEM。設計了考慮

6、交易規(guī)模時的用戶當次行為評價方法。能防止在小規(guī)模交易中積累信任值，在大規(guī)模交易中進行欺騙的情況。把用戶綜合評價分為直接經(jīng)驗和推薦經(jīng)驗，并在推薦經(jīng)驗中通過合理設計朋友的計算方法，有效抑制詆毀和協(xié)同作弊?？紤]了初始信任度的設置，防止信譽惡化的用戶選擇重新登錄來逃脫懲罰等。最后通過算例和實驗證明了該模型的具有客觀性和一定的通用性。 5.基于Web服務的PMI用來對資源進行訪問控制。隨著要求進行安全事務處理的需求的增加，要求系統(tǒng)提供廣泛

7、的QoS的要求也在增加。然而，由于使用的標準協(xié)議和數(shù)據(jù)的打包、拆包，使Web service的性能相對較低。為了改進PMI系統(tǒng)的QoS，特別是改進系統(tǒng)的響應時間，在PMI系統(tǒng)中設計了一種緩存機制。驗證用戶權限時，需要執(zhí)行一個頻繁的訪問AC操作，在這個訪問AC的過程中，很多時間花費在網(wǎng)絡傳輸上，有可能造成系統(tǒng)的一個瓶頸。本文通過在PMI中引入AC緩存機制來提高訪問AC的效率。設計并實現(xiàn)了該緩存機制，并著重設計了緩存更新算法，設計了一種改進

8、的決策樹更新算法，使得在保證了一定的命中率之后，使緩存機制很好地提高了網(wǎng)絡環(huán)境中PMI的時間響應性能。相關實驗證明了這一點。 6.在一個開放的系統(tǒng)里，交易雙方由于某些原因可能進行欺騙，因此，考慮用戶的信任度變得很重要。為進一步提高PMI系統(tǒng)的QoS，在緩存了AC之后，又設計了一個基于RBAC和信任的緩存機制。詳細介紹了該緩存機制的實現(xiàn)原理，給出了在緩存中查詢角色權限以及在緩存中添加記錄的算法，還介紹了緩存的更新策略。研究表明，該