PMI異種訪問策略下資源共享的研究.pdf

1、隨著信息時代的來臨，網(wǎng)絡(luò)安全已經(jīng)是人們?nèi)找骊P(guān)注的焦點。公開密鑰基礎(chǔ)設(shè)施(PUBLIC KEY INlFR．ASTRUCTURE，簡稱PKI)是目前網(wǎng)絡(luò)安全建設(shè)的基礎(chǔ)與核心，是有效進行電子政務(wù)、電子商務(wù)安全實施的基本保障。但隨著網(wǎng)絡(luò)中資源種類越來越多，用戶角色越來越復(fù)雜，人們迫切需要一種更加細粒度化的訪問控制技術(shù)。而PKI系統(tǒng)中身份和權(quán)限不分離，如果一個人同時兼有多種角色，擁有多個權(quán)限，就可能擁有多個身份證書。這樣，既不利于系統(tǒng)的開發(fā)和重

2、用，也不利于系統(tǒng)安全方面的管理。因此，授權(quán)管理基礎(chǔ)設(shè)施PMI應(yīng)運而生。目前，對PMI技術(shù)的研究正成為信息安全領(lǐng)域的熱點。其中，授權(quán)策略缺乏統(tǒng)一的標準，系統(tǒng)效率不高是研究中遇到的主要問題。 輕量級目錄訪問協(xié)議(LDAP)是用于訪問X.500的目錄服務(wù)的，它不會產(chǎn)生目錄訪問協(xié)議(DAP)訪問X.500時所需的資源要求。LDAP特別針對那些簡單管理程序和瀏覽器程序，它提供對X.500目錄進行簡單的讀/寫交互式訪問，同時也是對DAP本

3、身的一種補充。LDAP所采納的通用模型是客戶端針對服務(wù)器進行協(xié)議操作。在這個模型中，客戶端發(fā)送協(xié)議請求給服務(wù)器，描述所需的操作。接著服務(wù)器負責在目錄中實施所必須的操作。在完成必要的操作之后，服務(wù)器返回一個帶有結(jié)果或出錯信息的回應(yīng)給請求服務(wù)的客戶。在LDAP的第一版本和第二版本中，并沒有說明協(xié)議服務(wù)器如何提供其它服務(wù)器參照給客戶機。為了改善性能和分配操作，LDAP第3版允許服務(wù)器返回給客戶機關(guān)于其它服務(wù)器的參照，因此服務(wù)器減輕了聯(lián)系其它服

4、務(wù)器的工作，改善了操作性能。 訪問控制是針對越權(quán)使用資源的防御措施?；灸繕耸菫榱讼拗圃L問主體(用戶、進程、服務(wù)等)對訪問客體(文件、系統(tǒng)等)的訪問權(quán)限，從而使計算機系統(tǒng)在合法范圍內(nèi)使用；決定用戶能做什么，也決定代表一定用戶利益的程序能做什么．企業(yè)環(huán)境中的訪問控制策略一般有三種：自主型訪問控制方法、強制型訪問控制方法和基于角色的訪問控制方法(RBAC)。其中，自主式太弱，強制式太強，二者工作量大，不便于管理。基于角色的訪問控制方

5、法是目前公認的解決大型企業(yè)的統(tǒng)一資源訪問控制的有效方法。其顯著的兩大特征是：1．減小授權(quán)管理的復(fù)雜性，降低管理開銷；2．靈活地支持企業(yè)的安全策略，并對企業(yè)的變化有很大的伸縮性。全文在介紹PMI、LDAP、RBAC三種技術(shù)的基礎(chǔ)上，分析了目前的這三項技術(shù)的特點、優(yōu)勢以及當前的大部分應(yīng)用都集中于RBAC，而跨越多種訪問策略的研究較少的現(xiàn)狀，介紹了應(yīng)用LDAP的PMI系統(tǒng)目前資源共享的方式，在應(yīng)用這三項技術(shù)的基礎(chǔ)上提出了針對安全部門與普通部門

6、(采用異種訪問控制策略)資源共享的技術(shù)策略方案，該方案中，引進了目前較為通用的授權(quán)機制的樹型結(jié)構(gòu)，并在該結(jié)構(gòu)的設(shè)計中，對于較大規(guī)模的PMI系統(tǒng)，提出了“單叉枝樹”樹型結(jié)構(gòu)的改進方案，該方案以應(yīng)急為目標，通過建立“單叉枝”的存儲備用結(jié)構(gòu)和系統(tǒng)更新時“單叉”樹型結(jié)構(gòu)的調(diào)整，克服了以往的模型系統(tǒng)更新過程中的效率問題。對于訪問過程，通過對“角色”和“用戶”多對多的對應(yīng)關(guān)系的分析，提出了對于采用基于用戶的訪問控制策略的PMI系統(tǒng)為透明的“虛角色”

7、的概念，并闡述了通過雙方的LDAP進行認證來建立、應(yīng)用“虛角色”的方式方法。把該項技術(shù)應(yīng)用于采用異種訪問控制策略的PMI系統(tǒng)的資源共享中，可以使資源共享的各方不必改變各自的訪問控制策略，而可以進行較為方便的合作。本文通過對于上述技術(shù)的進一步細化分析，通過針對其安全性要求較高的應(yīng)用特點模擬實現(xiàn)，使該項技術(shù)成功應(yīng)用于異種訪問控制策略下的PMI系統(tǒng)，使采用不同訪問策略的PMI系統(tǒng)可以更加方便安全地進行資源的共享，從而共同合作，完成項目的開發(fā)。