带有精细访问控制策略的基于角色的访问控制模型的方法技术

本发明专利技术公开了一种带有精细访问控制策略的基于角色的访问控制模型的方法，其中包括精细访问控制策略和功能权限与精细访问控制策略的映射函数。精细访问控制策略是预定义好的运行时动态策略函数，包括业务逻辑所要求的在精细访问上的约束逻辑和基于外部环境及上下文信息的约束。本发明专利技术通过加入精细访问控制策略这一元素和相应的映射函数，解决了标准的访问控制模型中访问控制的粒度粗，只能精确到某角色对某客体进行了某种操作这一原子粒度的问题，使访问控制的粒度可以被更精确的划分。

【技术实现步骤摘要】

本专利技术涉及一种用于联网的计算机资源的安全授权的方法，并特别涉及一种用于提供对系统资源的精细访问控制的技术。
技术介绍
访问控制策略是在系统安全策略级上表示授权。利用策略对访问主体(用户、进程)进行授权、认证、角色分配，使得只有合法的访问主体才能享用访问客体(资源所有者)提供的服务和资源。目前广为认可的访问控制策略有三种自主访问控制策略DAC，强制访问控制策略MAC和基于角色的访问控制策略RBAC。这三种访问控制策略是在不同的时代、不同的环境需求下产生的，适用于不同的环境中。此外，还有多级策略。多级策略给每个目标分配一个密级，一般安全属性可分为四个级别最高秘密级(Top-Secret)、秘密级(Secret)、机密级(Confidence)以及无级别级(Unclassified)。由于安全发展的需要，目前文件密级已由四级扩展为0～255级。密级划分的细化，更便于执行多级控制的安全机制，并能满足国家和个人的保密需求。密级形成一个层次，每个用户被分配一个相应的级，反映了该用户的最基础的可信赖度，这种模型常用于政府机密部门。自主访问控制模型(DAC Model，Discretionary Access ControlModel)是根据自主访问控制策略建立的一种模型，基本思想是允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权的用户访问客体，自主体现在用户还可以自主地把自己所拥有的客体的访问权限授予其它用户。自主访问控制又称为任意访问控制。LINUX、UNIX、Windows NT或是SERVER版本的操作系统都提供自主访问控制的功能。在实现上，首先要对用户的身份进行鉴别，然后就可以按照访问控制列表所赋予用户的权限允许和限制用户使用客体的资源。主体控制权限的修改通常由特权用户或是特权用户组实现。自主访问控制模型的特点是授权的实施主体自主负责赋予和回收其他主体对客体资源的访问权限。DAC模型一般采用访问控制矩阵和访问控制列表来存放不同主体的访问控制信息，从而达到对主体访问权限的限制目的。任意访问控制对用户提供的这种灵活的数据访问方式，使得DAC模型广泛应用在商业和工业环境中。尽管DAC模型已在许多系统中得以实现，然而该模型的一个致命弱点是访问权的授予是可以传递的。一旦访问权被传递出去将难以控制，访问权的管理是相当困难的，会带来严重的安全问题。另一方面DAC模型不保护受保护的客体产生的副本，即一个用户不能访问某一客体，但能够访问它的拷贝，这更增加了管理的难度。而且在大型系统中主、客体的数量巨大，无论使用哪一种形式的DAC，所带来的系统开销都是难以支付的，效率相当低下，难以满足大型应用特别是网络应用的需要。强制访问控制模型(MAC Model，Mandatory Access ControlModel)是一种多级访问控制策略，它的主要特点是系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。MAC对访问主体和受控对象标识两个安全标记一个是具有偏序关系的安全等级标记；另一个是非等级分类标记。主体和客体在分属不同的安全类别时，都属于一个固定的安全类别SC，SC就构成一个偏序关系。当主体s的安全类别为TS，而客体o的安全类别为S时，用偏序关系可以表述为SC(s)≥SC(o)。考虑到偏序关系，主体对客体的访问主要有四种方式(1)向下读(rd，read down)主体安全级别高于客体信息资源的安全级别时允许查阅的读操作；(2)向上读(ru，read up)主体安全级别低于客体信息资源的安全级别时允许的读操作；(3)向下写(wd，write down)主体安全级别高于客体信息资源的安全级别时允许执行的动作或是写操作；(4)向上写(wu，write up)主体安全级别低于客体信息资源的安全级别时允许执行的动作或是写操作。由于MAC通过分级的安全标签实现了信息的单向流通，因此它一直被军方采用，其中最著名的是Bell-LaPadula模型和Biba模型Bell-LaPadula模型具有只允许向下读、向上写的特点，可以有效地防止机密信息向下级泄露；Biba模型则具有不允许向下读、向上写的特点，可以有效地保护数据的完整性。MAC的本质是基于格的非循环单向信息流政策。RBAC96模型基于角色的访问控制从控制主体的角度出发，根据管理中相对稳定的职权和责任来划分角色，将访问权限与角色相联系，这点与传统的MAC和DAC将权限直接授予用户的方式不同；其通过给用户分配合适的角色，让用户与访问权限相联系。首先介绍一下角色的概念，角色是指一个可以完成一定事务的命名组，不同的角色通过不同的事务来执行各自的功能。事务是指一个完成一定功能的过程，可以是一个程序或程序的一部分。角色是代表具有某种能力的人或是某些属性的人的一类抽象，访问控制中访问主体和受控对象之间通过角色关联。RBAC96模型是包括四种概念参考模型及其框架的RBAC模型家族。其中RBAC0是RBAC96的基本模型，RBAC0中定义了RBAC模型的最少要素，是其它三个子模型的基础；RBAC1和RBAC2是在RBAC0的基础上分别增加了角色继承和约束机制；RBAC3是RBAC1和RBAC2的整合模型，根据传递关系，RBAC3包含了RBAC0。在RBAC96的基础上Ravi.Sandhu等人又先后提出了ARBAC97管理模型、ARBAC99管理模型。RBAC0中定义了四种实体用户、角色、权限和会话。在简单系统中，用户是指可以访问系统中数据或资源的主体；角色代表组织机构中的岗位职能，是具有该角色的成员的权限和职责；权限是在系统中的执行操作的某种能力；当用户激活一组属于他们的角色时，会话被建立，每个会话都包含一个用户和一个或多个角色，用户可同时激活会话中的部分或全部角色。RBAC0中定义了两种角色分配关系用户分配UA和权限分配PA。在进行UA和PA分配时，可以是多对多的关系，即一个用户可以同时被授予多个权限，一个权限可以分配给多个角色，用户可以同时打开多个会话。在每个会话中用户拥有不同的活动角色集合，RBAC0支持最小特权原则，意味着用户可以只激活完成任务所必须的角色。可以在需要时激活再激活分配给用户的角色，这样可以避免用户对权限的误用和非法使用。RBAC0中定义可以自主决定是否激活角色，即允许用户在会话过程中动态激活或撤销角色。RBAC1在RBAC模型的基础上增加了角色继承，分为两大类，限制型角色继承和非限制型角色继承。限制型角色继承强化了继承的结构，通常是简单的正树或者反树结构。RBAC2与RBAC0不同的是增加了约束机制。RBAC2是在RBAC0模型的基础上增加一个约束集合，这些约束决定了RBAC0中各种组件是否可以接受，只有对可以接受的值的操作才可以执行。约束是RBAC中被讨论最多的部分，也可认为是RBAC被推动的重要原因。典型的例子是，一个组织中采购经理和出纳是互斥的角色，通常，这两个角色不允许分配给同一个用户，因为这很可能会产生欺诈犯罪。在高级的组织中约束是一种强有力的机制，能够实现责权分离原则。主要的约束机制包括互本文档来自技高网...

【技术保护点】
一种带有精细访问控制策略的基于角色的访问控制模型的方法，包括：功能，客体与操作组成的二元组，描述对客体进行操作的许可；功能权限，角色与功能组成的二元组，描述角色拥有对客体执行操作的权限；精细访问控制，功能权限与精细访 问控制策略组成的二元组，实现运行环境中对客体的访问控制精确到客体的一部分乃至最细粒度的控制；其中，精细访问控制策略，预先定义好的运行时动态策略函数，进一步包含两个方面内容，一是描述业务逻辑要求的用户在执行操作时，有权限访问客体的一个 集合，根据精细访问控制策略的不同，访问权限受到约束，以访问客体的子集、空集或全集，二是基于外部环境及上下文信息的约束，在运行时确定访问客体的子集；功能权限到精细访问控制策略的映射。

【技术特征摘要】
1.一种带有精细访问控制策略的基于角色的访问控制模型的方法，包括功能，客体与操作组成的二元组，描述对客体进行操作的许可；功能权限，角色与功能组成的二元组，描述角色拥有对客体执行操作的权限；精细访问控制，功能权限与精细访问控制策略组成的二元组，实现运行环境中对客体的访问控制精确到客体的一部分乃至最细粒度的控制；其中，精细访问控制策略，预先定义好的运行时动态策略函数，进一步包含两个方面内容，一是描述业务逻辑要求的用户在执行操作时，有权限访问客体的一个集合，根据精细访问控制策略的不同，访问权限受到约束，以访问客体的子集、空集或全集，二是基于外部环境及上下文信息的约束，在运行时确定访问客体的子集；功能权限到精细访问控制策略的映射。2.如权利要求1所述的访问控制模型的方法，其特征在于可以把精细访问控制看作是客体、操作、角色和精细访问控制策略按照层次关系构建的四元组。3.如权利要求...

【专利技术属性】
技术研发人员：石杰，
申请(专利权)人：石杰，
类型：发明
国别省市：11[中国|北京]