分布式多級安全訪問控制方法
2023-11-12 02:52:12
專利名稱：分布式多級安全訪問控制方法
技術領域：
本發明涉及的是一種網絡安全技術領域的控制方法，具體是一種分布式多級安全訪問控制方法。
背景技術：
隨著Internet和分布式對象技術的飛速發展和普遍應用，出現了越來越多的分布式系統。同時由於電子商務和供應鏈等技術的推動，系統間的協同也變得十分普遍，這也促使分布式系統的規模變得越來越大，複雜性越來越強。分布式系統中的實體允許誰使用，允許如何使用以及誰來定義使用規則，這就是分布式系統中的訪問控制問題。要使分布式系統充分而安全地發揮其作用，系統間安全地進行協作，一種高效的訪問控制方法實現其應用的第一步。
訪問控制是指主體依據某些控制策略或權限對客體本身或是其資源進行的不同授權訪問。傳統的訪問控制模型，如自主訪問控制DAC(Discretionary AccessControl)模型，強制訪問控制MAC(Mandatory Access Control)模型以及近來提出的基於角色的訪問制RBAC模型，主要工作於集中式安全控制的系統中。
分布式中的相應問題分布式多級安全訪問控制技術在結合原有的集中訪問控制的基礎上必須考慮以下幾點(1)多域間怎樣進行身份的驗證和安全的互操作(2)如何有效地實現資源的互訪經過對現有技術的檢索，尚未發現與本發明主題相同或者類似的文獻報導。網絡安全技術領域的控制方法發明內容本發明的目的在於克服現有技術中的不足，提供一種分布式多級安全訪問控制方法。使其充分利用集中式安全訪問控制系統中的方法，考慮到分布式環境同一信任域與不同信任域間的差別，提出了整體的分布式安全訪問控制的框架，並給出此框架下給出具體的實施步驟，以及在其中應用到的角色私有，繼承和映射的轉換，相應安全日誌的建立的模型。
本發明是通過以下技術方案實現的，本發明通過PKI技術提供相應的身份認證與信息加密機制，通過RBAC技術和PMI技術約束用戶---角色---權限之間的關係，通過資源描述符約束相對分散條件下的資源訪問，通過日誌模塊紀錄相應的用戶訪問信息以及系統安全信息。本發明對於實際應用中的多個信任域，用戶通過使用自己的身份證書登陸本信任域，得到認證伺服器的信任後，與認證伺服器起雙向認證連接在確定身份後用戶可以提出對某一項資源的訪問請求這個訪問請求所對應的最終判決結果由三種屬性證書(用戶角色屬性證書，域策略屬性證書，域間策略屬性證書)的判決函數來決定，同時相應的重要系統日誌紀錄進資料庫，方便日後檢查。
包括如下具體步驟①系統雙向認證機制讓請求方與響應方都確定對方的身份，身份認證伺服器要驗證用戶證書的籤名和有效期以及是否被撤銷。如果證書是合法的，即可從證書中提取信息，如證書序列號，用戶名等，進入下一步，否則斷開連接。無論驗證通過與否，系統日誌模塊都要將訪問請求和判決結果寫入資料庫。驗證後雙方傳遞的信息被有效的加密。
②用戶如要訪問本域內的資源，根據公鑰證書的序列號創建用戶對象，生成一個會話id，查詢LDAP伺服器，通過檢索用戶角色證書庫，獲得此用戶的所有角色。進入下一步用戶如要訪問其他域內的資源，應提供自己的用戶角色屬性證書，域安全管理者檢查屬性證書是否有效，無效則拒絕請求。同時域安全管理者要獲得用戶所在域與訪問域之間的「域間策略證書」，如果兩個域之間不存在互操作關係，則拒絕用戶請求，反之進行角色的映射，將本域角色映射為其他域的角色。
③域安全管理者對用戶對象進行檢查，將此用戶被分配的角色返回給用戶，同時為用戶創建一個會話對象。
④用戶根據自身要求從域安全管理者返回的若干角色中選擇自己需要的角色，並將所選的角色發回給域安全管理者。
⑤域安全管理者訪問域策略屬性證書，獲得用戶所要求角色的所有子角色，構建角色對象。系統對角色對象進行檢查，看是否滿足角色約束條件，對會話對象進行檢查，以確保將角色加入會話對象後，不會同時激活兩個互斥的角色，如果不存在互斥角色，則將角色加入會話對象，進行下一步，否則拒絕用戶的請求。
⑥域安全管理者構建權限對象。結合角色對象和權限對象可以獲得用戶所有的權限。系統對權限對象進行約束性檢查，獲取此用戶所有的合法權限。
⑦將此用戶被授權的合法權限集和所要求的權限集進行比較，如果前者包含後者，則允許其對資源的訪問，否則拒絕其訪問資源。訪問完成之後，將會話關閉，釋放系統資源。
整體的訪問控制步驟如以上所示，但是對應於域間的角色映射關係，應該加上一定的權限限制，使其他域中映射到本域的角色權限被限制在一定的範圍之內。即Privilege(映射到本域角色)＜Privilege(本域用戶使用該角色)。這也同樣應用於改進的RBAC中，在該模型體系中子角色並非完全繼承父角色的全部權限，而是部分繼承，這樣允許父角色擁有自己的私有權限。同樣對應到分布式訪問控制中，通過域間映射的角色並非完全繼承該被訪問域中映射角色的權限，而是部分繼承，這樣可以很好的保護被訪問域中資源信息的安全。
本發明的效果是顯著的，使用這種方法設計的分布式安全訪問控制系統融合了現在流行的PKI，PMI，RBAC技術，高性能的LDAP伺服器等，向用戶展示了一種分布式安全訪問控制系統的訪問過程。同時，通過增加「域策略屬性證書，域間策略屬性證書」，使原有的安全訪問控制方法從集中域中通過角色映射很好的應用到分布式訪問控制系統中。
圖1是本發明體系中改進的RBAC模型結構示意圖。
圖2是本發明體系中RBAC+PMI的域間映射約束過程示意圖。
具體實施例方式
本實施例實施採用的軟硬體環境伺服器Tomcat 5.0以上，JAVA環境，支持JAAS，客戶端硬體要求Windows 2000/XP，Pentium 2400Mhz以上，256M內存，與伺服器的網絡連接；客戶端軟體IE瀏覽器。
部署①、在各個信任域中搭建本信任域的身份認證伺服器，部署於Tomcat上，在各個信任域中部署LDAP伺服器，其中包括以下幾個資料庫a.用戶身份信息資料庫(PKI證書信息表，等)b.屬性證書資料庫(PMI證書信息表，域內策略映射表，域間策略映射表，角色證書表，角色映射表等)c.資源信息資料庫(本信任域中的可配置資源信息及提供的相應權限)②、為身份認證伺服器配置雙向認證信任關係，配置各個信任域的信任管理模塊，包括對本信任域約束機制和不同信任域中的映射關係約束。配製各個信任域中的身份證書，屬性證書的申請和管理模塊以及相應的策略定製，管理模塊。在搭建每個信任域的過程中，都存在各自定義的角色和他們對應權限。複雜的系統必然存在子角色等角色繼承關係，考慮到分布式多級安全訪問控制的安全性原則，本方案在這裡提出了使用改進的RBAC模型的構想，此模型在原有RBAC模型的基礎上為父角色添加相應的私有權限，這部分權限不允許子角色繼承。這種方法也應用到不同信任域間的角色映射中，即映射的角色在域中的權限應該小於在該域中直接使用該角色的權限。這樣做的好處是很好的保護了本信任域的資源不被外信任域實體破壞或非授權防問，同樣在一定程度上允許域外的可信實體訪問本信任域中的資源。改進的RBAC模型，如圖1所示③、啟動LDAP和Tomcat伺服器，每個信任域中的用戶通過在IE中加載自己的合法身份證書，與本信任域認證伺服器的建立連接。
方式IE-工具-Internet選項-內容-證書添加X.509證書。
經過本信任域認證伺服器的信任後，信任伺服器為用戶提供會話id，用戶有權訪問本信任域資源或通過角色映射訪問其他信任域的資源。主體在訪問本任域外的資源而選擇可映射的角色時，這種選擇的結果受到本信任域和和映射信任域中策略共同判決，不能選擇互斥的角色，如圖2所示。
相對於小型分布式系統中使用的安全標籤方案，本發明可以很好的應用到大型的分布式系統中，所述的雙向認證機制可以很好確定用戶的身份，確保不被偽造，同時為交互信息提供加密，確保不被竊聽。屬性證書和RBAC的廣泛使用使權限與身份更好的分離，便於策略管理員更好的管理。域間映射機制既方便分布式的訪問，又給與一定角色映射約束限制，確保訪問安全。
採用以上方法能夠很好的提供分布式資源訪問控制，便於域管理員進行管理和配置，可以安全高效地滿足大規模多用戶並發使用，效果很好。
權利要求
1.一種分布式多級安全訪問控制方法，其特徵在於，通過PKI技術提供相應的身份認證與信息加密機制，通過RBAC技術和PMI技術約束用戶—角色—權限之間的關係，通過資源描述符約束相對分散條件下的資源訪問，通過日誌模塊紀錄相應的用戶訪問信息以及系統安全信息；對於實際應用中的多個信任域，用戶通過使用自己的身份證書登陸本信任域，得到認證伺服器的信任後，與認證伺服器起雙向認證連接，在確定身份後用戶可以提出對某一項資源的訪問請求，這個訪問請求所對應的最終判決結果由用戶角色屬性證書，域策略屬性證書，域間策略屬性證書三種屬性證書的判決函數來決定，同時相應的重要系統日誌紀錄進資料庫，方便日後檢查。
2.根據權利要求1所述的分布式多級安全訪問控制方法，其特徵是，包括如下具體步驟①系統雙向認證機制讓請求方與響應方都確定對方的身份，身份認證伺服器要驗證用戶證書的籤名和有效期以及是否被撤銷；②用戶訪問資源，包括用戶訪問本域內的資源和用戶訪問其他域內的資源；③域安全管理者對用戶對象進行檢查，將此用戶被分配的角色返回給用戶，同時為用戶創建一個會話對象；④用戶根據自身要求從域安全管理者返回的若干角色中選擇自己需要的角色，並將所選的角色發回給域安全管理者；⑤域安全管理者訪問域策略屬性證書，獲得用戶所要求角色的所有子角色，構建角色對象；⑥域安全管理者構建權限對象；⑦將此用戶被授權的合法權限集和所要求的權限集進行比較，如果前者包含後者，則允許其對資源的訪問，否則拒絕其訪問資源。
3.根據權利要求2所述的分布式多級安全訪問控制方法，其特徵是，所述的身份認證，如果證書是合法的，即可從證書中提取證書序列號，用戶名信息，進入下一步，否則斷開連接，無論驗證通過與否，系統日誌模塊都要將訪問請求和判決結果寫入資料庫，驗證後雙方傳遞的信息被有效的加密。
4.根據權利要求2所述的分布式多級安全訪問控制方法，其特徵是，所述的用戶訪問本域內的資源，根據公鑰證書的序列號創建用戶對象，生成一個會話id，查詢LDAP伺服器，通過檢索用戶角色證書庫，獲得此用戶的所有角色。
5.根據權利要求2所述的分布式多級安全訪問控制方法，其特徵是，所述的用戶訪問其他域內的資源，應提供自己的用戶角色屬性證書，域安全管理者檢查屬性證書是否有效，無效則拒絕請求。
6.根據權利要求2所述的分布式多級安全訪問控制方法，其特徵是，所述的域安全管理者，要獲得用戶所在域與訪問域之間的「域間策略證書」，如果兩個域之間不存在互操作關係，則拒絕用戶請求，反之進行角色的映射，將本域角色映射為其他域的角色。
7.根據權利要求2所述的分布式多級安全訪問控制方法，其特徵是，所述的角色對象，系統對角色對象進行檢查，看是否滿足角色約束條件，對會話對象進行檢查，以確保將角色加入會話對象後，不會同時激活兩個互斥的角色，如果不存在互斥角色，則將角色加入會話對象，進行下一步，否則拒絕用戶的請求。
8.根據權利要求2所述的分布式多級安全訪問控制方法，其特徵是，所述的構建權限對象，是指結合角色對象和權限對象可以獲得用戶所有的權限，系統對權限對象進行約束性檢查，獲取此用戶所有的合法權限。
全文摘要
本發明涉及的是一種網絡安全技術領域的分布式多級安全訪問控制方法。通過PKI技術提供相應的身份認證與信息加密機制，通過資源描述符約束相對分散條件下的資源訪問，通過日誌模塊紀錄相應的用戶訪問信息以及系統安全信息；用戶通過使用自己的身份證書登陸本信任域，得到認證伺服器的信任後，與認證伺服器起雙向認證連接，在確定身份後用戶可以提出對某一項資源的訪問請求，這個訪問請求所對應的最終判決結果由用戶角色屬性證書，域策略屬性證書，域間策略屬性證書三種屬性證書的判決函數來決定，同時相應的重要系統日誌紀錄進資料庫，方便日後檢查。本發明實時的對系統中出現的訪問情況進行日誌記錄，能夠很好的分析系統的安全性。
文檔編號H04L29/06GK1960255SQ20061011630
公開日2007年5月9日 申請日期2006年9月21日 優先權日2006年9月21日
發明者楊樹堂, 陸松年, 李建華, 雷融, 陳恭亮, 李駿 申請人:上海交通大學