基于XACML实现量化风险自适应访问控制.pdfVIP

第２９卷第２期　　　 计算机应用与软件 Ｖｏｌ２９Ｎｏ．２ ２０１２年２月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｆｅｂ．２０１２ 基于ＸＡＣＭＬ实现量化风险自适应的访问控制 郑　琪 （复旦大学软件学院　上海２０１２０３） 摘　要　　量化风险自适应的访问控制是现在系统安全领域的一个研究热点，但ＸＡＣＭＬ（ｅＸｔｅｎｄａｂｌｅＡｃｃｅｓｓＣｏｎｔｒｏｌＭａｒｋｕｐＬａｎ ｇｕａｇｅ）的实现未考虑量化风险自适应访问控制机制。在ＸＡＣＭＬ的基础上，充分利用其强大的访问策略表达能力，在不改变访问请 求语义的情况下加入了量化风险的控制功能，并扩展ＸＡＣＭＬ框架，添加持续的访问控制风险管理机制，实现了量化风险自适应的 访问控制。 关键词　　可扩展的访问控制标记语言　量化风险　风险管理 中图分类号　ＴＰ３０９　　　　文献标识码　Ａ ＸＡＣＭＬＢＡＳＥＤＩＭＰＬＥＭＥＮＴＡＴＩＯＮＯＦＱＵＡＮＴＩＦＩＥＤＲＩＳＫ ＡＤＡＰＴＩＶＥＡＣＣＥＳＳＣＯＮＴＲＯＬ ＺｈｅｎｇＱｉ （ＳｃｈｏｏｌｏｆＳｏｆｔｗａｒｅ，ＦｕｄａｎＵｎｉｖｅｒｓｉｔｙ，Ｓｈａｎｇｈａｉ２０１２０３，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｑｕａｎｔｉｆｉｅｄｒｉｓｋａｄａｐｔｉｖｅａｃｃｅｓｓｃｏｎｔｒｏｌｉｓａｆｏｃｕｓｏｆｒｅｓｅａｒｃｈｉｎｔｈｅｆｉｅｌｄｏｆｓｙｓｔｅｍｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙａｔｐｒｅｓｅｎｔ．Ｂｕｔｔｈｅ ｉｍｐｌｅｍｅｎｔａｔｉｏｎｓｏｆＸＡＣＭＬｈａｖｅｎｏｔｃｏｎｓｉｄｅｒｅｄｔｈｅｍｅｃｈａｎｉｓｍｏｆｑｕａｎｔｉｆｉｅｄｒｉｓｋａｄａｐｔｉｖｅａｃｃｅｓｓｃｏｎｔｒｏｌ．Ｂａｓｅｄｏｎｔｈｅｉｎｖｅｓｔｉｇａｔｉｏｎｏｆ ＸＡＣＭＬ，ｗｅｍａｋｅｆｕｌｌｕｓｅｏｆｉｔｓｇｒｅａｔｅｘｐｒｅｓｓｉｎｇａｂｉｌｉｔｙｉｎａｃｃｅｓｓｃｏｎｔｒｏｌｐｏｌｉｃｙｔｏａｄｄｃｏｎｔｒｏｌｆｕｎｃｔｉｏｎｓｏｆｑｕａｎｔｉｆｉｅｄｒｉｓｋｔｏｔｈｅｓｙｓｔｅｍｗｉｔｈｏｕｔ ｃｈａｎｇｉｎｇｔｈｅｓｅｍａｎｔｉｃｓｏｆａｃｃｅｓｓｒｅｑｕｅｓｔ．ＡｎｄｔｈｅｆｒａｍｅｗｏｒｋｏｆＸＡＣＭＬｈａｓａｌｓｏｂｅｅｎｅｘｔｅｎｄｅｄｔｏｉｍｐｌｅｍｅｎｔｔｈｅｑｕａｎｔｉｆｉｅｄｒｉｓｋａｄａｐｔｉｖｅ ａｃｃｅｓｓｃｏｎｔｒｏｌｂｙａｄｄｉｎｇｄｕｒａｔｉｖｅｒｉｓｋｍａｎａｇｅｍｅｎｔｍｅｃｈａｎｉｓｍｏｆａｃｃｅｓｓｃｏｎｔｒｏｌ． Ｋｅｙｗｏｒｄｓ　　ｅＸｔｅｎｄａｂｌｅＡｃｃｅｓｓＣｏｎｔｒｏｌＭａｒｋｕｐＬａｎｇｕａｇｅ（ＸＡＣＭＬ）　Ｑｕａｎｔｉｆｉｅｄｒｉｓｋ　Ｒｉｓｋｍａｎａｇｅｍｅｎｔ 本文发掘ＸＡＣＭＬ策略的表达能力，在不改变访问请求语 ０　引　言 义的情况下引入量化风险的功能。并扩展 ＸＡＣＭＬ的实现框 架，利用ＸＡＣＭＬ中的Ｏｂｌｉｇａｔｉｏｎ在系统中加入持续的风险控制 在当前信息和知识驱动的商业环境中，数据在各个组织间 机制，从而实现对整个访问控制系统进行风险管理。 进行流动的速度逐步加快，在出现特殊情况的时候需要能迅速 地对数据流控制方式进行调整，并保证敏感信息不被泄露，这就 １　相关工作 要求访问控制系统具有较高的灵活性［１］。也即，现在的应用越 来越需要动态的访问控制策略和实现机制。 文献［３］提出了三个设计量化风险自适应系统的指导原 量化风险自适应的访问控制［１－６］是当前信息安全研究领域 则：１）量化风险；２）建立可接受风险等级；３）保证访问始终控 的热点，因为风险量化的引