基于属性证书和角色的PMI.docVIP

基于属性证书和角色的PMI摘要：公钥基础设施PKI技术通过方便灵活的数字证书与密钥管理机制，解决了可信的身份问题。但是，仅仅依靠PKI机制无法完全满足大型分布式网络环境下授权管理和基于角色的访问控制等需求。本文在深入研究PMI及属性证书的基础上，提出了一个基于属性证书和角色的PMI应用模型，并分析了该模型的实现过程 关键词：属性证书； 角色； PMI 中图分类号：TP3 文献标识码：A 文章编号：1671-1297（2008）07-160-02 一、引言 随着电子商务、电子政务、网上银行和网上证券等网络应用的不断发展，信息的机密性、完整性、不可抵赖性等安全要素越来越受到关注。这些安全要素从根本上来说就是要对所期望主体建立起信任，使该主体在受信任的范围内实现上述的安全特征。公钥基础设施PKI技术通过方便灵活的数字证书与密钥管理机制，在通信双方搭建起严格的信任链，解决了可信的身份问题。但是，随着网络结构的日趋复杂以及网络应用的扩展和深入，仅仅依靠PKI机制无法完全满足大型分布式网络环境下授权管理和基于角色的访问控制（RBAC）等需求。因此，如何在可信身份的基础上全面实现授权管理和基于用户角色的访问控制成为了信息安全领域的一个研究热点。在这一应用需求的大力推动下，特权管理基础设施（Privilege Management Infrastructure,PMI）应运而生 二、PMI技术 (一) PMI相关概念 特权管理基础设施（PMI）是在PKI提出并解决了信任和统一的安全认证问题后提出的，其目的是解决统一的授权管理和访问控制问题 PMI的基本思想是，将授权管理和访问控制决策机制从具体的应用系统中剥离出来，在通过安全认证确定用户真实身份的基础上，由可信的权威机构对用户进行统一的授权，并提供统一的访问控制决策服务 基于属性证书的PMI通过属性证书的签发、发布、撤销等，在确保授权策略、授权信息、访问控制决策信息安全、可信的基础上，实现了PMI的跨地域、分布式应用 (二) PMI体系结构 PMI的体系结构如图1所示， SOA(Source of Attribute Authority)授权管理体系的中心业务节点，是整个授权系统的最终信任源和最高管理机构，主要职责是授权策略的管理、应用授权受理、AA中心的设立审核及管理等 AA是授权管理体系的核心服务节点，是对应于具体应用系统的授权管理分系统，由各应用部门管理，SOA授权给它管理一部分或全部属性的权力。AA中心的职责主要包括应用授权受理 特权持有者(End-entity privilege holder)使用属性证书的实体或人 (三) PMI访问控制模型 PMI的访问控制模型如图2所示，在这个模型中，特权声称者即用户相当于标准访问控制框架中的发起者(Initiator)，而特权验证者相当于ADF(AecessControlDecisinnFuntion)。用户发起服务请求，特权验证者根据服务请求，结合特权策略和环境变量以及对象的敏感程度(如文档密级等)，进行访问判决，决定是否允许用户访问 (四) 属性证书 1. 属性证书的定义 属性证书是由属性权威机构AA(AttributeAuthority)签发的包含持有者的属性集(如角色、访问权限或组成员等)和一些与持有者相关的数据结构。由于这些属性集能够定义系统中用户的权限，因此可以把作为一种授权机制的属性证书看作是权限信息的载体。属性证书由签发它的AA签名，以此来保证属性证书和其权限信息的有效性和合法性。属性证书中包含的信息包括:证书的版本号、证书所有者的信息、证书的签发机构、用来创建数字签名的算法、证书的序列号、有效期、属性(权力信息)、可选的证书签发机构的唯一ID号和可选的扩展域 2. 角色属性证书 为了实现对角色、权限的灵活动态管理，属性证书进行了一定的扩展，X.509标准支持两种与角色有关的属性证书:角色规范属性证书(RoleSpeeifieationAC)和角色分配属性证书(RoleAssignmentAC)。角色规范属性证书的持有者(Hofder)是角色，属性是该角色拥有的权限.而在角色分配证书中，证书的持有者(Hofder)是用户，属性是分配给该用户的角色所有角色规范属性证书都由人A预先签发，存放在LDAP目录服务器的证书库中，不随用户的变化而变化。角色分配属性证书也是由AA签发后存放在LDAP服务器的证书中(不为用户持有)。AA可能给一个用户多个角色，此时该属性的值是角色列表，角色可以有等级之分，上一级角色可以拥有下一级角色的权限，角色之间也可以互相交叉，也可以互相排斥，例如，运动员和裁判是互相排斥的一对角色 (五)基于属性