PMI技术白皮书(doc25).docVIP

PMI 技术白皮书 总部：中国·长春前进大街2266号 电话：86-0431-5173333传真：86-0431-5172696 吉大正元信息技术股份有限公司 目录 产品相应技术 2 PMI概览 2 权限管理基础设施 4 PMI的定义 4 为什么不是PKI 5 PKI和PMI的关系 6 属性权威 7 权限管理 8 属性证书的特点 8 PMI模型 9 访问控制框架 10 访问控制抽象模型 10 策略规则 12 授权策略 12 基于PMI建立安全应用 13 PMI应用结构 13 应用方式 14 建立访问控制系统 15 访问控制流程 15 PMI中技术的应用 15 系统简介 16 需求背景 16 产品简介 17 产品功能 17 实施接口 17 身份信息获取 17 访问实施接口（AEF API） 18 决策服务 18 策略决策点（PDP） 18 策略管理功能 18 资源管理 18 角色管理 18 用户管理 18 授权策略的管理 19 委托管理 19 系统管理功能 19 系统运行环境信息的管理 19 首席用户 19 管理员 19 产品特点 19 系统结构 20 硬件设施结构 20 软件系统结构 20 系统工作过程 21 支持环境 21 硬件设备 21 支持软件 21 专用技术词汇 22 产品相应技术 PMI概览 计算机网络能有效地实现资源共享，但资源共享和信息安全是一对矛盾体。随着资源共享的进一步加强，随之而来的信息安全问题也日益突出，而身份认证，权限和访问控制又是网络应用安全的两个重要内容，因此它们也成为了当前信息安全领域中的研究热点。许多应用系统都需要分别在这两个方面采取了相应的安全措施。 但是，对一些大型的组织机构来说，其网络结构比较复杂，应用系统比较多，如果分别对不同的应用系统采用不同的安全策略，则管理将变得越来越复杂，甚至难以控制。不同的用户对应不同的应用系统，由于机构的网络结构比较复杂，应用系统和用户都是分散分布的，因此对用户的访问控制和权限管理就显得非常的复杂和凌乱。而机构必须要能够控制：有“谁”能够访问机构的信息，用户访问的是“什么信息”，哪个用户被授予什么样的“权限”。一旦机构确定了权限管理和发布的方式，访问控制系统就可以根据机构发放的权限以及定义的安全策略控制用户访问，保护应用系统。然而，过去在权限管理权限的表达权限管理方面没有成果。DAC，ACL，MAC，RBAC访问控制模型，ACL和MAC得到了的应用。目前，RBAC模型也已经比较成熟 带来系统的不安全因素 不同的权限管理策略产生的安全强度是不同的。这就可能造成机构信息安全管理的漏洞，因此入侵者就有可能瞄准那些权限管理相对不安全的系统进行集中攻击，这就给机构资源的安全性带来极大的危害。 权限管理依赖于访问控制应用 权限的赋予和撤销往往都是在访问控制应用中产生的，不同的访问控制应用之间尽管有相同的用户和授权策略却往往不能互相使用对方产生的权限。每个应用都要维护自己的用户信息和授权方法，权限无法在分布的应用中和远程应用中使用。 资源所有者没有权限 应用系统负责权限的发放和使用，造成权限真正的拥有者不能有效，及时的更改，发布实时的权限信息。比如机构内一个人职务或业务的变化必须通知相关的不同应用中进行更新。而从本质上讲，权限的发放和权限的鉴别使用是完全不同的两个过程，完全可以分开，权限的拥有者发放权限，而由资源的保护者验证权限。 增加了系统管理员的负担 由于不同的系统采用的是不同的权限管理策略，系统管理员不得不熟悉和操作不同的权限管理模式，这无疑增加了系统管理员的负担。另外，大多数老系统都采用的是权限访问控制列表的方式，但是对于大型复杂应用用这种方式来分配权限，给系统管理员带来巨大负担且易出错。 开发复杂费用高 设计一个新的安全应用系统时，权限管理是一个极其重要的部分。在缺乏统一权限管理模型的情况下，设计人员要考虑选择权限管理模型、访问控制授权方案，而且开发人员也要根据不同的应用花费较大代价来实现权限管理功能，为一个应用开发的管理往往无法在其它应用中重用，增大系统的费用。 在过去的五年中，权限管理作为安全的一个领域得到快速发展，也提出了几种权限管理方案，如Kerberos，基于策略服务器方案，但目前应用和研究的热点集中于基于PKI的PMI研究。在PKI得到较大规模应用以后，人们已经认识到需要超越当前PKI提供的身份验证和机密性，步入授权领域，提供信息环境的权限管理将成为下一个主要目标。PMI实际提出了一个新的信息保护基础设施，能够系统地建立起对认可用户的授权。建立在PKI基础上的PMI，对权限管理进行了系统的定义和描述，将权限管理研究推到了应用前沿。1995年，发布了访问控制的标准框架（ISO/IEC 10181-3|ITU-T Rec. X.812），它主要定义