支持RBAC限制XACML改进模型.docVIP

支持RBAC限制XACML改进模型 　　摘 要：访问控制是当今一种保证信息安全的重要方法。而角色访问控制技术（RBAC）也因为其自身的特点使得安全管理模式得到大大简化，从而得到更加广泛的应用。文章分析了基于XML的访问控制规范语言（XACML）的访问控制框架，并将其与RBAC限制模型中的角色限制条件相结合，设计出一种可以更好地支持RBAC限制的改进模型。该模型不仅具有良好的统一性、规范性和合理性，也能更加适应动态的网络环境。 关键词：访问控制；RBAC；角色限制；XACML 中图分类号：TP311 文献标识码：A 文章编号：2095-1302（2013）07-0053-04 0 引 言 随着社会信息化程度的提高，信息安全已经逐渐成为一个不可忽视的问题。互联网的不断发展带来了其应用模式的不断改变，这样的变化也给信息安全的保障带来了不小的挑战。访问控制作为保障信息安全的第一道关卡自然会受到广泛关注。目前，WEB服务普遍采用分布式网络应用构建技术，它建立在开放的标准之上，同时很好地利用了已有的成熟的互联网应用技术，包括各种模型规范和编程语言，并结合面向服务的思想，以更好地实现异构信息交流的目的。这就要求如今所采用的访问控制方法不仅要达到保证信息安全的目的，还必须具有良好的可扩展性、可定制性和异质信息的交互性。 1 访问控制概述 访问控制技术是通过某种方式明确地准许或限制访问能力及范围的一种方法。通过访问控制服务，可以限制对关键资源的访问，防止非法用户的侵入或者因合法用户的不慎操作所造成的破坏[1]。传统的访问控制方式包括自主访问控制 （Discretionary Access Control，DAC）、强制访问控制 （Mandatory Access Control，MAC）、基于角色的访问控制（Role-based Access Control，RBAC ） 等。每种访问控制方式都有广泛应用，但应用的范围有所区别[2]。 DAC最早出现在20世纪70年代的分时系统中，是一种多用户环境下最常用的访问控制技术。在目前流行的UNIX操作系统中，DAC被普遍采用，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其他用户。在传统的系统中，访问通常基于ACL，ACL与授权子系统结合为一体，在许可和拒绝对资源的访问上扮演关键的作用。 MAC主要用在军事领域中，它是在DAC的基础上，增加了对网络资源的安全属性划分，规定不同属性下主体的访问权限。MAC是一种多级访问控制策略，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。 RBAC的概念由Ferraiolo和Kuhn于1992年提出[3]。RBAC的重点是分配一个所谓的角色给用户或用户组[4]。角色对应于业务系统中的岗位或者职位。由于角色是安全控制策略的核心，因此极大地简化了安全管理，特别适用于大规模的企业应用。无论是系统级还是应用级的安全管理，都可以应用RBAC 进行权限控制，如目前的Windows操作系统和SQL Server的用户权限管理就体现了RBAC的思想。 从安全性的角度来看，较之DAC和MAC，RBAC更适合于商业应用。它综合了MAC和DAC的特点，既可以被配置成MAC，也可以配置接近DAC。 2 RBAC与XACML 2.1 RBAC模型 RBAC的核心思想是将访问权限与角色相联系[5]，通过给用户分配合适的角色，让用户与访问权限相关联。当主体发生变化时，只需修改主体与角色之间的关联，而不必修改角色与客体的关联。用户以什么样的角色对资源进行访问，决定了用户拥有的权限以及可执行何种操作。在RBAC中，角色成为访问的主体。 RBAC规范遵循角色继承原则、最小权限原则和责任分离原则[6]。 RBAC 的优点：一是支持权限管理。通过角色沟通用户和资源，对用户的访问授权转变为对角色的授权，系统的管理工作是授权或取消用户的角色。二是管理员操作方便。行政管理人员委派用户到角色的工作，而技术人员配置权限到角色的工作。三是很好地描述角色层次关系，实现最小权限原则和职责分离原则，降低系统风险。 而RBAC存在的不足，则主要表现在两个方面：一是对资源实施访问时，如果无法通过用户角色验证，就再没有其他办法许可访问；二是在基于项目分配的人力资源公司内，用户可以拥有多个角色，同时角色经常变动，因此角色的管理工作量也是很大的。 2.2 XACML访问控制模型 XML是描述互联网上结构化信息与内容的标准，具有简单性、结构