基于属性证书跨域访问技术设计和实现.docVIP

基于属性证书跨域访问技术设计和实现 　　摘要：首先，在基于传统访问控制策略的基础上，针对当前互联网环境中存在的跨域访问安全问题，提出一种基于属性证书的访问控制策略。然后，给出属性证书的结构模型和管理方式，并对采用属性证书访问的优势进行分析。指出不同于传统的访问控制，基于属性证书的访问控制其本质是基于属性的访问控制。最后，给出属性证书在跨域访问控制中的应用。在单应用域或跨域访问时均可采用属性证书的验证方式，其能够针对不同应用域中用户的访问需求，动态实施资源管理和访问控制。 关键词：属性证书；跨域；访问控制；X.509 中图分类号：TP393.08文献标识码：A文章编号2013 0引言 计算机网络技术的广泛应用和信息技术的快速发展使得信息安全问题日益突出。当前随着网络资源应用域范围的扩大和数量的增加，不同安全域之间的交互以及域内不同客户端和服务器端的交互愈加频繁，应用系统对信息的安全性提出了更高的要求，跨域安全访问是信息安全领域的重要研究方向[1]。 1相关工作 当前，域内和域间访问控制机制的研究主要集中在自主访问控制、强制访问控制以及基于角色的访问控制[24]。 自主访问控制基于对主体或主体所属的主体组的识别来限制对客体的访问，其优点是客体创建者具有对该客体的所有访问许可并且可以授权其他主体，但是访问许可的转移很容易产生安全漏洞，是一种比较弱的访问控制策略。 在强制访问控制中，每个用户及文件都被赋予一定的安全级别，用户不能改变自身或任何客体的安全级别，只有系统管理员可以确定用户和组的访问权限，其安全级别较高，多用于军用。 基于角色的访问控制模型（rolebased access control，RBAC）是一个策略中立模型，独立于以上2种安全手段。在基于角色的访问控制中，每个角色与一组用户和有关的动作相互关联，角色中所属的用户可以有权执行这些操作。与前述的访问控制方式相比，基于角色的访问控制在用户和对象中间加入“角色”的概念，带来了更多的灵活性。但其通常是为用户分配固定的角色，在需要更改用户角色时再显式地更改，随着用户数目的膨胀，RBAC模型的角色分配和管理使得角色权限管理工作变得庞大和繁琐，而且不能很好地应用在当前开放网络的跨域访问中。 基于属性的访问控制（attributebased access control，ABAC）[57]是近几年发展起来一种新型的访问控制模型，该模型能够克服传统访问控制模型的不足。在ABAC中，统一的基于属性的语义描述使得模型的定义和策略控制更加方便和灵活，同时支持动态属性的授权决策，有效解决了RBAC存在的瓶颈问题。本文在基于属性的访问控制策略的前提下，提出了一种基于属性证书的跨域访问授权机制，能够使得不同安全域之间的安全互访管理变得简单和安全。不同于其他基于属性的访问控制的描述方式，本模型所有的实体均采用统一的方式――属性来描述，从而使得访问控制判定功能在进行判定时，能够对访问控制判定依据采取统一方式处理，属性证书正是在此基础上进行使用的。 2属性证书 X.509属性证书（attribute certificate，AC）[810]是属性权威机构（attribute authority，AA）签发的包含某持有者的属性集和一些与持有者相关的信息的数据结构。它是由主体X.509公钥证书产生的一种独立结构，是一种轻量级的数字证书。 此外，AC定义了一种安全提供授权决策信息的机制，实现了用户与相关属性信息的绑定，并且由属性权威机构保证该绑定的有效性和合法性。 属性证书将用户名与一个或多个属性进行绑定，同时需要结合公钥证书（即用户证书）使用。其中，属性信息由属性名和属性值组成。属性证书将一个标识和角色、权限或者其他属性绑定（通过数字签名），因此属性证书不可伪造，可有效防止篡改。 2.1属性证书的结构 2.2属性证书的管理 2.2.1属性证书的功能管理 2.2.2属性证书的优势 属性证书的特殊结构决定了属性证书具有以下优势： 1）作为一种特殊的数字结构，属性证书既可以与用户身份证书配合使用，也可单独使用。将属性信息从身份信息中分离出来，使发放过程变得更有针对性，尤其是属性证书发放者和应用系统处于同一个环境时，安全措施和属性证书发放可以极大简化。 2）在存放方式上较为灵活，既可以由用户管理，也可由系统托管。属性证书可以分发给用户，由用户存放在本地磁盘上或Usbkey中，也可以委托给系统统一存储和管理。 3）运用属性证书可以实现基于属性的访问控制。属性证书的优势在于存取过程不再是基于身份或权限，而是由用户拥有的属性来决定，应用程序中访问控制规则也