一种基于角色的蓝牙强制访问控制方案的设计研究.pdf

一种基于角色的蓝牙强制访问控制方案的设计串 卢小亮 刘连东 郁滨 信息工程大学电子技术学院，河南郑州450004 摘要：针对蓝牙访问控制存在设备授权不灵活、无用户授权、资源完整性保护不足的问题，本文 引入基于角色的访问控制模型，并将BLP模型进行改进，应用于蓝牙访问控制中，设计了一种基于角 色的蓝牙强制访问控制方案。实验表明，该访问控制方案能够保障蓝牙访问的安全． 关冀词：蓝牙安全角色访问控制强制访问控制 1引 言 蓝牙【l】是一种短距离无线通信技术，其安全问题一直受到人们的关注。虽然蓝牙核心规范【2J和安全规 范【3】提供了一些安全机制，但仍不能抵御非授权访问攻击。 蓝牙提供了简单的访问控制机制。在蓝牙设备数据库中，设备分为可信设备、非可信设备和未知设备。 可信设备被自动授权，而非可信设备和未知设备则须人为干预授权，授权不灵活。该机制只针对蓝牙设备， 并未涉及蓝牙用户，一旦可信设备丢失，任何用户都能访问本地设备的资源。同时，来访用户通过服务可 以访问受访设备内的所有资源，这也存在受访设备敏感资源泄露的隐患。文献【4】指出蓝牙设备授权不灵活， 提出采用访问控制列表和基于角色两种方式实现对蓝牙的访问控制，但实现部分并未做深入的分析，而且 方案只是对通用的访问控制技术做了变换，并没有结合蓝牙的自身特点设计。文献【5]指出蓝牙没有针对服 务单独授权，但未给出具体的方案和实现方法。文献[6】根据蓝牙不同协议层的控制特点，提出了一种自主 访问控制和强制访问控制相结合的蓝牙访问控制方案，该方案仅能保证蓝牙设备内资源的机密性，并未考 虑其完整性。同时该方案是设备授权，且授权不灵活。 本文针对上述问题，通过分析用户授权和设备内资源的安全，结合基于角色的访问控制模型和BLP模型， 提出了一种基于角色的蓝牙强制访问控制方案。该方案能够在保证用户灵活授权的同时，确保蓝牙设备内 资源的机密性和完整性。 2蓝牙访问控制分析 访问控制闭是通过某种途径准许或限制访问能力及范围的一种方法，其基本目标是防止非法用户进入 系统和合法用户对系统资源的非法使用。蓝牙访问控制指在蓝牙通信中，控制来访用户访问受访用户设备 内资源的方法，防止来访用户的越权访问。 2．1针对蓝牙的RBAC分析 Access 基于角色的访问控制(RBAC，Role．BasedContr01)是在用户和权限间引入角色，用户通过担 ‘作者简介·卢小亮(1984-)，男，汉族，陕西陇县人，硕士研究生，研究方向为蓝牙、信息安全技术：刘连东．男族，汉，博士研 究生．主要从事信息安全、嵌入式研究；郁滨，男，汉族，教授，博士。博士生导师，主要从事信息安全、蓝牙技术、视觉密码 等领域的研究与开发． 任一定的角色而赋予对象访问的权限。角色的引入简化了授权过程，提高了用户的灵活性。RBAC是一种 策略无关的访问控制技术，通常与自主访问控制、强制访问控制、任务等结合组成控制策略。 ofStandards 2001年NIST(NationInstitute 层次RBAC的基本要素和关系包括：用户、角色、会话、对象、操作、访问权限、角色层次的划分、用户 角色分配和角色权限分配。 ’ 角色层次‘ 圈1层次RBAC结构图 蓝牙RBAC各基本要素和关系分别设置为： 用户指来访的蓝牙设备使用者；对象指受访的蓝牙设备内资源(后文简称“资源”)；角色指受访用户为 来访用户设置访问资源的权限集合；权限指禁止和允许；蓝牙设备间的主要操作有信息浏览和存储，即操 作指读操作和写操作。 用户角色分配是根据不同用户分配相应的角色。用户与角色通常以会话的方式建立对应关系，在蓝牙 应用中，会话过程消耗蓝牙设备的能量且不安全，易受到中间人攻击。该方式应用于蓝牙设备是不可行的。 为简化会话操作并保证角色分配的安全，受访用户直接对来访用户设置角色。 角色权限分配是角色赋予资源的访问权限。蓝牙提供的访问控制机制是在协议层控制，协议层控制是 蓝牙