基于角色访问控制模型的扩展研究.doc

基于角色访问控制模型的扩展研究 胡兆玮1，靳瑞芳2 吉林师范大学教务处，吉林 四平 136000）Design of extended role-based access control model HU Zhao-wei1，Jin Rui-fang2 (Jilin Normal University of Academic Affair Office, JiLin SiPing 136000) 2(Jilin Normal University of Literary Institute, JiLin SiPing 136000) Abstract： An improved RBAC model is represented on the basis of classical RBAC96.To get over the shortcoming of traditional RBAC model,the improved model imports some concepts,such as attribute,audit,constraint and so on. The extended model will effectively reduce complication of authorization and improve efficiency of RBAC, in the meanwhile, a formal definition of the new model is given. By including cardinality constraints, aassigned constraints, conditional constraints, hierarchy constraints, muttually exclusive roles constraints and so on,then the security of traditionalRBAC model is strengthened. The characteristics of the new model include simpleness, flexibility, power expression ability, and strong usability·Also it is closer to the real world than the traditionalRBAC model. Next three new principles called automation, constraint and accountability are introduced in ERBAC. Key words：ERBAC; Attribute; Automation ;Constraint;Accountability 1 引言 基于角色访问控制模型RBAC(Role-based access control)是目前主流的访问控制模型，它比自主访问控制模型和强制访问控制模型更优越，也提供了更高的灵活性和扩展性[1]。但传统BRAC模型是将访问许可权分配给角色，用户通过被赋予不同的角色获得角色所拥有的访问许可权。在实际的系统应用中，由于系统模型中判断程序的权限仅仅根据启动该程序的角色，因此存在无法判断用户操作合理性的问题[2]；同时访问控制是由访问的主体和客体共同组成的，而在RBAC模型中虽然添加了互斥权限的问题，避免了在操作上对客体的滥用，但 并没有真正的对客体进行保护[3]。此外，在传统的 基于角色的访问控制中，不再需要仍然安全问题一个主要来源成为一个具吸引力的途径攻击。扩展的基于角色访问控制模型ERBAC是在传统RBAC96经典模型的基础上，引入了属性、审计和约束基数等几个基本元素，增加了基数约束机制、指派约束机制、条件约束机制、等级约束机制和互斥角色约束机制等内容，使该模型具有了新的特性。扩展的RBAC模型的结构图如图1所示。其中U(User)表示用户，R(Role)表示角色，P(Permission)表示权限，S(Session)表示会话，OP(Operation)表示操作或权限，OB(Objection)表示系统资源，ATT(Attribute)表示属性，A(Audit)表示审计，C(Constraint)表示约束。 2.1 扩展模型的基本元素 定义1：在该扩展模型中，需要定义如下几个基本元素： ① U={ u1,u2,…,un},所有用户(User)集合； ② R={ r1,r2,…,rn},所有角色(Role)集合； ③ S={ s1,s2,…,sn}，所有会话（Session）的集合； ④ OP={ op1