一种基于属性角色的访问控制模型分析与实现-analysis and implementation of an access control model based on attribute roles.docxVIP

1绪论1.1课题的研究背景及意义伴随着计算机及网络技术的持续快速发展，管理信息系统在各行各业中的应用愈来愈广泛。同时由于网络信息的共享性，信息管理系统在提供各式各样资源服务的同时也带来了一些安全隐患。如何去保证信息系统中数据的安全，如何去维护信息系统中的数据不被非法的访问等，成为人们普遍关注与急需解决的问题。目前有多种方式去实现信息管理系统的信息安全，其中访问控制技术是一个很重要的途径。访问控制技术主要用来检验用户是否有合法的权限来访问恰当的资源。它的主要功能就是对系统资源使用权限的监控，以此来保证对系统资源访问的合法性。访问控制技术就是使得到授权的用户访问到相关的资源，防止未授权用户访问系统资源，以及防止授权用户的超权限访问资源。在现实生活中，每个人有自己的工作，每个人的工作职责又不一样。因此在管理信息系统中，每个用户根据自己的岗位以及职责的不同，得到的授权也不一样，换言之就是能访问的资源也不一样。以往传统的访问控制模型直接将用户与权限挂钩。信息技术的发展使得信息系统的资源以及访问人数都日益规模化，传统的访问控制在应对现实的需要时显得捉襟见肘。基于角色访问控制模型（RBAC，RoleBasedAccessModel）的出现，能够克服访问控制过程中授权管理工作过大的缺陷，使得访问控制的授权的复杂性大大降低。但美中不足的是，当资源、用户变得规模很大时，RBAC在角色管理和授权管理方面的工作变得很繁琐。对基于角色的访问控制模型进行改进，以降低角色分配和授权管理的复杂度。（1）根据用户属性和环境属性，自动为用户分配角色，取代RBAC中的手工分配属性。（2）提出用户复合权限、复合角色概念。根据情况，系统授予用户一种身份或者多种身份。1.2国内外研究概况1.2.1国外研究现状上个世纪的70年代出现了一些访问控制模型，包括自主访问控制（DAC）、强制访问控制（MAC）和角色访问控制（RBAC）[1-3]。80年代的一些访问控制产品已经应用“角色”概念来进行系统管理。一直到现在，基于角色的访问控制RBAC得到广泛的研究，并且广泛应用于应用层上来进行数据的访问控制。RBAC模型已经成为被大家广泛认可和接受的授权和访问控制模型。国外RBAC的主要研究机构是NIST（TheNationalInstituteofStandardandTechnology，美国国家标准与技术研究所）和乔治森大学的LIST实验室。NIST主要进行基于角色访问控制模型及其标准化工作，LIST实验室则主要关注于对基于角色访问控制模型及其扩展模型的建立、形式化描述、分析评价及在web领域的应用等方面[4,5]。1992年美国国家标准与技术研究所（NIST）DavidFerraiolo和RichKuhn率先提出了基于角色访问控制模型的基本框架，并给出了RBAC的一种形式化定义[6]。该模型首次引入角色概念并给出相关定义，同时在模型中实现了最小权限和职责分离原则。1996年RaviSandhu提出了著名的RBAC96模型族，包括RBAC0，RBAC1，RBAC2，RBAC3。最基本的模型RBAC0包含了RBAC模型族中最核心的部分。RBAC1在RBAC0的基础上增加了角色继承的概念，RBAC2在RBAC0的基础上增加了角色约束的概念。RBAC3则综合了RBAC1和RBAC2的性质，也就是说RBAC3同时提供角色继承和角色约束。2001年RBAC领军人物DavidFerraiolo和RaviSandhu联合提出了一个RBAC模型的美国国家标准草案[7]。试图统一模型术语的同时对RBAC的基本操作作出了伪码定义。2001年和2003年相继通过ACM标准版草案和NIST标准草案。PaolinaCentonze等人在文献[8]中提出了一种以数据为基础的RBAC模型。DavidFerraiolo在文献[9]中阐述了如何将RBAC模型应用于B/S模式下的应用系统。YupingSun等在文献[10]中提出了一种灵活的RBAC工作流模型，该模型兼顾了RBAC模型和工作流控制，兼顾了安全性和灵活性。JoonPark等人在文献[11]中论述了RBAC在web领域的应用。YiRen等在文献[12]中提出了代理角色访问控制模型，比较好的解决了角色继承和角色约束的相关问题。1.2.2国内研究现状国内学者和研究工作者也对RBAC做了大量的研究工作。研究的主体方向基本上市对以往RBAC模型进行扩展，使模型更具有实用性，并结合实践提出一种RBAC模型的改进版。北京航空航天大学的薛伟等人提出了一种RBAC的扩展模型ERBAC[13]。增加对势约束支持的同时提出了面向对象的RBAC实现框架，并在此框架下实现了一个核心模块act-RBAC。北京大学计算机科学与技术研究所的龙勤等人提出了一种可管理的角色访问控制模型E