基于角色访问控制的pmi系统的分析与架构-analysis and architecture of pmi system based on role access control.docx

摘要当前社会，倍息技术伴随着人类社会的发展阳不断发展，而因互联闷的出现 以及越来越多的网络应用，网络中的安全问题也跟得日益熏架，而在 VPN ，防 火墙，访问控制等各种安全应用中，安全基础设腑的重要性也开始凸显.其中， 身份认证以及授权管理是网络安全平台的两大核心内容，电子商务，电子政务， 网上银行等应用一方面需要确认使用者的身份，另…方面需要确认使用者的访问 权限，即对使用者进行访问控制。自 20 世纪 80 年代美国学者提出公钥基础设施 (PKI) 的概念以来， PKI 技术巳经成为电子陶务，电子政务和企业级网络中不可缺少的安全支撑系统。然而随着网络资源的不断丰富，单纯依赖 PKI 体制无 法满足对资源进行访问控制的需要，为了解决该问题 ITU-T 在 2001 年发表了 X.509 V4，第…次将PMI 标准化。 PKIIPMI 机制从系统和制度的角度，来考虑整 个虚拟社会的安全斟础。 X.509 协议中描述 PMI 为…种藕于 PKI 并承担权限管理 功能的框架。在访问控制方面，强制访问控制和自主访问控制是早期访问控制的两种模型，最近发展鹉来的基于角色访问控制模型支持角色的层次结构，静*责 任分离，最小权限集，通过角色将用户与权限联系起来，大大降低了访问控制的 复杂性，是一种灵活有效的安全措施。并且，在 X.509V4 中描述的 PMI 模型，把 属性证书作为公钥证书的一种扩展。因此，对剧性证书及基于角色的访问控制 PMI模型的研究势在必行。本文的研究目的是提出一种可行的基于公钥密码体制及基于角色的访问控 制的授权管理体制模型，并且提出该体制的实现机制，从而证明基于 RBAC 的PMI 体制是网络安全基础设施的有效解决方案。20 世纪80年代英国学者酋先提出了公钥基础设施的概念，后来人们意识到单纯依赖PKI技术无法满足对资源进行访问控制的需要，因此 ITU-T在2001年发 表了X.509V4 将授权管蝇体系标准化。 2∞3年，美隅国家标准委员会将葛子角色的访问控制作为国家信息技术标准公布出来，并得到了业界的广泛认同。 2002年， Sal岛时大学的David W Chadwick教授提出了基于角色的 PMI体系， An X.509 Role巾ωed Privilege Managernent Infrastructure.关于PMI 的理论及标准研究已经比 较多，目前国外主要的 PMl产品包括 Entru侃的Secure Transaction Platform ，Baltimore Technology 的Attribute Certificate Server ，IBM公司的Secureway， DASCOM (now 18M)的amAPlcode等。目前国内也有不少科研企事业单位在开展 PMJ方面的研究，但是缺少具体的 应用。本文主要做了如下工作:文章首先对 PKIIPMI 技术进行分析研究，井建立…个慕于角色的访问控制 PMI 模型，在这个模型中我们将传统的属性证书分离成属性规范证书和属性分配 证书，从而降低属性证书管珊的复杂度，井针对这个模型，提出→个切实可行的 企业级 PMI 授权管理系统方案。i衷方案来源于济南得安科技公司的 DAPMI 授权 管理系统的研发翩翩 SRQ22 授权管珊系统，该系统采用 PMI 权限管理体系结构，系 统使用属性分配证书来标识用户的角色，使用属性规范证书来管理角色的权限， 属性证书的结构符合 X.509叫标准:基于 PKI 技术之上的 SRQ22 授权管理系统 可以为互联闷，特别是电子政务系统构建一个严密的安全体系，充分保证敏感资 源访问的可控性句可审计性。文章主要包括以下内容 z 首先对 PKI 的基础理论作了细致介绍，包括 P阳 基础设施的概念，组成结构，所提供的安全服务， PKI 在电子商务，电子政务方 面的安全应用等:其次，对 PMI 体系进行了研究主要包括 PMI 基础设施的概念， PMI 系统的组成结构， PMI 的…般模型，代理模型，角色模型，重点对角色模型 进行了形式化定义及分析:再次，介绍了访问控制模型，首先对强制访问控制和 自主访问控制两种访问控制模型进行了概述井分析了他们在实施授权管理时的 缺陷，提出藕于角色的访问控制模型，并对阳 AC 的概念进行了详细的描述， 以及 RBAC 模型中的主要操作进行了形式化定义并对 RBAC 的安全二原则进行 了细致的描述:文章还提出了一种基于 RBAC 的访问控制模型，对该模型的组 织架构，属性证书的数据结构和签发过程，访问控制的认证过程进行了分析:文 章最后提出了一个可行的企业银授权管理而系统，该系统适用于大型企业的安全管理。作者在攻读硕士期间主要科研工作包括 DAPMI