基于授权管理基础设施的安全访问控制系统设计.docxVIP

基于授权管理基础设施的安全访问控制系统设计 1 身份证书的使用和身份鉴别技术 随着网络的快速发展，b-s模式已成为人们获取信息的最重要方式。在用户访问Web资源的同时, Web资源的提供者希望只有身份合法并具有权限的用户, 才能访问权限所允许的资源。也就是Web资源的访问控制问题。传统的访问控制问题的解决方法是通过访问控制列表 (ACL) , 直接建立用户和资源之间的访问关系。但由于Web资源具有数量巨大、动态性等特点, 将会出现访问控制列表急剧增长, 需要频繁修改等情况, 造成访问控制列表难以维护和管理。访问控制列表已不适于Web资源的权限管理和访问控制。 授权管理基础设施PMI (Privilege Management Infrastructure) 技术的出现为Web资源的权限管理和安全访问控制问题的解决, 提供了新思路和有效的方法。PMI以PKI技术为基础, 使用属性证书完成授权功能。 在本文所设计的安全访问控制系统中, 通过身份证书完成用户的身份鉴别;使用PMI技术管理用户和资源之间的关系;对于复杂的Web资源, 给出了一种从Web中获取资源信息并管理的方法。使用本系统, 无需对Web应用系统作任何修改, 就可以实现资源的权限管理及对于资源的安全访问控制, 具有较强的通用性和实用性。 2 定义和证书pm 2.1 x.509v标准 国际电信标准化组织 (ITU-T) 和国际标准化组织 (ISO/IEC) 在2000年制定了X.509 v4标准, 并在其中首次完全定义了PMI的体系结构。 PMI的目标是向用户和应用程序提供授权管理服务, 用户身份到应用授权的映射功能, 与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权和访问控制机制, 简化具体应用系统的开发与维护。 2.2 公钥和证书所有权 PMI的属性证书结构遵循X.509中定义的数据结构。属性证书和公钥证书的结构类似。公钥证书 (因其可标识用户的身份, 也称为身份证书) 将公钥和证书所有者绑定在一起。属性证书将一系列属性, 例如:角色、权限或组成员等, 和证书持有人绑定在一起。属性证书依赖于身份证书而存在。例如:属性证书中的持有人 (Holder) 可以由身份证书中的证书序列号 (Serial Number) 和颁发者 (Issuer) 确定。属性证书和身份证书的格式和关系如图1所示。 2.3 基于角色的技术 文献提出将资源和对资源的操作 (即权限) 写入一个属性证书, 称为使用条件证书;将用户信息写入另一个属性证书, 通过使用条件证书和属性证书为用户和权限建立访问关系。如果采用这种证书结构, Web资源频繁的动态改变必将导致使用条件证书相应内容的改变, 增加证书管理的复杂性, 影响系统的性能。 在本文所设计的系统中, 用户和权限之间引入角色的概念, 通过角色将用户和权限联系起来, 用户被赋予某种角色, 也就具备该角色所拥有的权限。把角色写入属性证书, 将角色和证书持有人进行绑定, 形成代表特定权限的属性证书。在本系统中将这种属性证书称为权力证书。通过签发权力证书, 间接为用户授权;通过撤销权力证书, 实现权限的回收。 该权力证书具备的优点如下: (1) 一个Web应用系统使用的角色是有限的, 通过权力证书为用户授权, 可有效降低授权的复杂程度。 (2) 相对于动态变化的Web资源, 角色是稳定的, 因此将角色而不是资源写入证书, 能大大减少授权的 3 web系统页面设计 Web资源是访问控制的对象, 也是为角色授权的对象。因此, 资源信息的获取是资源有效管理, 也是整个安全访问控制系统的重要基础。 文献提出, PMI中Web资源来源于IIS的主目录或Tomcat的Server.xml配置文件中所指出的主目录下的所有资源。但这些资源, 只是Web资源有限的一部分。目前的Web普遍采用ASP或JSP等动态页面技术, 在浏览器所看到的Web资源不仅来源于主目录, 还可能来源于数据库或COM组件。对于动态页面, 无论资源来于何处, 最终将经过Web服务器端脚本的执行, 以HTML的形式返回给浏览器。因此, 对于资源信息的获取, 可从Web服务器所返回的HTML文件入手。从浏览器的角度来看, Web服务器所提供的资源结构可以看作是从主页开始的, 以每一个Web页面为结点, 以HTML中的超链接为边的有向图, 利用广度优先遍历算法, 就可以获取到Web服务器发布的所有资源。 本文所设计的系统中资源信息的获取将采用上述思想, 从主页开始, 使用爬行的手段, 通过页面之间链接关系, 自动获取Web站点资源的内容、属性及URL。页面中的表单资源是一种特殊的超链接资源, 用户的输入不同, 所获取的资源也不同。因此, 对于表单所隐含的相关资源, 需要人工的辅助才能完