基于角色的委托授权模型.docxVIP

基于角色的委托授权模型 1 角色授权后的委托访问权限限制 访问控制技术的研究一直是信息安全研究的重要途径。访问控制技术起源于20世纪70年代,在随后的三十多年中,先后出现了多种访问控制模型:自主访问控制模型,强制访问控制模型,基于角色的访问控制模型RBAC。 访问权限委托限制是一种重要的安全策略。它的基本思想是用户将自己所具有的部分或者全部权限转授给其他用户,让接受授权的用户代表发出授权的用户执行某些任务。从委托的方式看主要有以下几种:1)永久委托/临时委托:如果委托用户在转授出角色之后,再也收不回来则是永久委托;如果委托的过程只是临时的,则是临时委托。2) 单调委托/非单调委托:如果委托用户在转授出自己拥有的角色之后,仍然享有该委托角色的权限,则是单调委托。如果委托之后,失去了该委托角色的权限直到该委托关系失效,则是非单调委托。3)完全委托/部分委托:如果委托角色的用户将该角色的全部权限都转授给被委托的用户,则称为完全委托。如果委托的只是角色的部分权限,则称为部分委托。 本文将在基于角色的访问控制模型之下讨论角色到角色的委托访问权限限制,对角色委托的临时性、时序依赖性和受限传播性这些约束特性进行形式化建模。第2节介绍目前访问控制委托模型的相关研究工作,第3节阐述基于角色的带时限的访问控制委托模型及其相关委托判断规则,最后总结全文并指出进一步的研究方向。 2 rbda0委托模型 基于角色的访问控制技术普遍被认为是一种很有前途的全新的安全信息技术,具有代表性的是Sandu等提出的RBAC96模型,包括五种基本元素:用户、角色、权限、会话、约束。两种关系:用户指派关系(UA)、权限指派关系(PA)。 基于角色的委托模型主要有RBDM0和RDM2000。基于RBAC96,RBDM0首次将角色的概念引入到委托模型中,它将用户的角色分为两类初始角色和委托角色。 RBDM0的概念: UAO?U×R是用户与初始角色之间的多对多关系; UAD?U×R是用户与委托角色之间的多对多关系; UA=UAO∪UAD Users∶R→2U是一个角色到一组用户的映射函数,Users(r)={u|(u,r)∈UA} Users(r)=Users_O(r)∪Users_D(r) Users_O(r)={u|(?r′≥r)(u,r′∈UAO)} Users_D(r)={u|(?r′≥r)(u,r′∈UAD)} Longhua Zhang 等人提出的RDM2000委托模型如图1支持层次角色和多步委托,是基于RBDM0扩展而来的相对完善的基于角色的委托模型。 以上这些模型都没有解决时限问题,事实上时限是授权的重要组成部分,例如某用户出差为了继续完成他的工作,需要将他承担的角色委托给他人,他返回时则需要回收权限,又如某用户被委托的角色在某一时段或时点是否有效依赖于在这一时段或时点角色的委托是否有效,这都说明角色委托具有时效性和时序性。孙波等人在委托模型中引入了时间的概念,但他不支持委托角色中的部分权限。本文将总结带时限的委托模型的特点,不仅支持带时限的完全委托授权,也支持委托转授角色中的部分权限。 3 委托给间隔的模型 3.1 t1和t1c1c 定义1时间区间:时间区间是由两个时间点所构成的区间即 TI={(pi,pj)|pi,pj∈TP,pi≤pj} 定义2时间区间的集合: TIS=2TI,表示由时间区间所组成的集合。 定义3两个时间区间之间的包含关系:对于?t1,t2∈TI,若t1与t2满足Allen提出的十三种时态区间关系的以下四种关系的任意一种: (1)During(t1,t2),即t1比t2晚开始,且早结束,在时间轴t1上的区间范围被包含在t2的区间范围内; (2)Starts(t1,t2),即t1和t2有共同的起始点,但t1比t2先结束; (3)Finishes(t1,t2),即t1和t2有共同的结束点,但t1比t2晚,开始; (4)Equals(t1,t2),即t1和t2有共同的时间区间,t1和t2在时间轴上重合; 定义4时间区间集合之间的属于关系:对于?t∈TI,St∈TIS,如果?t′∈St使得t?tt′,则称时间区间t属于时间区间的集合St,记为t∈tSt。 定义5时间点与时间区间集合的属于关系:对于?p∈TP,St∈TIS,如果?t∈TI,使得p∈pt且t∈tSt成立,则称时间点p属于时间区间的集合St,记为p∈sSt。 定义6两个时间区间集合之间的包含关系:如果两个时间区间的集合St,S′t∈TIS,满足对于?t∈St,均有t∈tSt,则称时间区间的集合St包含在S′t中,记为St?sS′t。 3.2 具有有效时间的用户角色指纹关系 考虑到用户在系统中对客体对象的访问是通过用户—角色—权限的层层映射关系来实现的,如果为用户到角色的映射关系UA