CN101305581A - 用于访问控制的方法、装置和计算机程序 - Google Patents

Abstract

披露了一种用于控制对发布/订阅消息代理的访问的方法、装置和计算机程序。将所述消息代理提供的多个发布/订阅功能分为多个功能组。将每个功能组与一个通信路径相关联。在所述消息代理处接收请求。此请求通过多个通信路径中的一个通信路径到达所述消息代理并请求访问所述消息代理提供的发布或订阅功能。确定使用了哪个通信路径以及标识所请求的功能属于哪个功能组。然后判定所标识的功能组是否与所使用的通信路径关联，并且在结果肯定的情况下提供对所请求的发布或订阅功能的访问。

Description

用于访问控制的方法、装置和计算机程序

技术领域

本发明涉及访问控制。

背景技术

服务器通常与两个或更多个网络相连，并且每个网络将特定类型的设备连接到服务器。图1示出了数据采集与监控(SCADA)系统10的实例。设备30、40、50与油管20相连。它们可以是监视诸如油流速和油温之类的信息的传感设备。它们通过网络60将信息发布到消息代理70。消息代理70通过第一网络适配器卡与此网络相连并且还通过第二网络适配器卡与包含设备80、85和90的企业内部网络95相连(图中未示出其中任何一个适配器卡)。此类设备通过订阅从发布设备接收信息并使用此类信息来监控油管运行。

如图2所示，消息代理70可以位于名为“隔离区”(DMZ)的网络100中。该区域充当外部网络(例如因特网)和内部网络(例如企业内部网络)之间的缓冲区。在外部网络和内部网络两者上的机器可以与DMZ中的服务器相连，但是只能在由防火墙110、120控制的特定端口上连接。作为实例，对于用于SCADA应用的发布/订阅消息代理，通过因特网连接的机器可以发布数据，而通过企业内部网络连接的机器可以订阅该入站数据。代理将通过先前建立的在代理与其订阅者之间的连接来发送此类信息。所述DMZ可以在其入口处具有一个分组过滤器(防火墙)110，来判定允许通过因特网连接的机器连接到DMZ中的哪些IP地址和端口。消息代理与企业网络之间也具有类似的设置120。

因此应理解的是，监控进出机器的业务的防火墙是已知的。防火墙可以具有多种类型。例如，网络层防火墙可以被配置为根据源IP地址或目的地IP地址、源端口或目的地端口，以及协议类型来过滤业务。应用层防火墙也是已知的并且可以使用它们来过滤进出特定应用的业务。例如，它们可用于防止在网页中显示不恰当的内容。

但是，防火墙只是完整的安全解决方案的一部分，在本领域中，其他访问控制机制也是已知的。例如，虚拟专用网(VPN)为受信用户提供对一般用户无法使用的资源的访问。在发布/订阅领域内，可以使用访问控制列表(ACL)来判定允许哪些用户发布特定主题以及允许哪些用户订阅特定主题。同样，仅允许通过特定访问端口来访问特定机器或应用。

当仅通过一个网络访问服务器时，安全性将成为一个问题。

业内需要一种改进的安全机制来解决不同的设备访问一台服务器的问题。服务器可以只与一个网络相连，也可以与多个网络相连，其中每个网络上的设备都尝试访问该服务器。

发明内容

根据第一方面，提供了一种用于控制对发布/订阅消息代理的访问的方法，所述方法包括：

将所述消息代理提供的多个发布/订阅功能分为多个功能组；将每个功能组与一个通信路径相关联；

在所述消息代理处接收请求，所述请求通过多个通信路径中的一个通信路径到达所述消息代理并请求访问所述消息代理提供的发布或订阅功能；

确定使用了哪个通信路径；

标识所请求的功能属于哪个功能组；

判定所标识的功能组是否与所使用的通信路径关联；以及

响应于判定所标识的功能组与所使用的通信路径关联，提供对所请求的发布或订阅功能的访问。

在一个实施例中，确定使用了哪个端口来访问所述消息代理，然后判定所标识的功能组是否与用于访问所述代理的端口关联。

在一个实施例中，确定从其发出所述请求的通信网络，然后判定所标识的功能组是否与所述从其发出所述请求的通信网络关联。

在一个实施例中，可以通过包括网络部分和主机部分的地址来标识从其发出所述请求的所述通信网络。在此实施例中，还至少可以通过网络部分来标识所标识的功能组与之关联的通信网络。为了判定所标识的功能组是否与所述从其发出所述请求的通信网络关联，将比较从其发出所述请求的通信网络的所述网络部分和所标识的功能组与之关联的通信网络的所述网络部分。

在一个实施例中，使用子网掩码来判定两个通信网络的所述网络部分是否相同。

在一个实施例中，接收连接到所述代理的连接请求。这导致为所述连接请求创建连接对象。然后使用所述连接对象内包含的信息确定来自同一请求方的任何后续请求通过其到达的通信网络。

在一个实施例中，如果判定所标识的功能组未与所使用的通信路径关联，则丢弃所述请求。可以通知请求方所述请求已被禁止。

在一个实施例中，根据数据库功能请求通过其到达的通信路径来提供对数据库所提供的功能的访问。

根据另一方面，提供了一种用于控制对发布/订阅消息代理的访问的装置，所述装置包括：

用于将所述消息代理提供的多个发布/订阅功能分为多个功能组的装置；

用于将每个功能组与一个通信路径相关联的装置；

用于在所述消息代理处接收请求的装置，所述请求通过多个通信路径中的一个通信路径到达所述消息代理并请求访问所述消息代理提供的发布或订阅功能；

用于确定使用了哪个通信路径的装置；

用于标识所请求的功能属于哪个功能组的装置；

用于判定所标识的功能组是否与所使用的通信路径关联的装置；以及

用于响应于判定所标识的功能组与所使用的通信路径关联，提供对所请求的发布或订阅功能的访问的装置。

本发明可以在计算机软件中实现。

附图说明

现在仅通过实例的方式参考以下附图来描述本发明的优选实施例，这些附图是：

图1示出了根据现有技术的同时与外部和内部网络相连的服务器；

图2示出了根据现有技术的位于隔离区(DMZ)网络内的图1的服务器；

图3示出了根据优选实施例的本发明的组件部分(componentry)；

图4a示出了根据本发明的优选实施例的在图1的服务器处收到的消息的格式；

图4b示出了根据本发明的优选实施例的在设备连接到图1的服务器时创建的连接对象的格式；

图5a和5b示出了根据本发明的优选实施例的将服务器应用功能映射到用户简档的表格信息；

图5c示出了示例性实施例中提供的功能组的文氏图；以及

图6示出了根据优选实施例的本发明的过程。

具体实施方式

披露了一种根据设备的网络位置，控制设备对服务器所提供的功能的访问的机制。

根据优选实施例，将参考图3至6描述本发明。应相互参照地阅读附图。

在步骤400接收执行消息代理70所提供的某种功能的请求(图6a)。在代理连接端口(例如，在网络9.2.x.x上具有IP地址9.2.3.4的端口1883)处接收所述请求。图4a中示出了此类请求的格式。所述请求具有两个部分：网络信息部分300；以及请求信息部分310。部分310包括如下信息：

i)用户ID；

ii)将消息代理映射到代理提供的功能的功能代码。此类功能由组件230提供；

iii)消息长度；

iv)将自身与诸如服务质量(QoS)和消息优先级之类的信息进行关联的标志；

v)消息主题；以及

vi)消息的主要有效负载。

网络信息部分300包含如下更低级别的信息：

i)源IP地址；

ii)源端口；

iii)目的地地址；

iv)目的地端口；以及

v)所采用的协议的标识符(例如，TCP或UDP)

这些元素是协议标头的一部分。要指出的是，发出请求的设备所在的网络与代理所连接到的网络不必为同一网络，因此IP源地址可以完全不同。

如果在步骤410判定新接收到的请求是连接请求，则将所述网络信息连同用户ID一起用于(在步骤420)创建如图4b所示的连接对象320(本质上是状态信息)。将此连接对象存储在接收连接端口处。每个连接对象还具有与之关联的套接字ID。

总之，过程将到达步骤430，其中连接端口将请求发送到代理接口220。代理接口用于调用代理70所提供的功能230。在步骤440，拦截器200在请求前往代理接口的路径上拦截该请求，具体地说，拦截组件270。连接信息组件240在步骤450判定被截获的请求的连接信息是否在本地可用。如果对于当前连接会话，这是来自该特定客户机的第一个请求，则本地没有可用的连接信息。在此情况下，将从从其发出请求的连接端口来请求与该请求关联的连接对象(步骤460)。然后将收到的连接对象存储在拦截器组件的本地以与后续请求(未示出)一起使用。在另一实施例中，可以简单地从每个请求的连接端口请求连接信息。

在步骤470，将参考(使用参考组件250)用户简档和功能表信息330、340(如图5a和5b所示)来判定是否允许特定请求设备所请求的操作。

功能表330列出了组件230所提供的代理功能(图3a)。因此，仅作为实例，设备可以请求如下操作：

i)连接

ii)断开连接

iii)发布

iv)发布_确认(订阅者可以确认消息的接收)

v)发布_发出(发布者可以发出传送一次并且仅传送一次的消息)

vi)发布_完成(订阅者可以确认传送一次并且仅传送一次的消息的完成)

vii)订阅

通过表将请求消息功能代码分别映射到上述操作之一。

虽然设备可以请求任何功能，但是根据优选实施例，设备的网络位置对代理实际是否能够完成所请求的操作具有影响。功能表330的第三列指示了每个操作所允许的用户的用户简档。因此，只有类型2的用户才能发布消息，而只有类型1的用户才能请求订阅操作。因此实际上，消息代理的应用功能被分为多个功能组，其中只有特定类型的用户才能访问每个功能组。图5的文氏图示出了这种情况。在该图中，可以看到以下功能属于功能组1：

i)发布_确认；

ii)发布_完成；

iii)订阅；

iv)连接；以及

v)断开连接

功能组2中的功能包括：

i)发布；

ii)发布_发出；

iii)连接；以及

iv)断开连接。

尽管只示出了两个功能组并且每个功能组中有多个功能，但事实并非总是如此。可以存在两个以上的功能组。同时，一个功能组可以只有一个功能。

用户简档表340定义了与类型2的用户相比的类型1的用户的内容。图中的表格定义了当判定是否允许请求设备访问代理所提供的功能时，相关的信息包括指定的Net ID(网络ID)/子网掩码对、通过其访问代理的目的地端口以及请求用户的名称。从图中可以看出用户简档中的某些表项可以是通配符。换言之，简档1中有哪些用户并不重要。

返回参考图6b的过程，参考组件250从被拦截的消息的请求信息部分提取功能代码。这用于通过功能表330确定用户所请求的操作和被允许执行此类操作的用户类型。作为实例，将请求功能7。在功能表中，这将映射到只有类型1的用户才允许的发布操作。然后将访问简档表340以确定类型1的用户所需的特征。在请求的源IP地址(例如10.0.56.77)和子网掩码(例如255.255.0.0)之间执行逻辑‘与’操作。IP地址通常包括网络ID(即网络部分)和节点ID(即主机/机器部分)。执行‘与’操作以便从源IP地址中提取网络IP部分(在此实例中为10.0)。然后可以将其与简档中指定的网络ID相比较。(可以在简档中指定完整的地址10.0.0.0，但是此实施例中的相关(网络ID)部分为10.0，要指出的是，在备选实施例中，简档中仅指定网络部分)。如果从源IP地址中提取的网络ID与简档中指定的网络ID部分完全相同，则简档中的该部分匹配。也就是说，请求来自适当的子网。在此实例中，存在匹配并且因此请求来自适当的IP地址范围。但是，通过特定端口访问代理可能是必需的，在这种情况下，还需要对此进行检查。要指出的是，在步骤460请求的连接对象(如果尚未在本地可用)可用于确定发出请求的源IP地址、目的地端口等。因此，将针对表中的每个列从相关连接对象检索值。可以应用某些自动化的规则。例如，用户名字段中包含通配符。因此，不需要从连接对象中检索该值。同样，如果检索了源IP地址并且确定设备不满足此特征，则不需要检索其他列的值。

要指出的是，用户简档表的各列只是示例性的。关键在于根据与用户的网络位置相关的一个或多个特征来控制用户对应用功能的访问。

从图4a和4b可以看出，请求消息以及从中创建的连接对象未指定源IP地址是否属于由用户简档中指定的网络ID和子网掩码组合所定义的范围。但是，将请求的源IP地址与指定的网络ID/子网组合相比较，可以判定其是否处于所述范围之内(见上文)。子网和子网掩码是本领域中已知的主题，因此在这里不再赘述。

从参考步骤470获取的信息被继续传递到网闸(gate keeper)260；换言之，确定请求是否满足所需的准则。网闸260然后使用此类信息判定是否允许请求(步骤480)。如果请求不满足所需的准则(例如，请求源自相关简档信息中指定的子网之外的子网)，则在步骤490丢弃请求。这表示只是没有执行请求，但是更一般地，可能涉及通知发出请求的设备请求未被允许。

另一方面，如果在步骤480认为可允许请求，则网闸260将请求传递给可以通过其请求适当操作(在此实例中为发布)的代理接口220。从此之后，消息代理的功能以本领域公知的方式执行。

总之，将服务器的应用层协议按功能分为多个组。然后将这些组中的每个组与描述访问该功能组的要求的简档相关联。返回参考图1的实例，此类发明可以在SCADA类型的环境中使用以达到最佳效果。简言之，在此类环境中，传感器可以通过外部网络访问消息代理，而监视器可以通过内部网络访问消息代理。对于此类设置，可能不希望允许监视器进行发布，以及不希望允许传感器通过订阅来接收信息。可以根据发出请求的设备的网络位置执行访问控制，而不必列出每个设备的用户ID及其访问权限。

如上所述，在执行访问控制时使用源IP地址、子网、目的地端口以及用户ID信息只是示例性的。例如，可以单独使用目的地端口。在这种情况下，可以将本发明的功能内置到防火墙技术(例如图2的分组过滤器110、120)中。使用当前的防火墙限制端口访问是公知的。但是，可以将此类防火墙技术扩展到指定可通过特定端口请求的操作的类型。

最后，虽然所述的实施例参考了与两个或更多个网络相连的服务器，但是本发明并不限于此。例如，多个设备可以通过单个网络访问服务器。服务器可以在单个网络上侦听多个端口。可以使用防火墙控制允许哪些源IP地址范围访问服务器上的哪个端口，在这种情况下，参考组件只需要在制订决策时考虑端口号。备选地，可以在简档中指定源IP地址范围和端口，而参考组件可以执行验证。

Claims (19)

1.一种用于控制对发布/订阅消息代理的访问的方法，所述方法包括：

将所述消息代理提供的多个发布/订阅功能分为多个功能组；

将每个功能组与一个通信路径相关联；

在所述消息代理处接收请求，所述请求通过多个通信路径中的一个通信路径到达所述消息代理并请求访问所述消息代理提供的发布或订阅功能；

确定使用了哪个通信路径；

标识所请求的功能属于哪个功能组；

判定所标识的功能组是否与所使用的通信路径关联；以及

响应于判定所标识的功能组与所使用的通信路径关联，提供对所请求的发布或订阅功能的访问。

2.根据权利要求1的方法，其中所述确定使用了哪个通信路径的步骤包括：

确定使用了哪个端口来访问所述消息代理，

并且其中所述判定所标识的功能组是否与所使用的通信路径关联的步骤包括：

判定所标识的功能组是否与用于访问所述代理的端口关联。

3.根据权利要求1或2的方法，其中所述确定使用了哪个通信路径的步骤包括：

确定从其发出所述请求的通信网络，

并且其中所述判定所标识的功能组是否与所使用的通信路径关联的步骤包括：

判定所标识的功能组是否与所述从其发出所述请求的通信网络关联。

4.根据权利要求3的方法，其中可以通过包括网络部分和主机部分的地址来标识从其发出所述请求的所述通信网络，并且其中还至少可以通过网络部分来标识所标识的功能组与之关联的通信网络，并且其中所述判定所标识的功能组是否与所述从其发出所述请求的通信网络关联的步骤包括：

比较从其发出所述请求的通信网络的所述网络部分和所标识的功能组与之关联的通信网络的所述网络部分。

5.根据权利要求4的方法，其中所述比较步骤包括：

使用子网掩码来判定两个通信网络的所述网络部分是否相同。

6.根据任一上述权利要求的方法，其中接收连接到所述代理的连接请求，所述方法包括：

为所述连接请求创建连接对象；以及

使用所述连接对象内包含的信息确定来自同一请求方的任何后续请求通过其到达的通信网络。

7.根据任一上述权利要求的方法，包括：

响应于判定所标识的功能组未与所使用的通信路径关联，丢弃所述请求。

8.根据权利要求7的方法，包括：

通知请求方所述请求已被禁止。

9.根据任一上述权利要求的方法，包括根据数据库功能请求通过其到达的通信路径来提供对数据库所提供的功能的访问。

10.一种用于控制对发布/订阅消息代理的访问的装置，所述装置包括：

用于将所述消息代理提供的多个发布/订阅功能分为多个功能组的装置；

用于将每个功能组与一个通信路径相关联的装置；

用于在所述消息代理处接收请求的装置，所述请求通过多个通信路径中的一个通信路径到达所述消息代理并请求访问所述消息代理提供的发布或订阅功能；

用于确定使用了哪个通信路径的装置；

用于标识所请求的功能属于哪个功能组的装置；

用于判定所标识的功能组是否与所使用的通信路径关联的装置；以及

用于响应于判定所标识的功能组与所使用的通信路径关联，提供对所请求的发布或订阅功能的访问的装置。

11.根据权利要求10的装置，其中所述用于确定使用了哪个通信路径的装置包括：

用于确定使用了哪个端口来访问所述消息代理的装置，

并且其中所述用于判定所标识的功能组是否与所使用的通信路径关联的装置包括：

用于判定所标识的功能组是否与用于访问所述代理的端口关联的装置。

12.根据权利要求10或11的装置，其中所述用于确定使用了哪个通信路径的装置包括：

用于确定从其发出所述请求的通信网络的装置，

并且其中所述用于判定所标识的功能组是否与所使用的通信路径关联的装置包括：

用于判定所标识的功能组是否与所述从其发出所述请求的通信网络关联的装置。

13.根据权利要求12的装置，其中可以通过包括网络部分和主机部分的地址来标识从其发出所述请求的所述通信网络，并且其中还至少可以通过网络部分来标识所标识的功能组与之关联的通信网络，并且其中所述用于判定所标识的功能组是否与所述从其发出所述请求的通信网络关联的装置包括：

用于比较从其发出所述请求的通信网络的所述网络部分和所标识的功能组与之关联的通信网络的所述网络部分的装置。

14.根据权利要求13的装置，其中所述比较装置包括：

用于使用子网掩码来判定两个通信网络的所述网络部分是否相同的装置。

15.根据权利要求10到14中的任一权利要求的装置，其中接收连接到所述代理的连接请求，所述装置包括：

用于为所述连接请求创建连接对象的装置；以及

用于使用所述连接对象内包含的信息确定来自同一请求方的任何后续请求通过其到达的通信网络的装置。

16.根据权利要求10到15中的任一权利要求的装置，包括：

用于响应于判定所标识的功能组未与所使用的通信路径关联，丢弃所述请求的装置。

17.根据权利要求16的装置，包括：

用于通知请求方所述请求已被禁止的装置。

18.根据任一上述权利要求的装置，包括用于根据数据库功能请求通过其到达的通信路径来提供对数据库所提供功能的访问的装置。

19.一种包括程序代码装置的计算机程序，当所述程序在计算机上运行时，所述程序代码装置适于执行根据权利要求1到9中的任一权利要求的方法。

Images