CN101465853B - 基于访问控制的隐私信息保护方法 - Google Patents

Abstract

基于访问控制的隐私信息保护方法属于计算机网络安全领域，用于互联网中需要对隐私信息进行保护的网络应用。本发明将访问权限扩展为隐私访问权限，在设置权限时，加入各种授予该权限时应满足的条件，并允许用户对隐私信息进行实时控制，增强了用户控制隐私信息的灵活性。此外，将与所有隐私信息相关的实体作为隐私主体加入访问控制中，使所有相关主体根据自身对于隐私信息保护的要求，设置隐私信息保护的访问控制策略。对隐私信息的访问依据所有隐私主体的策略进行控制，使得隐私信息保护方法更加完善，避免造成对用户的任何隐私侵犯。本发明考虑到了隐私信息保护的独特特点，即隐私保护所需的灵活性以及完整性，充分保障了用户的权益。

Description

基于访问控制的隐私信息保护方法

技术领域

本发明涉及一种在网络环境下，基于访问控制的隐私信息保护方法。本发明成果可以用于互联网中需要对隐私信息进行保护的网络应用。

背景技术

对隐私信息的保护从某种意义上来说就是对隐私信息的访问进行控制，使得用户可以控制隐私信息的流向。在访问控制方法中，被保护的信息被称作主体O，访问被保护的信息的实体被称为客体S，一个主体和一个客体对应一组访问权限R，即在访问过程中主体可执行于客体之上的所有动作。通过设定与主体和客体相关的访问权限，也叫做访问控制策略P，来控制主体对客体的访问。

现有的隐私信息访问控制方法中，由隐私信息的拥有者制定访问控制策略。设定了访问控制策略之后，将策略传送给存放隐私信息的服务器，由服务器接受访问请求，并根据访问控制策略对访问请求给予授权或者拒绝。

这种方式有两个缺点，第一个缺点是：由于用户对隐私控制的喜好会根据时间、地点以及环境的不同而发生变化。提前将访问控制策略制定好，然后传送到服务器，由服务器对隐私信息进行控制的方式不够灵活，不能够在用户的隐私控制喜好发生变化时进行改变。

第二个缺点是客体和主体即能确定访问权限、由客体的拥有者确定主体与客体所对应的访问权限的方式不能完全满足对隐私信息保护的需求。例如医院存放并拥有病人的病历信息，病人病历信息的访问控制策略由医院来确定。当有访问病人病历信息的请求时，请求通过还是拒绝完全由医院来控制，仅取决于访问者及被访问的病历，而不考虑病历所涉及到的病人对隐私的要求，这种作法虽然保护了医院对医院资料的隐私要求，但是对病人隐私的侵犯。在一条隐私信息被访问时，可能涉及多个主体的隐私，这些主体并不一定是隐私信息的拥有者。现有的隐私信息保护访问控制方法无法考虑所有与隐私信息相关的主体对隐私信息保护的需求，可能造成对用户隐私的严重侵犯。

发明内容

本发明的目的在于提供一种完善的隐私信息保护方法。使用该方法对隐私信息进行保护时，既可以考虑到所有与隐私信息相关的主体的隐私需求，又能够使这些主体灵活、实时地对隐私信息进行控制，从而达到真正保护所有用户隐私的目的。此外，本发明可与现有的访问控制机制兼容，形成一种通用的隐私信息保护方法，来解决网络中隐私保护的问题。

本发明对传统的访问控制权限R进行了扩展，提出了隐私访问权限R’。隐私访问权限R’是一组二元组的集合，每个二元组中包含一个权限r以及一个布尔型的条件c。隐私访问权限的形式为r’{<r、c>}。其中，r为传统的访问权限，即主体可以执行于客体之上的动作，如读、写、执行等；而c是一个布尔型表达式，表示在何种条件下，可以授予前面所列的权限。当这个布尔表达式的值为真时，前面所列的权限可以被授予。

布尔型表达式中的条件，可以包含多种各种各样的因素，如时间、地点以及请求者的IP地址等。布尔表达式还可以表达一定的动作，如将请求发送给权限制定者，由权限制定者实时确定是否授权。条件“询问”就表示需要向权限制定者进行实时的交互，由权限的制定者实时决定是否授予权限；当条件为“允许”时，表示可以无条件授予前面所列的权限，当条件为“不允许”时，表示不授予前面所列的权限。因此，隐私访问权限r’{<读，“允许”>、<写，“询问”>、<执行，“不允许”>}代表允许对客体的读操作；对客体的写操作则需要询问权限制定者，由权限制定者实时决定是否授予；而对客体的执行操作是不允许的。

使用这种隐私访问权限，为用户在访问控制决策的制定提供了很强的灵活性，从而达到满足用户实时控制隐私信息的需求。

本发明还将所有与隐私信息相关的主体作为隐私主体S’增加到访问控制中，将传统的二维访问控制[客体S、主体O]扩展到三维[主体S、客体O、隐私主体S’]，由主体S、客体O以及隐私主体S’共同确定一个隐私主体授权一个主体可以执行于一个客体之上的动作，即隐私访问权限R’。每个[s，o，s’]确定一组r’，代表了与隐私相关的实体s’授予s对o的一组隐私访问权限。这样，当一个主体s请求对客体o的访问权限r时，必须得到所有与这个客体相关的隐私主体s’的授权。即，所有由[s，o，s₁’]……[s，o，s_n’]所确定的r’中都必须包含r，并且对应的r’<r，c>中的布尔表达式c的值都必须为真。

这样，所有与隐私信息相关的主体都可以设置自己对隐私信息的控制策略，对于隐私信息的访问，必须得到所有与隐私信息相关主体的许可。

本发明采取了如下技术方案。基于访问控制的隐私信息保护方法，实现本方法的整个框架包括隐私信息访问请求者、隐私信息、若干与隐私信息相关者以及存放隐私信息的服务器。隐私信息访问请求者为主体S，隐私信息为客体O，与客体隐私相关者为隐私主体S’，隐私信息存放在服务器上，对隐私信息进行访问进行控制的步骤由服务器来完成。由隐私主体s’设置隐私访问策略，即设置主体、客体、隐私主体三者[s，o，s’]所确定的隐私权限为r’<r，c>，表示隐私主体s’授予s在满足条件c的情况下，对o进行r操作的权限，设置的隐私访问策略存放在服务器中。

使用该方法对隐私信息进行保护时，包括以下步骤：

1、基于访问控制的隐私信息保护方法，其特征在于，包括以下步骤：1)一个主体s向存放隐私信息的服务器发出请求，请求访问一个客体o，请求获得对客体o进行r操作的权限；r为访问权限，即主体可以执行于客体之上的动作；r为读、写、下载或执行等。

2)存放隐私信息的服务器接收到请求之后，查看所有隐私主体s’授权主体s关于客体o的权限r’1[s，o，s’1]、r’2[s，o，s’2]……r’h[s，o，s’h]，假设共有h个隐私主体，分别为s’1、s’2……s’h；

设置i＝1；其中变量i代表第几位隐私主体，i＝1、2……h；

3)如果服务器发现r’1中不含有权限r的授权，拒绝主体s对客体o进行r操作的请求；

如服务器找到r’1中含有权限r的隐私访问权限r’1<r，c>，服务器将分析相应隐私权限r’1<r，c>中r所对应的c，并分析c所要求的条件是否满足；

若c中还要求执行一定的动作，则执行相应动作。c中的条件可能包含s’_i设定的一些静态的要求，如请求时间为10:00-14:00时允许请求，其他时间拒绝；s’_i设定的动作，如要求服务器将访问转发给s’_i，由s’_i实时确定是否授权。

其中r为访问权限，即主体可以执行于客体之上的动作；c是一个布尔型表达式，表示在何种条件下，可以授予前面所列的权限；

r’1<r，c>和上述的r’1[s，o，s’1]是相同的，r’2[s，o，s’2]……r’h[s，o，s’h]依次和r’h<r，c>也是相同的；r’1[s，o，s’1]、r’2[s，o，s’2]……r’h[s，o，s’h]表示隐私访问权限由主体S、客体O以及隐私主体S’共同确定一个隐私主体授权一个主体可以执行于一个客体之上的动作；r’1<r，c>……r’h<r，c>表示隐私访问权限的构成，其中r为访问权限，即主体可以执行于客体之上的动作；c是一个布尔型表达式，表示在何种条件下，可以授予前面所列的权限.

4)如果c的条件不满足，即布尔型表达式c的值为假，拒绝主体s对客体o进行r操作的请求；

如果所有c所要求的条件都得到了满足，即布尔型表达式c的值都为真，那么查看下一个隐私主体所设置的隐私权限，即设置i＝i+1；

5)返回步骤3)直至最后一个隐私主体，即i＝h，那么允许主体s对客体o进行r操作。

本发明使用隐私访问权限，使得用户可以依照自己的隐私需要，灵活的设置对隐私信息的访问控制策略，还可以满足用户希望实时确定是否授予请求者对隐私信息访问权限的需要；隐私主体的引入，使得所有与隐私信息相关的主体都可以参与到隐私信息访问策略的制定，所有相关主体的隐私需求都能够得到满足，达到从根本上保护隐私信息，防止隐私信息被未经用户授权而泄漏的危险，达到了我们预期的目标。

本发明与现有的访问控制相兼容，易于实现，可以应用于各种需要保护隐私信息的系统中，有很强的通用性和实用性。

附图说明

图1本发明的应用框架结构，

图2本发明的应用过程流程图

具体实施方式

本实施实例中，以医院对病人A的病历信息进行保护为例。病人A的病历信息是需要被保护的隐私信息，即客体o；病历信息存放在医院的服务器中，所有对隐私信息的访问都经服务器的控制。病人A的病历信息涉及到医院和病人A的隐私，因此，隐私主体就有两个：医院s’₁、病人A s’₂；这里考虑医生和护士对病历信息进行访问的情形，即主体有：医生s₁、护士s₂。

首先，隐私主体医院和病人A分别设定各不同主体对病历信息进行访问时的访问控制策略。通常，医院设置的隐私访问策略往往是针对所有病人病历信息，因而比较宽松，以方便医生护士对所有病历进行各种操作。这里，医院允许医生查看并修改病人病历，允许护士查看病历，即r’[s₁，o，s’₁]＝{(查看，允许)，(修改，允许)}，r’[s₂，o，s’₁]＝{(查看，允许)}。而病人A的隐私控制策略完全是依据自己对隐私的需求设置的，因而更加具体。病人A允许医生查看自己的病历，但是仅在医生的上班时间即8:00-17:00，病人A允许医生修改自己的病历，但是在医生对病历进行修改时，需要将修改请求发送给用户，然后用户对请求进行授权，即r’[s₁，o，s’₂]＝{(查看，时间：8:00-17:00)，(修改，询问)}；病人A允许护士查看自己的病历，但是仅当护士在病房中照顾病人时允许，即r’[s₂，o，s’₂]＝{(查看，地点：病房)}。

下面，我们分别考虑医生和护士对病历信息进行访问的情形。

当医生需要查看病人A的病历信息时，医生向存放病历信息的服务器发出一条“查看”请求。服务器接收到请求，依次查看隐私主体医院s’₁、病人As’₂设置的隐私访问策略。由于s’₁设定的r’[s₁，o，s’₁]中存在“查看”权限，并且查看权限所对应的条件为“允许”，即查看是被允许的，因而服务器继续查找s’₂设定的r’[s₁，o，s’₂]。服务器找到r’[s₁，o，s’₂]中存在“查看”权限，并且发现查看权限所对应的条件为“时间：8:00-17:00”，因此服务器判断现在时间是否为8:00到17:00之间，如果是，即条件允许，则允许查看请求；如果现在时间不在8:00到17:00之间，则拒绝医生的查看请求。

医生请求修改病人A的病历时，向服务器发送“修改”请求，服务器查看r’[s₁，o，s’₁]中存在“修改”且条件为“允许”，继续查看r’[s₁，o，s’₂]，发现权限修改对应的条件为“询问”，因此服务器将医生的修改请求转发给病人A，病人A决定是否允许医生修改病历。这样，除了可以使病人A实时确定是否允许修改自己的病历之外，病人A还可以在第一时间知道医生对自己的病历做了修改，因而可以更好的掌握自己的病情。

护士请求对病人A的病历进行查看时，向服务器发送“查看”请求，服务器查看r’[s₂，o，s’₁]中存在“查看”权限且对应的条件是“允许”，继续查看r’[s₂，o，s’₂]中，找到“查看”权限所对应的条件：“地点：病房”，服务器判断护士是否在病房，如果是，则允许查看请求，如果不在病房，则拒绝请求。

护士请求修改病人A的病历时，向服务器发送“修改”请求，服务器在r’[s₂，o，s’₁]中找不到“修改”请求，因而拒绝护士修改病历的请求。

通过上述过程，病人A参与到对病历这种隐私信息的控制过程中，弥补了仅由医院对病人病历信息进行控制的不足，很好的保护了隐私信息。此外，医院中所有病人都可根据自己不同的需求，对自己的病历设置访问控制策略。

采用本方法，由与隐私信息相关的主体共同控制隐私信息的流向，因而避免了造成任何对隐私侵犯的可能。并且在控制过程中，隐私主体可以完全根据个人对隐私保护的需求进行隐私策略的设定，且能够实时对隐私信息进行控制。采用这种方式，可以既灵活又完善的保护隐私信息。

Claims (2)

1.基于访问控制的隐私信息保护方法，其特征在于，包括以下步骤：

1)一个主体s向存放隐私信息的服务器发出请求，请求访问一个客体o，请求获得对客体o进行r操作的权限；r为访问权限，即主体能够执行于客体之上的动作；

2)存放隐私信息的服务器接收到请求之后，查看所有隐私主体s’授权主体s关于客体o的权限r’1[s，o，s’1]、r’2[s，o，s’2]……r’h[s，o，s’h]，隐私主体，分别为s’1、s’2……s’h，h表示个隐私主体的总共个数；设置i＝1；其中变量i代表第几位隐私主体，i＝1、2……h；

3)如果服务器发现r’1中不含有权限r的授权，拒绝主体s对客体o进行r操作的请求；

如服务器找到r’1中含有权限r的隐私访问权限r’1<r，c>，服务器将分析相应隐私权限r’1<r，c>中r所对应的c，并分析c所要求的条件是否满足；其中r为访问权限，即主体能够执行于客体之上的动作；c是一个布尔型表达式，表示在何种条件下，能够授予前面所列的权限；

4)如果c的条件不满足，即布尔型表达式c的值为假，拒绝主体s对客体o进行r操作的请求；

如果所有c所要求的条件都得到了满足，即布尔型表达式c的值都为真，那么查看下一个隐私主体所设置的隐私权限，即设置i＝i+1；

5)返回步骤3)直至最后一个隐私主体，即i＝h，那么允许主体s对客体o进行r操作。

2.根据权利要求1所述的基于访问控制的隐私信息保护方法，其特征在于，当步骤3)中布尔型表达式c中还要求执行一定的动作，则执行相应动作。

Images