CN102104599B

CN102104599B - 一种基于信任机制的dRBAC模型的改进方法

Info

Publication number: CN102104599B
Application number: CN201010622663.9A
Authority: CN
Inventors: 郑军; 王思远; 高春晓; 张启坤; 谭毓安
Original assignee: Beijing Institute of Technology BIT
Current assignee: Beijing Institute of Technology BIT
Priority date: 2010-12-29
Filing date: 2010-12-29
Publication date: 2014-04-16
Anticipated expiration: 2030-12-29
Also published as: CN102104599A

Abstract

本发明涉及一种基于信任机制的dRBAC模型的改进方法，属于信息安全技术领域。核心思想为将信任机制引入到原始的dRBAC模型中，即对原始的dRBAC模型添信任度元素，建立信任度表格，利用信任度来作为发布委托授权的标准。本发明改进后的dRBAC模型可以方便地应用于委托的深度控制和授权的级联撤销，可以高效判定委托是否违背RBAC模型的最小权限原则。

Description

一种基于信任机制的dRBAC模型的改进方法

技术领域

本发明涉及一种基于信任机制的dRBAC模型的改进方法，属于信息安全技术领域。

技术背景

Internet技术的发展日益迅速，当前的一大研究热点是多个组织在动态结盟的条件下共同完成某个任务。在这种条件下，各个结盟的组织之间，不但要保护共享的资源文件，而且对于自己不想共享的资源更要做好保护工作，这都需要授权管理和访问控制技术来实施。在这种情况下，在互操作的实体之间建立信任并进行合理的授权委托是确保安全的关键。为了解决这些问题，研究人员做了大量的工作，目前已有的解决方案大体分为两大类：第一类解决方案是在互操作的两个管理域之间建立角色映射模型；第二类解决方案是使用信任管理。但这两种方案都存在一定缺陷：第一种方案的扩展性不好，第二种方案在授权委托时未考虑两个实体之间的信任度，并且对于授权委托的深度也未加控制。

Freudenthal等人提出并形式化定义了一个动态结盟环境下的分布式RBAC模型：dRBAC(distributed RBAC)。dRBAC是一种非集中式的信任管理的访问控制策略，并且具有面向跨多个管理域，分布式可扩展性等特点。它利用PKI机制定义信任域，通过角色指派实现多许可的分配，并且可实现跨域的角色委托。dRBAC的主要特征体现在来自于域的名空间之外引入的第三方角色委托依赖于显式的委托指派；使用与角色关联的数量值属性实现权限转移；对时间较长的交互进行持续的实体信任关系监控，从而确保信任关系的有效性和延续性。dRBAC实现了一个较为完整的访问控制系统用于分发、搜索、验证和撤销基于角色的委托，适用于较大规模的分布式安全环境的构建。

但是，dRBAC模型也有一些缺陷，包括以下几个方面：(1)对第三方委托的深度没有进行控制；(2)由于委托分散发布和管理，委托链可能构成环，在委托链搜索时如何及时终止对循环委托链的重复搜索没有涉及；(3)某个管理域的某个角色通过委托链可能拥有级别比它高的角色的权限，导致角色的隐式提升，这将违背RBAC模型的角色层次关系，从而产生安全隐患；(4)在dRBAC模型中，结盟的组织采用RBAC模型，职责分离是RBAC模型支持的三个基本的安全原则之一，那么某个组织的用户在访问另外某个组织的资源时，如果违背该组织的职责分离约束，将带来安全隐患。

发明内容

本发明是为了克服现有技术的缺陷，提出了一种基于信任机制的dRBAC模型改进方法。

原始的dRBAC模型是一种分布式的访问控制模型，模型包括实体、角色、主体和客体等要素。其中实体是指用户、主机、服务等对象，每个实体能够定义包含角色的名字空间，每个实体包含一个访问控制列表ACL，ACL的条目由权限和主体构成；角色是特定实体名字空间里的名字，表示一组权限的集合，角色的表示形式为：Entity.LocalName，其中，Entity表示一个实体的名称，LocalName表示该实体定义的名字空间里的一个本地名字；主体是指被委托的对象，主体是一个实体或者角色，如果主体是一个角色，则该主体所对应的实体为定义该角色的实体；客体是指委托的对象，客体是一个实体或者角色。如果客体是一个角色，则该客体所对应的实体为定义该角色的实体，例如：角色Entity.LocalName所对应的实体是Entity；

原始dRBAC模型中委托的语法形式为

[Subject-＞Object]Issure

其中Subject是一个主体，Object是一个角色，Issure是一个实体。其含义是Issure发布签名证书，把角色Object具有的权限赋予主体Subject；原始dRBAC模型共包含对象委托、指派委托和第三方委托三种委托方式，分别为：

(1)对象委托，其语法形式为

[Subject-＞A.a]A

对象委托的效果是发布者A自己的名字空间中定义了一个角色a，a具有对于实体A部分资源的访问权限，A发布证书宣布把a具有的权限授予Subject；

(2)指派委托，其语法形式为

[Subject-＞A.a’]B

其中，B和A可以是相同的实体，也可以是不同的实体；指派委托的效果是实体B把角色A.a的委托权限授予Subject，Subject可以进一步把角色A.a授予其他的Subject。其中A.a’中上标“’”表示将角色A.a的指派权同时委托给Subject；

(3)第三方委托，其语法形式为

[Subject-＞A.a]B

第三方委托的效果是发布者B把角色A.a的权限授予Subject，其中A和B是不同的实体；

上述Subject可以为一个实体或者角色。

本发明是通过以下技术方案实现的。

本发明的一种基于信任机制的dRBAC模型的改进方法，核心思想为将信任机制引入到原始的dRBAC模型中，即对原始的dRBAC模型添加信任度这一元素；信任度是指一个实体对另一个实体或者角色的信任程度，用一个实数表示，取值范围为0～100，如果信任度取值为0，表示完全不信任，如果取值为100，表示完全信任，信任度的值越大，则信任的程度越高；改进方法包括以下步骤：

(1)为原始的dRBAC模型中每个实体建立一个信任度表格，表格中记录该实体对其他全部实体的信任度评价；

(2)模型中每个实体为自己名字空间中的角色设置信任度阈值Trustline，该阈值保存于该实体的访问控制列表中，只有当其他实体达到了信任度阈值才能对该其他实体进行委托授权；

(3)根据管理员定义的初始规则初始化模型中每个实体的信任度表格；

(4)每个实体接收到访问请求后，根据访问资源请求一方实体的信任度和所请求资源的信任度阈值决定是否发布委托，如果请求访问方的信任度大于所请求资源的信任度阈值，则发布委托，否则拒绝发布委托。

添加了信任度这一新的元素之后，必须考虑如何对其进行管理，把它融入到dRBAC模型之中，使他与dRBAC模型中的其他元素很好的配合，对信任度这一元素的管理方法如下：

在每个实体本地的访问控制列表ACL中添加信任度阈值，这样，ACL的条目由权限、主体和信任度三部分组成，ACL条目中的信任度阈值表示主体要获得权限所需的最低信任度阈值，而不是拥有资源的实体对该主体的信任度；

资源的拥有者对自己名字空间中的每个资源建立授权委托树，方便对授权的管理，授权委托树的最顶层的根节点称为授权源，是授权的起点，代表一个角色所属的实体，授权委托树的数据结构保存在授权源的名字空间中，授权源直接授权委托的主体组成第二级孩子节点。例如，实体A发布证书，宣布把角色B.b委托给主体C，即

[C-＞B.b]A

其中B为授权源，A为C的父节点。可信授权委托树中每个节点都必须与他的父节点或授权源有信任关系。一个实体想要成为授权源的直接孩子节点，授权源对它的信任度必须达到授权源的信任度阈值，或者成为授权源的某个子孙节点的孩子节点，此时要求的最低信任度与管理员定义的信任度传递函数有关；

信任度并不是永远不变的，它是与实体一段时间以内进行的操作评价相关的。实体A对另一个实体B进行了信任度评价之后，B实体每次行使实体A名字空间中某个角色的权限之后，实体A都要对实体B进行一次评价，如过实体B进行了某些被认为是不安全的或者具有安全隐患的操作的话，实体A可以降低对B的信任度评价。

改进后的模型中的对象委托、指派委托和第三方委托这三种委托方式分别更新为

(1)对象委托，其语法形式为

[Subject-＞A.a]A

在委托之前，A必须查找自己的信任度表格，获得A对于Subject的信任度，并和自己名字空间中的角色a的信任度阈值比较，如果不小于阈值，则进行委托，否则不进行委托；

(2)指派委托，其语法形式为

[Subject-＞A.a’]B

如果B和A是相同的实体，那么操作与对象委托系统同；

如果B和A是不同的实体，A对Subject的信任度必须不小于a的信任度阈值才可以进行委托，否则不进行委托；此时如果A对Subject没有信任度资料，则通过B计算A对Subject的间接信任度，计算方法由系统管理员定义，比如可以定义A对Subject的间接信任度为

f(A，Subject)＝(f(A，B)*f(B，Subject))/100

或

f(A，Subject)＝Min(f(A，B)*f(B，Subject))

其中f(.)表示信任度传递函数，Min(.)表示取最小值函数。

(3)第三方委托，其语法形式为

[Subject-＞A.a]B

A对Subject的信任度必须不小于a的信任度阈值才可以进行委托，否则不进行委托；此时如果A对Subject没有信任度资料，则通过B计算A对Subject的间接信任度，计算方法由系统管理员定义，比如可以定义A对Subject的间接信任度为

f(A，Subject)＝(f(A，B)*f(B，Subject))/100

或

f(A，Subject)＝Min(f(A，B)*f(B，Subject))

其中f(.)表示信任度传递函数，Min(.)表示取最小值函数。

有益效果

本发明的一种基于信任机制的dRBAC模型的改进方法，现对于现有技术其优势在于：

1)采用了信任度机制，相当于多了一种控制委托的手段和标准，把信任度作为委托发布的标准，便于委托的深度控制；

2)授权树的建立，可以使委托的层次关系一目了然，很方便的就可以得知各个实体的层次关系，便于授权的级联撤销；

3)由于委托树可以记录一个实体的授权委托的发布情况，所以在一个委托发布之前，可以很方便的检查这个委托是否导致了违背最小权限原则情况的发生，可以高效判定委托委托是否违背RBAC模型的最小权限原则。

附图说明

图1为改进dRBAC模型的方法流程图；

图2为将改进后模型应用于不保留孩子节点的角色级联撤销的示意图；

图3为将改进后模型应用于保留孩子节点的角色级联撤销的示意图；

图4为将违背RBAC模型原则的授权示意图。

具体实施方式

下面结合附图和实施例对本发明做进一步说明。

一种基于信任机制的dRBAC模型的改进方法，核心思想为将信任机制引入到原始的dRBAC模型中，即对原始的dRBAC模型添加信任度这一元素；信任度是指一个实体对另一个实体或者角色的信任程度，用一个实数表示，取值范围为0～100，如果信任度取值为0，表示完全不信任，如果取值为100，表示完全信任，信任度的值越大，则信任的程度越高；改进方法如图1所示，包括以下步骤：

(1)对象委托，其语法形式为

[Subject-＞A.a]A

(2)指派委托，其语法形式为

[Subject-＞A.a’]B

如果B和A是相同的实体，那么操作与对象委托系统同；

f(A，Subject)＝(f(A，B)*f(B，Subject))/100

或

f(A，Subject)＝Min(f(A，B)*f(B，Subject))

其中f(.)表示信任度传递函数，Min(.)表示取最小值函数。

(3)第三方委托，其语法形式为

[Subject-＞A.a]B

信任度验证机制与指派委托中B和A为不同的实体的情况相同。

实施例1

本实施例为将改进后的模型应用于对委托进行深度控制。

原始的dRBAC模型对于委托的深度控制不足，如果某个实体拥有某个角色的指派权，那么他不但可以把该角色的访问权任意委托出去，而且可以把指派权也任意委托出去，这种情况是很不安全，并且会导致证书链的长度无法控制，增加证书查找的复杂度。

为了解决以上问题，必须对委托的深度进行控制，在委托过程中引入信任度，则可以灵活的控制深度。

角色委托中，实体A规定其名字空间中的角色A.a的信任度阈值A.a.Trustline为75，A的信任度表格中A对B和C的信任度分别为90和80。那么A可以通过对象委托或者指派委托将A.a委托给实体B和C。

指派委托[Subject-＞A.a’]B分为以下三种情况：

1、A和B是同一实体，处理流程同角色委托；

2、A和B不是相同的实体，A对Su bject有信任度资料，则B在进行委托之前要先请求A对C的信任度，A回复，B将收到的A对C的信任度与角色A.a的信任阈值比较，已决定是否进行委托；

3、A和B不是相同的实体，A对Subject没有信任度资料，则B在进行委托之前要先请求A对C的信任度，A回复，B发现A对于C暂时还没有信任度资料，这时B检索自己的信任度表格。若B对C也没有信任度资料，则不对C进行委托授权操作；若B对C有信任度资料，则通过B计算A对C的间接信任度。系统管理员定义计算公式为

f(A，Subject)＝Min(f(A，B)*f(B，Subject))

则B通过A对自己的信任度和自己对C的信任度可以计算出A对C的间接信任度，以此来决定是否进行此次委托授权操作。

具体的说，间接信任度的计算过程可以看成是一种信任度的传递过程，而计算公式f(A，Subject)是一种传递函数。通过角色权限的一步步传递，同时在传递过程中检查信任度和其阈值，来控制传递的深度。

下面用一个例子来说明利用信任度进行委托深度控制的方法。

R代表一个角色的权限，A，B，C，D表示实体或主体，拥有角色R的实体对A的信任度是80，A对B的信任度是90，B对C的信任度是70，C对D的信任度是95。在这个授权委托链中，控制深度的方法为：

在没有直接信任度的前提下，用T(a)，T(b)，T(c)，T(d)，T(e)分别表示拥有角色R的主体对ABCDE的间接信任度，角色R的信任度阈值是80，假设信任度传递函数f(A，Subject)＝Min(f(A，B)*f(B，Subject))。当R的主体对A进行委托的时候，对A的直接信任度90满足角色R权限的阈值要求，对A进行委托授权。通过计算，R的主体对B的间接信任度为Min(80，90)＝80，也满足信任度阈值，也可以进行委托。但是当要对C进行委托的时候，计算得出R的主体对C的间接信任度为Min(80，70)＝70，不满足R的阈值要求，此时D不能被委托授权R。这就实现了委托深度的控制。

实施例2

本实施例为将改进后的模型应用于角色授权级联撤销。

授权树建立之后，实体可以定义授权树更新规则，每隔一段时间或者每进行N次操作，就对授权树进行一次检查更新。如果一个节点的信任度降低到了授权源的角色信任度阈值以下的话，该节点就要被从授权树中切出。该节点的孩子节点是否随同一起切出视具体访问控制条目而定。

原始的dRBAC模型中授权的撤销很不高效，当一个实体想收回某个角色的访问权限的话，他可以发布一个证书，宣布取消对于某个实体的授权。但是当一个实体想取消某个实体的访问权限的同时，取消该实体指派出去的所有实体的访问权限就比较困难了。比如A名字空间中的角色a，B具有a的指派权，A很容易可以撤销B的访问权限，但是对于B进一步指派出去的权限，A很难进行撤销，因为在实体A授予B指派权的时候，A无法控制B把权限又授予了那些实体，也无法知道B把权限授予了那些主体，而委托树可以很好的解决这个问题。每个实体为自己名字空间下的角色建立一个委托授权树，那么A由委托树可以很容易的知道B把权限进一步授予了那些实体-授权树中B的子孙节点。

如图2所示，实体1为授权源节点，实体2和实体3为其孩子节点，实体4和实体5为实体3的孩子节点。如果实体3因为某些操作导致信任度降低，低于授权源节点的信任度阈值，那么将实体3从授权树中切除。如果ACL设置为当一个实体被取消授权，他的孩子节点也取消授权的话，那么实体4和实体5也要随着实体3一并切除。

如图3所示，实体1为授权源节点，实体2和实体3为其孩子节点，实体4和实体5为实体3的孩子节点。如果实体3因为某些操作导致信任度降低，低于授权源节点的信任度阈值，那么将实体3从授权树中切除。如果设置一个实体被取消授权不影响他的孩子节点的授权的话，实体4和实体5可以保留授权。

实施例3

本实施例为将改进后的模型应用于判断委托完成之后是否存在角色权限的隐式提升。

原始的dRBAC模型提供了一种多域之间动态结盟环境下的分布式访问控制和授权管理模型，但是多域环境下各个个体域还是使用RBAC模型来实施具体的访问控制，而最小权限原则是RBAC模型的三大基本就原则之一，当出现违背最小权限原则的情况时会带来严重的安全隐患，在安全管理员不知情的情况下，某个角色可能获得比他级别高的角色的权限。因为dRBAC模型是分布式的针对多域环境下的模型，没有统一的安全管理机制，不可能进行集中式的管理来防止上诉安全隐患的出现。而采用委托树，在每个委托发布之前进行安全性检查，以判断是否会有违背最小权限原则的情况出现。

动态结盟环境中的每个组织使用RBAC模型来管理本域的访问控制。现在考虑委托可能违背某些RBAC模型原则的情况，如图4所示，左侧为角色之间的层次关系，其中角色A.a的层次比A.c高，但是从右边的授权委托链又可以推出角色A.a具有角色A.c的权限，这显然违背了RBAC模型了角色层次原则。

利用授权树可以很方便的检查一个委托是否导致了角色的隐式提升。比如图4中，假设A.c-＞B.b和C.c-＞A.a的委托已经完成，那么此时B.b-＞C.c的委托则不能实现，因为一旦实现就违背了RBAC模型的原则。因此，在每个委托之前检查授权方的权限和被授权方的委托树，即检查B.b的委托树和C.c的权限，可以发现，角色C.c拥有A.a的权限，而B.b的委托树中，有角色A.c，而A.c不应该具有角色A.a的权限，这就违背了RBAC模型的原则，因此拒绝委托B.b-＞C.c的执行。

Claims

1.一种基于信任机制的dRBAC模型的改进方法，其特征在于：将信任机制引入到原始的dRBAC模型中，即对原始的dRBAC模型添加信任度这一元素；信任度是指一个实体对另一个实体或者角色的信任程度，用一个实数表示，取值范围为0～100；改进方法包括以下步骤：

(4)每个实体接收到访问请求后，根据访问资源请求一方实体的信任度和所请求资源的信任度阈值决定是否发布委托，如果请求访问方的信任度大于所请求资源的信任度阈值，则发布委托；否则拒绝发布委托；

(1)对象委托，其语法形式为

[Subject-＞A.a]A

(2)指派委托，其语法形式为

[Subject-＞A.a’]B

如果B和A是相同的实体，那么操作与对象委托系统同；

如果B和A是不同的实体，A对Subject的信任度必须不小于a的信任度阈值才可以进行委托，否则不进行委托；此时如果A对Subject没有信任度资料，则通过B计算A对Subject的间接信任度，间接信任度的计算方法由系统管理员定义；

(3)第三方委托，其语法形式为

[Subject-＞A.a]B

A对Subject的信任度必须不小于a的信任度阈值才可以进行委托，否则不进行委托；此时如果A对Subject没有信任度资料，则通过B计算A对Subject的间接信任度，间接信任度的计算方法由系统管理员定义；

所述的Subject表示一个主体，A和B分别是一个实体，a为实体A名字空间里的一个角色；该语法表示实体B发布签名证书，将角色A.a的权限赋予主体Subject，其中A和B是不同的实体；Subject是一个实体或角色。

2.根据权利要求1所述的一种基于信任机制的dRBAC模型的改进方法，其特征在于：

改进后的dRBAC模型对所添加的信任度这一元素的管理方法为：在每个实体本地的访问控制列表ACL中添加信任度阈值，此时ACL的条目由权限、主体和信任度三部分组成，ACL条目中的信任度阈值表示主体要获得权限所需的最低信任度阈值；资源的拥有者对自己名字空间中的每个资源建立授权委托树，授权委托树的最顶层的根节点称为授权源，是授权的起点，代表一个角色所属的实体，授权委托树的数据结构保存在授权源的名字空间中，授权源直接授权委托的主体组成第二级孩子节点；可信授权委托树中每个节点需要与他的父节点或授权源有信任关系，也即一个实体想要成为授权源的直接孩子节点，授权源对它的信任度必须达到授权源的信任度阈值，或者成为授权源的某个子孙节点的孩子节点，此时要求的最低信任度与管理员定义的信任度传递函数有关。