CN104683362B - 一种细粒度隐私安全的访问控制系统及其访问控制方法 - Google Patents

Abstract

本发明公开一种社交网络细粒度隐私安全的访问控制系统及其访问控制方法。社交网络细粒度隐私安全的访问控制系统包括策略管理模块、社交网络群组控制模块、请求处理模块、访问控制模块、优化模块以及执行模块。其中，策略管理模块负责维护组合访问控制策略；社交网络群组控制模块负责维护所有属性集合；请求处理模块负责身份验证；访问控制模块对访问请求进行决策，得到决策结果；优化模块负责对决策结果进行互斥性处理；执行模块负责执行决策结果。本发明用于控制社交网络中数据流动的安全性，为用户提供更加细粒度的访问控制机制，从而保护用户的隐私，满足面向社交网络的使用需求。

Description

一种细粒度隐私安全的访问控制系统及其访问控制方法

技术领域

本发明属于网络与信息安全领域，特别是涉及一种针对社交网络中用户的数据安全与隐私保护的访问控制系统及其访问控制方法。

背景技术

目前，社交网络是Web 2.0模式的主要技术应用之一，它为世界各地的用户提供了一个自我展示和相互交流的平台，帮助他们进行线上社交互动或者与其他用户分享信息与资源等客体元素。在社交网络飞速发展的同时，也越来越引起了人们对于社交网络中数据安全与隐私泄露问题的关注。社交网络中的隐私泄露问题不仅是源于社交网络数据库的泄露，还源于社交网络在设计时使用的FOF(Friend of friend)模式。这种模式如果没有一种有效且足够细粒度的访问控制机制进行访问控制，往往会将用户的信息通过有权访问该信息的“好友”用户泄露给其他本来无权访问该信息的“陌生人”用户。

以群组为中心的访问控制思想摒弃了RBAC、BLP等传统的以传播为中心的访问控制模式(将访问控制策略与主题或资源联系起来)，而是提出了在共享环境中客体与用主体置于群组中来提高分享与信息交流的效率的思想。这种思想是由Ram Krishnan与RaviSandhu于2009年首次提出的，群组的概念也比较契合社交网络中的分享模式。但是，这种思想提出的初衷并不是应用于社交网络中的，没有考虑到社交网络中存在的群组权限与转发机制等问题，所以不能直接应用于社交网络环境。

基于属性的访问控制(Attribute-Based Access Control,ABAC)比较适应开放式的网络环境。ABAC不直接在主、客体间定义授权，而是利用与主体、客体、环境所具有的相关属性作为授权策略制定的基础，具有较高的开放性。这样也就摆脱了基于身份的策略描述的限制，能够利用请求者所具有的一些属性来决定是否赋予其访问权限。但是，如果这种方法直接被应用于社交网络中，会产生效率较低、属性更改时的灵活性较差等问题。

目前的社交网络采用的访问控制策略没有考虑到社交网络由于其开放性高、连通性强以及用户为主体的特点，不同于传统隐私保护策略(RBAC、ABAC、BLP等)所适用的诸如操作系统、云存储等环境。目前使用的社交网络访问控制策略大部分存在以下问题：

1、不能良好地适应社交网络以用户为主体、数据量大的特点，如果每一个主体都要维护一张访问控制表，会产生很大的开销，降低系统效率。

2、社交网络具有很强的动态性与开放性，访问控制策略需要实时更新，而且每个用户都有不同的访问控制需求，这就要求访问控制系统具有高度灵活性。

3、社交网络中对资源的操作不同于传统访问控制中仅有的读写操作，转发、分享等访问方式都需要制定相应的新的访问控制规则。

发明内容

本发明为克服上述现有技术存在的不足之处，提出一种细粒度隐私安全的访问控制系统及其访问控制方法，以期用于控制社交网络中数据流动的安全性，为用户提供更加细粒度的访问控制机制，从而保护用户的隐私，满足面向社交网络的使用需求。

本发明为解决技术问题采用如下技术方案：

本发明一种细粒度隐私安全的访问控制系统，是应用于由m个管理员、n个参与者、管理员与参与者之间的关系、各参与者之间的关系、由各参与者所提交的资源以及由管理员维护的标签库构成的社交网络中；m＜n；其特点是，

由所述社交网络建立所述访问控制模型；所述访问控制模型包括：n个参与者、n个参与者各自所提交的资源、n个参与者的属性集合、n个参与者各自所提交资源的属性集合、m个管理员、m个管理员所维护的标签库、n个参与者对资源的访问方式集合；所述n个参与者的属性集合包含主体属性标识、主体时间标识和主体方式标识；所述n个参与者各自所提交资源的属性集合包含客体属性标识、客体时间标识和客体方式标识；所述标签库中的各标签之间存在由m个管理员所定义的偏序关系；

所述访问控制系统的组成包括：策略管理模块、社交网络群组控制模块、请求处理模块、访问控制模块、优化模块以及执行模块；

所述策略管理模块由m个管理员分别根据所述n个参与者的属性集合以及n个参与者所提交资源的属性集合设置N个基础访问控制策略；根据所述标签库设置M个附加访问控制策略；并对所述N个基础访问控制策略和M个附加访问控制策略进行存储、管理、更新和合并处理，从而获得小于等于N×M个组合访问控制策略；

所述社交网络群组控制模块根据标签库对所述参与者的属性集合以及参与者所提交的资源的属性集合进行添加、删除和更新；

所述请求处理模块用于对第i个参与者提交的访问请求进行解析，获得第i个访问请求三元组u_i＝{s_i,o_i,a_i}；s_i表示第i个参与者；o_i表示第i个参与者所请求的资源；a_i表示第i个参与者对资源的访问方式；1≤i≤n；所述请求处理模块对所述第i个参与者s_i进行身份验证；将完成身份验证的第i个参与者s_i的访问请求三元组u_i传递给所述访问控制模块；

所述访问控制模块根据所接收的第i个参与者s_i的访问请求三元组u_i查询所述社交网络群组控制模块用于获得第i个参与者s_i的属性集合，以及第i个参与者所请求的资源o_i的属性集合；并根据所述第i个参与者s_i的属性集合，以及第i个参与者所请求的资源o_i的属性集合查询所述策略管理模块，从而获得相应的组合访问控制策略；

所述访问控制模块根据所获得的组合访问控制策略对所述第i个参与者s_i的访问请求三元组u_i进行访问决策，从而获得决策结果并传递给所述优化模块；

所述优化模块对所述第i个参与者s_i的访问请求三元组u_i和所述决策结果进行互斥性处理，获得与所述第i个参与者s_i的访问请求三元组u_i所对应的唯一决策结果；

所述执行模块根据所述第i个参与者s_i的访问请求三元组u_i执行所述唯一决策结果。

本发明一种细粒度隐私安全的访问控制系统的访问控制方法的特点是按如下步骤进行：

步骤1、第x个管理员从所述标签库中的选取第k个标签赋给y个参与者，从而使得所述y个参与者的第k个主体属性标识都为第k个标签；所述第x个管理员为所述y个参与者的第k个主体属性标识分别添加主体方式标识和主体时间标识，从而获得更新后的y个参与者的属性集合并分别以主体树形结构进行存储；所述y个参与者的主体时间标识为所述第x个管理员赋给所述y个参与者第k个标签的时间；所述主体树形结构是分别以所述y个参与者为根节点、以更新后的y个参与者的属性集合为对应根节点的子孙节点而构成；1≤x≤m、k≥1、1≤y≤n；

步骤2、第w个参与者向所述社交网络添加若干个资源以及所述若干个资源的属性集合；

所述若干个资源的属性集合中的客体属性标识为所述第w个参与者的主体属性标识的子集；所述第w个参与者对所述若干个资源中有隐私保护需求的资源的属性集合中的客体方式标识定义为严格方式；对所述若干个资源中无隐私保护需求的资源的属性集合中的客体方式标识定义为自由方式；所述第w个参与者所添加若干个资源的客体时间标识为所述第w个参与者s_w赋给所述若干个资源的客体属性标识的时间；从而获得更新后的第w个参与者s_w所添加的若干个资源的属性集合并分别以客体树形结构进行存储；所述客体树形结构是分别以所述若干个资源为根节点、以更新后的第w个参与者s_w所添加的若干个资源的属性集合为对应根节点的子孙节点而构成；1≤w≤y；

步骤3、重复步骤1和步骤2，从而获得更新后的n个参与者的属性集合并分别以主体树形结构进行存储、以及更新后的n个参与者所添加的若干个资源的属性集合并分别以客体树形结构进行存储；

步骤4、第x个管理员创建访问控制策略文件：

步骤4.1、根据所述n个参与者以及所述n个参与者所添加若干个资源，利用基础访问控制策略逻辑判断是否接受第i个访问请求，从而建立基础访问控制策略；

步骤4.2、根据所述标签库中各标签的偏序关系建立附加访问控制策略；

步骤4.3、将所述附加访问控制策略结合到所述基础访问控制策略中，从而获得组合访问控制策略；

步骤4.4、将所述组合访问控制策略存储在所述访问控制策略文件中；

步骤5、第i个参与者s_i向所述访问控制系统请求以访问方式a_i访问其他参与者发布的资源；

步骤6、所述访问控制系统对第i个参与者s_i提交的访问请求进行解析，获得第i个访问请求三元组u_i＝{s_i,o_i,a_i}；

步骤7、对所述第i个参与者s_i进行身份验证；对通过身份验证的第i个参与者s_i的访问请求三元组u_i获取所述第i个参与者s_i的属性集合以及第i个参与者所请求的资源o_i的属性集合；

步骤8、根据所述第i个参与者s_i的属性集合、第i个参与者所请求的资源o_i的属性集合以及第i个访问请求三元组u_i＝{s_i,o_i,a_i}获得相应的访问控制策略文件；

步骤9、根据所述相应的访问控制策略文件，对所述第i个访问请求三元组u_i＝{s_i,o_i,a_i}进行判断是否符合组合访问控制策略，从而获得决策结果；所决策结果分为接受、拒绝或无法判断；

步骤10、对所述决策结果进行互斥性处理，若所述决策结果均为接受，则获得唯一决策结果为接受，否则所述唯一决策结果为拒绝；

步骤11：所述访问控制系统执行所述唯一决策结果，即所述访问控制系统接受或拒绝第i个参与者s_i向所述访问控制系统请求以访问方式a_i访问其他参与者发布的资源。

本发明所述的访问控制方法的特点也在于，

所述步骤4.1中的基础访问控制策略逻辑是按如下步骤判断是否接受第i个访问请求：

对第i个访问请求三元组u_i＝{s_i,o_i,a_i}；

若a_i＝read表示第i个参与者所请求的资源o_i被第i个参与者s_i获得；

若a_i＝write表示第i个参与者所请求的资源o_i被第i个参与者s_i更改；

若a_i＝share或a_i＝repost表示第i个参与者s_i为第i个参与者所请求的资源o_i添加新的客体属性标识；

若a_i∈{read,write}，则按方式一进行；若a_i∈{share,repost}，则按方式二进行；

方式一：

步骤a1，比较第i个参与者s_i的主体属性标识是否包含第i个参与者所请求的资源o_i的客体属性标识；若包含，则执行步骤b1；

步骤b1，检验所述第i个参与者所请求的资源o_i的客体属性标识与第i个参与者s_i的主体属性标识各自所对应的方式标识，如果均为自由方式，则接受第i个访问请求；如果存在严格方式，则执行步骤c1；

步骤c1，检测所述第i个参与者所请求的资源o_i的客体时间标识是否大于第i个参与者s_i的主体时间标识，若大于，则进行步骤d1；否则拒绝第i个访问请求；

步骤d1，检测条所述第i个参与者所请求的资源o_i的客体属性标识与第i个参与者s_i的主体属性标识是否被删除，如果存在被删除，则检测所删除的属性标识所对应的方式标识是否为自由方式，如果是自由方式，则接受第i个访问请求；否则，拒绝第i个访问请求；如果不存在被删除，则接受第i个访问请求；

方式二：

步骤a2，判断方式一的结果是否为接受第i个访问请求；若是，则执行步骤b2；否则，拒绝第i个访问请求；

步骤b2，判断第i个参与者s_i为第i个参与者所请求的资源o_i添加新的客体属性标识是否包含未添加时的客体属性标识，若包含，则接受第i个访问请求，否则，拒绝第i个访问请求。

本发明采用一种社交网络细粒度隐私安全访问控制方法，是针对目前应用最为广泛的Web2.0业务之一的社交网络服务，为其提供良好的数据安全与隐私保护方案。本发明又以这种社交网络细粒度隐私安全访问控制方法为基础，提出了具有良好应用性的社交网络访问控制系统。与现有的访问控制方法与系统相比，本发明的有益效果在于：

1、本发明提出了一种适用于社交网络环境中的细粒度隐私安全访问控制方法，包含属性管理、时间控制、策略合成等内容，在细粒度与高效率方面达到了平衡，可以保护用户的数据安全，满足用户在社交网络共享中的细粒度隐私保护需求。

2、本发明针对传统访问控制策略不能良好的适应社交网络以用户为主体、数据量大等特性的问题，提出了利用用户的主体属性标识与资源的客体属性标识之间的偏序关系进行访问决策的方法，在进行决策时只需要比较用户与资源的属性集合是否符合访问控制策略，提高了决策效率。

3、本发明针对社交网络具有很强开放性的特点，采用了由附加访问控制策略结合到所述基础访问控制策略中生成组合访问控制策略的方法，在基础访问控制策略基础上，由管理员根据标签库添加符合社交网络特点的附加访问控制策略，具有高度的开放性以及可扩展性。

4、本发明针对传统访问控制无法解决社交网络中“转发”、“分享”等访问方式带来的隐私泄露风险的问题，制定了当访问请求中的访问方式为“转发repost”、“分享share”时的基础访问控制策略逻辑，可以阻止传统社交网络中由于用户“分享”等操作产生的隐私泄露风险。

5、本发明针对社交网络中对于动态性的要求，为用户与资源添加了方式标识与时间标识，根据属性标识之间的偏序关系、两种方式标识以及时间标识的大小关系，可以更精确地控制用户对资源的访问，并通过时间标识的改变随时允许或拒绝用户对资源的访问，而不需要重新更改用户或资源的属性标识。

附图说明

图1为本发明一种社交网络细粒度隐私安全访问控制系统架构图；

图2为本发明策略管理模块的系统结构图；

图3为本发明访问方式为read或write时的基础访问控制策略逻辑；

图4为本发明访问方式为repost或share时的基础访问控制策略逻辑；

图5为本发明访问控制模块进行请求决策的系统流程图。

具体实施方式

本实施例中，一种细粒度隐私安全的访问控制系统，是应用于由m个管理员、n个参与者、管理员与参与者之间的关系、各参与者之间的关系、由各参与者所提交的资源以及由管理员维护的标签库构成的社交网络中；m＜n；并由社交网络建立访问控制模型；

访问控制模型包括：n个参与者、n个参与者各自所提交的资源、n个参与者的属性集合、n个参与者各自所提交资源的属性集合、m个管理员、m个管理员所维护的标签库、n个参与者对资源的访问方式集合；n个参与者的属性集合包含主体属性标识、主体时间标识和主体方式标识；n个参与者各自所提交资源的属性集合包含客体属性标识、客体时间标识和客体方式标识；标签库中的各标签之间存在由m个管理员所定义的偏序关系；

其中，每个参与者或资源都有一个或多个的属性标识。属性标识是由标签库维护，属标签库是由一个个标签集合构成。其中，每个标签集合内的标签相互间具有偏序关系。一个属性标识对应标签库中的一个标签。参与者与资源的属性标识可以被添加或删除。时间标识记录了为参与者与资源添加或删除属性标识的时间，方式标识记录了参与者与资源的属性标识被添加或删除的方式以及。参与者与资源的属性标识由两种方式添加与删除，分别是自由方式与严格方式。用严格方式添加属性标识的参与者只能访问在他之后被添加属性标识的资源；使用自由方式加入的参与者可以访问所有拥有相同属性标识的资源。使用严格方式删除属性标识的参与者不能访问拥有该属性标识的客体，使用自由方式删除属性标识的参与者依然可以访问参与者的属性标识未被删除时参与者可以访问的资源。属性集合会记录参与者与资源被删除的属性标识。模型中的资源至少需要有一个属性标识以及相应的时间标识与方式标识。如果一个主体的隐私保护要求较高，则一般采用严格的方式进行添加或删除。

如图1所示，访问控制系统的组成包括：策略管理模块、社交网络群组控制模块、请求处理模块、访问控制模块、优化模块以及执行模块；这六个模块分别部署在三个服务器上，包括前端处理服务器、策略与信息管理服务器以及资源管理服务器。其中：

前台服务器上部署了请求处理模块与执行模块，负责接收并处理参与者发送的访问请求，并将处理后的访问请求发送给资源管理服务器进行决策，当访问请求的决策完成后，资源管理服务器又将决策结果传送给前端处理服务器，由前端处理服务器执行相关操作并将操作结果呈现给参与者，如果操作结果会引起资源属性集合的改变，则将改变发送给策略与信息管理服务器，让策略与信息管理服务器进行更改。

资源管理服务器上部署了访问控制模块与优化模块，负责对前台服务器发送的访问请求进行访问控制决策。当资源管理服务器接收到访问请求后，首先根据向策略与信息管理服务器查询访问决策所需要的策略与属性集合信息，并根据返回的结果进行访问决策，并将决策结果返回给前台服务器。

策略与信息管理服务器部署了策略管理模块与社交网络群组控制模块，负责管理访问控制系统中的策略与属性信息，以供资源管理服务器根据这些信息进行决策。另外，管理员用户也可以在策略与信息管理服务器上进行附加策略与属性信息的管理。策略与信息管理服务器也可以根据前台服务器发送的操作结果对属性集合进行改变。

如图2所示，策略管理模块用于管理访问控制系统中的访问控制策略，并向访问控制模块提供对访问请求的决策依据以及向社交网络群组控制模块提供参与者与资源的属性标识信息。系统中的策略策略包括基础访问控制策略、附加访问控制策略以及通过两者合并得到的附加访问控制策略。由m个管理员分别根据n个参与者的属性集合以及n个参与者所提交资源的属性集合设置N个基础访问控制策略，基础访问控制策略定义了参与者若想访问某资源时参与者与该资源的属性集合需要满足的条件；根据标签库中的标签以及标签之间的偏序关系设置M个附加访问控制策略，附加访问控制策略是以标签对＜tag₁,tag₂＞的形式存储的，标签对中的两个标签满足偏序关系，策略管理模块对N个基础访问控制策略和M个附加访问控制策略进行存储、管理、更新和合并处理，从而获得小于等于N×M个组合访问控制策略；当管理员更新附加访问控制策略时，首先需要对附加访问控制策略中的标签对的安全性、合法性与规范性进行评估，检测该标签对是否不符合其他标签对规定的偏序关系。

管理员利用社交网络群组控制模块管理参与者与资源的属性集合。社交网络群组控制模根据标签库对参与者的属性集合以及参与者所提交的资源的属性集合进行添加、删除和更新；管理员根据社交网络具体情况从标签库中提取合适的标签，利用社交网络群组控制模块将标签分配给不同的参与者与资源；如果执行模块执行的某一访问请求的唯一决策结果会引起资源属性集合的改变，执行模块会将相应的改变信息发送给社交网络群组控制模块，并执行资源属性集合的更新操作。

请求处理模块包含两个模块：规范化处理模块以及身份验证模块。规范化处理模块利用解析器对第i个参与者提交的访问请求进行解析，获得第i个访问请求三元组u_i＝{s_i,o_i,a_i}；s_i表示第i个参与者；o_i表示第i个参与者所请求的资源；a_i表示第i个参与者对资源的访问方式；1≤i≤n；身份验证模块使用安全令牌与口令技术对第i个参与者s_i进行身份验证；将完成身份验证的第i个参与者s_i的访问请求三元组u_i传递给访问控制模块；

访问控制模块包括三个模块：请求决策模块、信息查询模块与策略查询模块；请求决策模块将所接收的第i个参与者s_i的访问请求三元组u_i发送给信息查询模块，信息查询模块查询社交网络群组控制模块用于获得第i个参与者s_i的属性集合，以及第i个参与者所请求的资源o_i的属性集合，将属性集合发送给策略查询模块；策略查询模块根据第i个参与者s_i的属性集合，以及第i个参与者所请求的资源o_i的属性集合查询策略管理模块，从而获得相应的满足s_i与o_i之间的属性集合关系的组合访问控制策略并发送给请求决策模块；

请求决策模块根据所获得的组合访问控制策略对第i个参与者s_i的访问请求三元组u_i进行访问决策，从而获得决策结果并传递给优化模块；若满足s_i与o_i之间的属性集合关系的组合访问控制策略为接受，则决策结果为接受；否则，决策结果为拒绝。

优化模块包括互斥请求处理模块与请求结果存储模块。互斥请求处理模块对第i个参与者s_i的访问请求三元组u_i和决策结果根据拒绝优先原则进行互斥性处理，获得与第i个参与者s_i的访问请求三元组u_i所对应的唯一决策结果；请求结果存储模块用于对第i个参与者s_i的访问请求三元组u_i和相应的唯一决策结果建立缓存，将系统接收到的次数较多的访问请求三元组和相应的唯一决策结果存储在优化模块中，那么访问控制模块接收到新的访问请求时，可以优先搜索优化模块中的访问请求三元组中的参与者与资源的属性集合是否包含等于新的访问请求中参与者与资源的属性集合，如果相等，则新的访问请求的唯一决策结果等于优化模块中的访问请求三元组的唯一决策结果；优化模块还用于对第i个参与者s_i的访问请求三元组u_i和相应的唯一决策结果进行建模，从而获得优化策略决策模型；

执行模块根据第i个参与者s_i的访问请求三元组u_i执行唯一决策结果。

一种利用访问控制系统的访问控制方法是按如下步骤进行：

步骤1、第x个管理员从标签库中的选取第k个标签赋给y个参与者，从而使得y个参与者的第k个主体属性标识都为第k个标签；第x个管理员为y个参与者的第k个主体属性标识分别添加主体方式标识和主体时间标识，从而获得更新后的y个参与者的属性集合并分别以主体树形结构进行存储；y个参与者的主体时间标识为第x个管理员赋给y个参与者第k个标签的时间；主体树形结构是分别以y个参与者为根节点、以更新后的y个参与者的属性集合为对应根节点的子孙节点而构成；1≤x≤m、k≥1、1≤y≤n；

步骤2、第w个参与者向社交网络添加若干个资源以及若干个资源的属性集合，如果资源没有属性集合，默认资源可以被所有参与者访问；

若干个资源的属性集合中的客体属性标识为第w个参与者的主体属性标识的子集；第w个参与者对若干个资源中有隐私保护需求的资源的属性集合中的客体方式标识定义为严格方式；对若干个资源中无隐私保护需求的资源的属性集合中的客体方式标识定义为自由方式；第w个参与者所添加若干个资源的客体时间标识为第w个参与者s_w赋给若干个资源的客体属性标识的时间；从而获得更新后的第w个参与者s_w所添加的若干个资源的属性集合并分别以客体树形结构进行存储；客体树形结构是分别以若干个资源为根节点、以更新后的第w个参与者s_w所添加的若干个资源的属性集合为对应根节点的子孙节点而构成；1≤w≤y；

步骤3、重复步骤1和步骤2，从而获得更新后的n个参与者的属性集合并分别以主体树形结构进行存储、以及更新后的n个参与者所添加的若干个资源的属性集合并分别以客体树形结构进行存储；

步骤4、第x个管理员利用XACML语言创建访问控制策略文件：

步骤4.1、根据n个参与者以及n个参与者所添加若干个资源，通过创建XACML语言中的AttributeDesignator对象，利用基础访问控制策略逻辑判断是否接受第i个访问请求，从而建立基础访问控制策略；

具体地，基础访问控制策略逻辑是按如下步骤判断是否接受第i个访问请求：

对第i个访问请求三元组u_i＝{s_i,o_i,a_i}；

若a_i＝read表示第i个参与者所请求的资源o_i被第i个参与者s_i获得；

若a_i＝write表示第i个参与者所请求的资源o_i被第i个参与者s_i更改；

若a_i＝share或a_i＝repost表示第i个参与者s_i为第i个参与者所请求的资源o_i添加新的客体属性标识；

若a_i∈{read,write}，则按方式一进行；若a_i∈{share,repost}，则按方式二进行；

如图3所示，方式一：

步骤a1，比较第i个参与者s_i的主体属性标识是否包含第i个参与者所请求的资源o_i的客体属性标识；若包含，则执行步骤b1；

步骤b1，检验第i个参与者所请求的资源o_i的客体属性标识与第i个参与者s_i的主体属性标识各自所对应的方式标识，如果均为自由方式，则接受第i个访问请求；如果存在严格方式，则执行步骤c1；

步骤c1，检测第i个参与者所请求的资源o_i的客体时间标识是否大于第i个参与者s_i的主体时间标识，若大于，则进行步骤d1；否则拒绝第i个访问请求；

步骤d1，检测条第i个参与者所请求的资源o_i的客体属性标识与第i个参与者s_i的主体属性标识是否被删除，如果存在被删除，则检测所删除的属性标识所对应的方式标识是否为自由方式，如果是自由方式，则接受第i个访问请求；否则，拒绝第i个访问请求；如果不存在被删除，则接受第i个访问请求；

如图4所示，方式二：

步骤a2，判断方式一的结果是否为接受第i个访问请求；若是，则执行步骤b2；否则，拒绝第i个访问请求；

步骤b2，判断第i个参与者s_i为第i个参与者所请求的资源o_i添加新的客体属性标识是否包含未添加时的客体属性标识，若包含，则接受第i个访问请求，否则，拒绝第i个访问请求。

步骤4.2、根据标签库中各标签的偏序关系建立附加访问控制策略，附加访问控制策略是一个存在偏序关系的标签对；

步骤4.3、选取偏序关系满足基础访问控制策略逻辑要求的标签对，将附加访问控制策略结合到基础访问控制策略中，从而获得组合访问控制策略；

步骤4.4、将组合访问控制策略存储在访问控制策略文件中。一个策略文件中的策略目标是基础访问控制策略中的一个参与者与一个资源，且参与者与资源的属性标识包含于附加访问控制策略定义的标签对中；策略文件的文件名是策略文件的策略目标；策略文件中的策略条件是基础访问控制策略逻辑；如果策略目标满足策略条件，则策略文件的策略结果为接受；如果策略目标不满足策略条件，则策略文件的策略结果为拒绝；

步骤5、第i个参与者s_i向访问控制系统请求以访问方式a_i访问其他参与者发布的资源；

步骤6、访问控制系统利用解析器对第i个参与者s_i提交的访问请求进行解析，获得第i个访问请求三元组u_i＝{s_i,o_i,a_i}；

步骤7、利用身份识别算法对第i个参与者s_i进行身份验证；对通过身份验证的第i个参与者s_i的访问请求三元组u_i采用深度优先遍历算法获取第i个参与者s_i的属性集合以及第i个参与者所请求的资源o_i的属性集合，对未通过身份验证的第i个参与者s_i的访问请求三元组u_i，拒绝u_i的请求，既不允许参与者i以a_i的方式访问资源o_i；

首先查找根节点为s_i的树形结构，如果找到，则采用深度优先遍历算法遍历包含s_i的树形结构的所有节点，并存储所有根节点的子孙节点的值，根节点的子孙节点的值就是参与者s_i的属性集合，如果没有找到，系统拒绝该请求；继而查找根节点为o_i的树形结构，如果找到，则采用深度优先遍历算法遍历包含o_i的树形结构的所有节点，并存储所有根节点的子孙节点的值，根节点的子孙节点的值就是资源o_i的属性集合，如果没有找到，系统拒绝该请求；；对未通过身份验证的第i个参与者s_i的访问请求三元组u_i，拒绝u_i的请求，既不允许参与者i以a_i的方式访问资源o_i。

步骤8、查询缓存中是否存储了具有与s_i、o_i相同属性集合的访问请求三元组的决策结果；如果有，则具有与s_i、o_i相同属性集合的访问请求三元组的决策结果既是三元组u_i＝{s_i,o_i,a_i}的决策结果，将结果发送给执行模块。如果没有，根据第i个参与者s_i的属性集合、第i个参与者所请求的资源o_i的属性集合以及第i个访问请求三元组u_i＝{s_i,o_i,a_i}获得相应的访问控制策略文件；可以根据文件名查找策略目标等于s_i与o_i的策略文件，从策略目标等于s_i与o_i的策略文件中根据a_i的值查找策略条件中要求的访问方式为a_i的策略文件，将查到的策略文件传送给访问控制模块；

步骤9、根据相应的访问控制策略文件，对第i个访问请求三元组u_i＝{s_i,o_i,a_i}调用evaluate方法进行判断是否符合组合访问控制策略，根据策略目标s_i与o_i，策略条件中要求的访问方式为a_i，套用基础访问控制策略逻辑，得到策略结果，将策略结果赋值给访问请求三元组u_i的决策结果，从而获得决策结果；所决策结果分为接受、拒绝或无法判断；

步骤10、对决策结果进行互斥性处理，若决策结果均为接受，则获得唯一决策结果为接受，否则唯一决策结果为拒绝；记录拥有三元组u_i＝{s_i,o_i,a_i}中s_i的属性集、o_i的属性集以及访问方式为a_i的访问请求三元组的决策结果。如果之后有访问请求三元组u_j＝{s_j,o_j,a_j}，且s_i的属性集等于s_j的属性集，o_i的属性集等于o_j的属性集，a_i＝a_j，则三元组u_j＝{s_j,o_j,a_j}的决策结果等于u_i＝{s_i,o_i,a_i}的决策结果。

步骤11：访问控制系统执行唯一决策结果，即访问控制系统接受或拒绝第i个参与者s_i向访问控制系统请求以访问方式a_i访问其他参与者发布的资源。

如图5所示，如果访问控制模块接收到一条主体S请求以方式A访问客体O的访问请求，对这条请求的处理步骤如下：

(1)、请求决策模块接收S的访问请求，并向信息查询模块发送查询请求；

(2)、信息查询模块向身份验证模块发送身份验证请求，身份验证模块对S的身份进行合法性验证验证，如果S的身份是合法的，进入步骤3，如果S的身份是非法的，进入步骤4；

(3)、将访问请求发送给规范化处理模块进行规范化处理，将结果返回给信息查询模块，进入步骤5；

(4)、将结果返回给请求决策模块，请求决策模块拒绝该请求；

(5)、信息查询模块通过身份信息与规范的访问请求，向社交网络群组控制模块检索S与O的属性标识、时间标识与方式标识；

(6)、社交网络群组控制模块将S与O的属性标识等返回给信息查询模块；

(7)、信息查询模块将上述信息发送给请求结果存储模块，判断是否可以优化。如果不能优化，进入步骤8；如果可以优化，进入步骤9；

(8)、将判断结果、S与O的属性标识等信息返回给策略查询模块，进入步骤10；

(9)、请求结果存储模块对S的访问请求进行决策优化，将结果返回给请求决策模块，进入步骤15，

(10)、策略查询模块向策略管理模块发送策略查询，查询S以A的方式访问O所使用的访问控制策略；

(11)、如果策略管理模块查询到了使用的访问控制策略，进入步骤12；如果策略管理模块没有查到，进入步骤13；

(12)、将结果返回给策略查询模块，进入步骤14；

(13)、将结果返回给请求决策模块，拒绝S的访问请求；

(14)、策略查询模块将返回的策略以及相关信息返回给请求决策模块；

(15)、请求决策模块对S的访问请求进行判断，得到决策结果，判断决策结果是否为唯一的；如果决策结果是唯一的，进入下一步；如果不是唯一的，进入步骤17；

(16)、结果发送给请求结果存储模块，进入步骤19；

(17)、将互斥结果发送给互斥请求处理模块，进入下一步；

(18)、互斥请求处理模块处理该互斥结果，得到唯一决策结果，将判断结果发送给执行模块，执行模块执行该结果；

(19)、将判断结果发送给执行模块，执行模块执行该结果。

Claims (3)

1.一种细粒度隐私安全的访问控制系统，是应用于由m个管理员、n个参与者、管理员与参与者之间的关系、各参与者之间的关系、由各参与者所提交的资源以及由管理员维护的标签库构成的社交网络中；m＜n；其特征是，

由所述社交网络建立访问控制模型；所述访问控制模型包括：n个参与者、n个参与者各自所提交的资源、n个参与者的属性集合、n个参与者各自所提交资源的属性集合、m个管理员、m个管理员所维护的标签库、n个参与者对资源的访问方式集合；所述n个参与者的属性集合包含主体属性标识、主体时间标识和主体方式标识；所述n个参与者各自所提交资源的属性集合包含客体属性标识、客体时间标识和客体方式标识；所述标签库中的各标签之间存在由m个管理员所定义的偏序关系；

所述访问控制系统的组成包括：策略管理模块、社交网络群组控制模块、请求处理模块、访问控制模块、优化模块以及执行模块，六个模块分别部署在三个服务器上，包括前端处理服务器、策略与信息管理服务器以及资源管理服务器；

所述策略管理模块由m个管理员分别根据所述n个参与者的属性集合以及n个参与者所提交资源的属性集合设置N个基础访问控制策略；根据所述标签库设置M个附加访问控制策略；并对所述N个基础访问控制策略和M个附加访问控制策略进行存储、管理、更新和合并处理，从而获得小于等于N×M个组合访问控制策略；

所述社交网络群组控制模块根据标签库对所述参与者的属性集合以及参与者所提交的资源的属性集合进行添加、删除和更新；

所述请求处理模块用于对第i个参与者提交的访问请求进行解析，获得第i个访问请求三元组u_i＝{s_i,o_i,a_i}；s_i表示第i个参与者；o_i表示第i个参与者所请求的资源；a_i表示第i个参与者对资源的访问方式；1≤i≤n；所述请求处理模块对所述第i个参与者s_i进行身份验证；将完成身份验证的第i个参与者s_i的访问请求三元组u_i传递给所述访问控制模块；

所述访问控制模块根据所接收的第i个参与者s_i的访问请求三元组u_i查询所述社交网络群组控制模块用于获得第i个参与者s_i的属性集合，以及第i个参与者所请求的资源o_i的属性集合；并根据所述第i个参与者s_i的属性集合，以及第i个参与者所请求的资源o_i的属性集合查询所述策略管理模块，从而获得相应的组合访问控制策略；

所述访问控制模块根据所获得的组合访问控制策略对所述第i个参与者s_i的访问请求三元组u_i进行访问决策，从而获得决策结果并传递给所述优化模块；

所述优化模块对所述第i个参与者s_i的访问请求三元组u_i和所述决策结果进行互斥性处理，获得与所述第i个参与者s_i的访问请求三元组u_i所对应的唯一决策结果；

所述执行模块根据所述第i个参与者s_i的访问请求三元组u_i执行所述唯一决策结果。

2.一种利用权利要求1所述访问控制系统的访问控制方法，其特征是按如下步骤进行：

步骤1、第x个管理员从所述标签库中的选取第k个标签赋给y个参与者，从而使得所述y个参与者的第k个主体属性标识都为第k个标签；所述第x个管理员为所述y个参与者的第k个主体属性标识分别添加主体方式标识和主体时间标识，从而获得更新后的y个参与者的属性集合并分别以主体树形结构进行存储；所述y个参与者的主体时间标识为所述第x个管理员赋给所述y个参与者第k个标签的时间；所述主体树形结构是分别以所述y个参与者为根节点、以更新后的y个参与者的属性集合为对应根节点的子孙节点而构成；1≤x≤m、k≥1、1≤y≤n；

步骤2、第w个参与者向所述社交网络添加若干个资源以及所述若干个资源的属性集合；

所述若干个资源的属性集合中的客体属性标识为所述第w个参与者的主体属性标识的子集；所述第w个参与者对所述若干个资源中有隐私保护需求的资源的属性集合中的客体方式标识定义为严格方式；对所述若干个资源中无隐私保护需求的资源的属性集合中的客体方式标识定义为自由方式；所述第w个参与者所添加若干个资源的客体时间标识为所述第w个参与者s_w赋给所述若干个资源的客体属性标识的时间；从而获得更新后的第w个参与者s_w所添加的若干个资源的属性集合并分别以客体树形结构进行存储；所述客体树形结构是分别以所述若干个资源为根节点、以更新后的第w个参与者s_w所添加的若干个资源的属性集合为对应根节点的子孙节点而构成；1≤w≤y；

步骤3、重复步骤1和步骤2，从而获得更新后的n个参与者的属性集合并分别以主体树形结构进行存储、以及更新后的n个参与者所添加的若干个资源的属性集合并分别以客体树形结构进行存储；

步骤4、第x个管理员创建访问控制策略文件：

步骤4.1、根据所述n个参与者以及所述n个参与者所添加若干个资源，利用基础访问控制策略逻辑判断是否接受第i个访问请求，从而建立基础访问控制策略；

步骤4.2、根据所述标签库中各标签的偏序关系建立附加访问控制策略；

步骤4.3、将所述附加访问控制策略结合到所述基础访问控制策略中，从而获得组合访问控制策略；

步骤4.4、将所述组合访问控制策略存储在所述访问控制策略文件中；

步骤5、第i个参与者s_i向所述访问控制系统请求以访问方式a_i访问其他参与者发布的资源；

步骤6、所述访问控制系统对第i个参与者s_i提交的访问请求进行解析，获得第i个访问请求三元组u_i＝{s_i,o_i,a_i}；

步骤7、对所述第i个参与者s_i进行身份验证；对通过身份验证的第i个参与者s_i的访问请求三元组u_i获取所述第i个参与者s_i的属性集合以及第i个参与者所请求的资源o_i的属性集合；

步骤8、根据所述第i个参与者s_i的属性集合、第i个参与者所请求的资源o_i的属性集合以及第i个访问请求三元组u_i＝{s_i,o_i,a_i}获得相应的访问控制策略文件；

步骤9、根据所述相应的访问控制策略文件，对所述第i个访问请求三元组u_i＝{s_i,o_i,a_i}进行判断是否符合组合访问控制策略，从而获得决策结果；所决策结果分为接受、拒绝或无法判断；

步骤10、对所述决策结果进行互斥性处理，若所述决策结果均为接受，则获得唯一决策结果为接受，否则所述唯一决策结果为拒绝；

步骤11：所述访问控制系统执行所述唯一决策结果，即所述访问控制系统接受或拒绝第i个参与者s_i向所述访问控制系统请求以访问方式a_i访问其他参与者发布的资源。

3.根据权利要求2所述的访问控制方法，其特征是，所述步骤4.1中的基础访问控制策略逻辑是按如下步骤判断是否接受第i个访问请求：

对第i个访问请求三元组u_i＝{s_i,o_i,a_i}；

若a_i＝read表示第i个参与者所请求的资源o_i被第i个参与者s_i获得；

若a_i＝write表示第i个参与者所请求的资源o_i被第i个参与者s_i更改；

若a_i＝share或a_i＝repost表示第i个参与者s_i为第i个参与者所请求的资源o_i添加新的客体属性标识；

若a_i∈{read,write}，则按方式一进行；若a_i∈{share,repost}，则按方式二进行；

方式一：

步骤a1，比较第i个参与者s_i的主体属性标识是否包含第i个参与者所请求的资源o_i的客体属性标识；若包含，则执行步骤b1；

步骤b1，检验所述第i个参与者所请求的资源o_i的客体属性标识与第i个参与者s_i的主体属性标识各自所对应的方式标识，如果均为自由方式，则接受第i个访问请求；如果存在严格方式，则执行步骤c1；

步骤c1，检测所述第i个参与者所请求的资源o_i的客体时间标识是否大于第i个参与者s_i的主体时间标识，若大于，则进行步骤d1；否则拒绝第i个访问请求；

步骤d1，检测条所述第i个参与者所请求的资源o_i的客体属性标识与第i个参与者s_i的主体属性标识是否被删除，如果存在被删除，则检测所删除的属性标识所对应的方式标识是否为自由方式，如果是自由方式，则接受第i个访问请求；否则，拒绝第i个访问请求；如果不存在被删除，则接受第i个访问请求；

方式二：

步骤a2，判断方式一的结果是否为接受第i个访问请求；若是，则执行步骤b2；否则，拒绝第i个访问请求；

步骤b2，判断第i个参与者s_i为第i个参与者所请求的资源o_i添加新的客体属性标识是否包含未添加时的客体属性标识，若包含，则接受第i个访问请求，否则，拒绝第i个访问请求。