CN107612929A - 一种基于信息流的多级安全访问控制模型 - Google Patents

Abstract

本发明基于信息流强制访问策略，提出了一种基于信息流的多级安全(Multilevel Security，MLS)访问控制模型。通过分析两种多级安全策略BIBA与BLP模型的联系与侧重点，利用多级安全的思想设计信息流访问规则，考虑现有模型的“单调性缺陷”，设计了针对特定信息流实施访问规则的可信代理(Trusted Agent，TA)模块，扩展了信息流传递的限制条件，同时系统仍能继续保持原有的可信等级。本发明公开的模型具有较好的信息流访问控制效果，并且适用于跨域系统的信息流传递。

Description

一种基于信息流的多级安全访问控制模型

技术领域

本发明公开了一种基于信息流的多级安全访问控制模型，具体涉及利用多级安全的思想设计信息流访问规则，结合现有模型的“单调性缺陷”，设计了针对特定信息流访问规则的可信代理(Trusted Agent，TA)模块，动态的度量信息流访问实体，使系统仍能继续保持原有的可信等级，属于计算机领域中信息流安全与可信度量领域。

背景技术

多级安全(Multilevel Security，MLS)是指将同一系统内的所有信息划分为不同安全级别，以使不同安全级别的信息彼此之间能够完全隔离，各个安全级别的实体只能访问对应级别的信息。多级安全研究的一个重要领域是信息流的安全访问控制模型的建立，最具有代表性的模型有BIBA和BLP两种。

BIBA模型的研究方向是信息流的完整性保护，规定信息只能从高完整性等级的实体流向低完整性等级的实体，即不允许低完整性的信息“污染”高完整性的实体，进而影响整个系统的完整性等级。而BLP模型的侧重点是信息的机密性，规定信息只能从低机密性等级的实体流向高机密性等级的实体。即不允许高机密性的信息“泄漏”到低机密性的实体，进而影响整个系统的机密性等级。可见，不管是BIBA模型还是BLP模型，都存在限制较为苛刻、适用范围局限的缺点。

目前，针对这两种安全访问控制模型的改进研究，国内外已有一些相关成果。美国肯特州立大学的Talal Albalawi等人，引入修改因子(modification factor，MF)来动态的触发实体完整性等级的调整，实现系统动态的完整性平衡。西安交通大学的Gang Liu等人提出基于BIBA模型的上下文感知的、细粒度的BTG-BIBA模型，增加了一种异常访问机制，能够有效的提高系统安全访问控制的可用性。伊朗的Jafar Haadi Jafarian等人在传统的模型上，提出一种能够对访问控制策略进行上下文动态调整的上下文感知的强制安全访问控制策略。中国科学院的周洲仪等人提出一种基于Biba和Clark-Wilson策略的混合强制完整性模型，该模型通过可监控的状态转换提供了一种完备的完整性保护，同时根据可信主体在其生命周期所属的状态实施Biba低水平策略，有效解决了BIBA模型的可用性问题。

现有模型大多有以下三方面不足：一是模型对实际信息流传递限制较为苛刻；二是存在“单调性缺陷”，应用范围较小；三是无法应用于跨域的信息流传递中。本专利对传统的BIBA和BLP模型进行深度分析，针对以上问题，提出了一种基于信息流的多级安全访问控制模型，并通过实施例验证了模型的有效性，具有适用性高、支持跨域等优点，是一种上下文感知的细粒度的信息流安全访问控制模型。

发明内容

本发明从信息流安全的角度出发，通过对现有信息流访问规则的研究，发现现有信息流访问规则中普遍存在的对信息流传递场景限制较大，影响了系统很大一部分安全的访问操作。为了克服和改进现有信息流安全访问控制规则中存在的问题，本发明专利提供了一种基于信息流的多级安全访问控制模型，该模型能够安全高效的控制可信系统中实体的安全访问请求，极大扩展了安全访问规则的适用范围，同时克服了现有规则存在的“单调性缺陷”，具有较好的信息流可信度量效果，使可信系统能够持续保持高可信状态，可以满足用户对信息流安全的需求。

本发明专利为解决其技术问题采用如下技术方案：

一种基于信息流的多级安全访问控制模型，其特征在于，包括以下步骤：

1)启动可信环境。平台基于国产龙芯3A2000处理器，系统内置集成有虚拟可信平台模块(Virtualized Trusted Platform Module，vTPM)的精简嵌入式操作系统。

2)初始化可信环境。由可信标签(Trusted Label，TL)控制中心初始化系统中待度量实体属性，包括完整性等级(Integrity Level，IL)、机密性等级(Secret Level，SL)和安全访问域(Security Access Field，SAF)，即赋予属性相应数值，同时，将初始化信息写入系统全局安全策略配置文件。

3)系统从初始可信环境开始运行。系统首先读取全局安全策略配置文件，并生成5个数据链表，分别用来存储系统中待度量实体的完整性等级、机密性等级、安全访问域、可信实体和所属域。完整性等级链表存储了系统中所有待度量实体当前的完整性等级数值，机密性等级链表存储了系统中所有待度量实体当前的机密性等级数值，安全访问域链表存储了系统中所有待度量实体当前的主/客体安全访问域，可信实体链表存储了系统中所有待度量实体中可信实体(排除不可信实体)，实体所属域链表存储了系统中所有待度量实体的所属主体。

4)系统运行后，当实体请求访问客体时，系统的访问控制机制会对该请求进行拦截，并转入访问控制检查模式：

4.1提取该访问请求的主体和客体对象。

4.2检查主体、客体是否均存在于可信实体链表，存在，则转到4.2.1；否则，转到4.2.2。

4.2.1将主、客体各属性应用到本专利所提出的多级安全访问控制模型，检查时候满足规则，如一致，则系统放行，允许此次访问请求，并将操作的主、客体分别加入对方的实体安全访问域链表中；否则，转到4.2.2。

4.2.2经可信代理模块，转向验证其所属域，根据判定其是否为可信的所属域，对此次请求访问的主、客体的可信标签属性进行初始化。若主、客体不全为可信实体，则转到4.2.2.1；否则，转到4.2.2.2。

4.2.2.1若实体所属域为不可信域，则系统自动拒绝此次访问操作；否则，继承原所属域赋予该实体的可信标签属性值，转到4.2.1。

4.2.2.2若实体所属域为不可信域，则赋予其最低完整性等级、最低机密性等级，同时安全访问域为空集，转到4.2.1；否则，提升主体完整性等级至客体完整性等级一致，机密性等级不变，转到4.2.1。

如所述步骤4中，选择BIBA、BLP模型作为本专利提出的访问控制检查模式基础的原因及实现包括：

根据BIBA模型的规定，系统在任何情况下，可信的实体都应该和不可信的实体相隔绝，并且只允许高完整性等级的实体访问低完整性等级的实体，否则，会导致接收低完整性等级信息流的实体完整性等级降低，进而影响整个系统完整性等级的下降，形成“单调性缺陷”。

根据BLP模型的规定，为了防止机密信息的泄漏，禁止低机密性等级的实体读取高机密性等级实体的信息流，或高机密性等级的实体将信息流写入低机密性等级实体，即系统全局禁止向上读和向下写等访问操作，以此来保证系统机密信息的保密性。

综上所述，为了实现对系统实体的信息流安全访问控制，需分别对其完整性和机密性进行验证，即为系统中待度量实体的完整性等级和机密性等级进行初始化，对于系统启动后，存在于可信环境中的实体赋予最高完整性等级和机密性等级。

对于每个实体来说，在一次信息流传递过程中，既可以是主体，也可以是客体，所以存在2种不同的安全访问域，分别是主体安全访问域集合和客体安全访问域集合，表示该实体作为主体时已建立联系的可访问客体集合或表示该实体作为客体时已建立联系的可被访问主体集合，初始化均为空集。

如所述步骤4.2.1中，本专利提出的多级安全访问控制规则包括：

基于BIBA和BLP模型扩展的多级安全访问控制规则如下所示：

其中u、v为系统中请求访问的实体，TL^s为主体的可信标签，TL^o为客体的可信标签，T为可信实体，UT为不可信实体，TA为可信代理(Trusted Agent，TA)，由于TA＝{IL，SL，SAF}，且实体访问操作Access＝{observe，modify，invoke}。其中observe代表读操作，modify代表写操作，invoke代表调用操作。

故式(1)的modify访问操作可扩展为：

同理可得，扩展后的observe访问操作规则：

扩展后的invoke访问操作规则：

以上三种访问操作规则均在实体u作为主体，实体v作为客体的前提下。并且，在原强制访问规则仅支持可信实体的访问操作的基础上，将其扩展到不可信实体，同时，有效解决了信息流强制访问规则存在的“单调性缺陷”。通过引入可信代理模块：

1)针对可信实体，解决部分“向上写”、“向下读”以及“向上调用”的信息流传递情况。对于来自可信所属域但不满足强制安全访问控制规则的实体，仍可提升其完整性等级和安全访问域至主体/客体平级，使之满足强制访问规则对于完整性等级和安全访问域的限制，若继承的机密性等级也满足规则，则系统允许此次访问请求操作。

2)针对不可信实体，若来自可信所属域，则仍可继承来自原可信所属域的可信标签属性值，而非直接被系统拒绝此次访问请求。

如所述步骤4.2.2中，设计独立于系统的可信代理模块，以检查不符合强制安全访问控制规则的情况，扩展多级安全访问控制模型的适用范围，具体逻辑步骤包括：

原始强制安全访问控制规则仅适用于主、客体均为可信实体的情况，且必须满足特定访问操作规则，系统才允许访问，虽然确保了系统的可信，但很大程度上限制了系统中信息流的传递，体现在以下两方面：

1)系统拒绝了所有不可信实体的访问请求。

2)系统拒绝了可信实体中不满足安全访问控制规则的访问请求。

故设计了独立于系统的可信代理模块，其初始可信标签等级为系统全局最高，即最高的完整性等级、最高的机密性等级以及包含全局可信实体的安全访问域，且随系统运行推进和环境改变而始终保持不变。

对于上述提到的两个方面，系统可信代理转而验证实体所属域的可信度，若为可信所属域的实体，且存在于该可信所属域的可信实体链表中，则继承原可信所属域赋予该实体的可信标签属性值；否则，赋予其最低完整性等级、最低机密性等级，同时安全访问域为空集。

针对跨域的实体间信息流的传递，可信代理模块同样适用，即对于实体所属域的核验，无需域存在于同一个系统中。

如所述步骤4.2.2.1和4.2.2.2中，系统依据运行实体的属性动态控制信息流访问操作，具体实现逻辑包括：

除了对于来自可信所属域的可信实体应用信息流强制安全访问控制规则时，可信实体的可信标签属性值来自系统静态的全局安全策略配置文件，系统中的其他实体，如来自可信所属域的不可信实体和其他不满足信息流强制安全访问控制规则的可信实体，均可动态的根据特定实体的属性调整其可信标签的等级值，并作为依据供系统重新对其应用多级安全访问控制规则，尝试再次验证信息流访问操作请求，极大扩展了系统安全访问控制的能力和适用范围。

本发明专利采用以上技术方案，与现有技术相比，具有以下有益效果：

(1)本发明选择BIBA、BLP模型作为多级安全访问控制模型的基础，充分考虑到实体完整性和机密性对于系统可信的影响，并扩展了多级安全访问控制规则的适用范围，解决了仅使用强制安全访问控制规则导致的系统可信等级的“单调性缺陷”。

(2)本发明设计了可信代理模块，覆盖可信系统中信息流传递下的所有情况。引入可信代理模块，针对不可信实体及未通过强制安全访问控制规则验证的实体，进行所属域的可信验证，动态更新其可信标签的属性值，以使部分情况下的信息流访问请求通过系统可信验证。

(3)本发明设计了一种基于信息流的多级安全访问控制模型，并扩展信息流传递至多域系统，实现了跨域的信息流访问控制，且保持系统持续高等级可信。

附图说明

图1是本发明的整体架构图。

图2是动态可信度量流程图。

图3是实施例架构图。

图4是实施例运行结果图。

具体实施方式

为了解决现有信息流安全访问控制规则对实体访问操作请求限制过于苛刻，同时导致系统整体陷入“单调性缺陷”问题，本发明提出了一种基于信息流的多级安全访问控制模型，其整体架构如图1所示。

以下结合附图和实例对本发明的技术方案做进一步说明：

实施例

本发明的实施例介绍了基于信息流的多级安全访问控制模型的具体实现，其实现架构如图3所示，具体包括：

本实施例在基于龙芯3A2000处理器的硬件可信平台上进行，软件环境为集成有虚拟可信平台模块的Ubuntu Core 16.0.2 LTS精简操作系统，构建系统启动前的可信计算环境，并在启动后，首次进行静态可信度量，确保系统运行前的环境可信。实施例选择初始可信环境中的可信实体A，来自可信实体A的同一可信所属域的可信实体B、C以及来自可信所属域的不可信实体D。其中实体A、B间满足强制安全访问控制规则，实体A、C间不满足强制安全访问控制规则，但经可信代理提升实体C的可信标签属性值后可实现信息流传递，实体A、D间不满足强制安全访问控制规则，经可信代理从其所属域继承实体D的可信标签属性值后仍不满足强制安全访问控制规则，即系统将拒绝实体A、D间的信息流传递。

实现伪代码如下所示，包括：

具体实现结果如图4所示：

系统首先处理实体A、B间的访问操作，由于实体A、B均为可信实体，且满足强制安全访问控制规则，故系统放行进程0；而对于实体A、C间的访问操作，由于不满足强制安全访问控制规则，系统转入可信代理模式，重新赋予客体C新的可信标签等级，新的等级值依据实体C的所属域可信性，被提升至与实体A、C可信标签等级较高的一方一致，退出可信代理模式后再次验证安全访问控制规则，满足进而系统放行进程1；对于实体A、D间的访问请求，继承了实体D所属域赋予的原可信标签属性值后，仍不满足安全访问控制规则，故系统拒绝此次访问操作。

以上结合附图以及实施例对本发明的实施方式作了详细说明，但是本发明并不限于上述实施方式，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下做出各种变化。

Claims (5)

1.一种基于信息流的多级安全访问控制模型，其特征在于，包括以下步骤：

1)启动可信环境。平台基于国产龙芯3A2000处理器，系统内置集成有虚拟可信平台模块(Virtualized Trusted Platform Module，vTPM)的精简嵌入式操作系统。

2)初始化可信环境。由可信标签(Trusted Label，TL)控制中心初始化系统中待度量实体属性，包括完整性等级(Integrity Level，IL)、机密性等级(Secret Level，SL)和安全访问域(Security Access Field，SAF)，即赋予属性相应数值，同时，将初始化信息写入系统全局安全策略配置文件。

3)系统从初始可信环境开始运行。系统首先读取全局安全策略配置文件，并生成5个数据链表，分别用来存储系统中待度量实体的完整性等级、机密性等级、安全访问域、可信实体和所属域。完整性等级链表存储了系统中所有待度量实体当前的完整性等级数值，机密性等级链表存储了系统中所有待度量实体当前的机密性等级数值，安全访问域链表存储了系统中所有待度量实体当前的主/客体安全访问域，可信实体链表存储了系统中所有待度量实体中可信实体(排除不可信实体)，实体所属域链表存储了系统中所有待度量实体的所属主体。

4)系统运行后，当实体请求访问客体时，系统的访问控制机制会对该请求进行拦截，并转入访问控制检查模式：

4.1提取该访问请求的主体和客体对象。

4.2检查主体、客体是否均存在于可信实体链表，存在，则转到4.2.1；否则，转到4.2.2。

4.2.1将主、客体各属性应用到本专利所提出的多级安全访问控制模型，检查时候满足规则，如一致，则系统放行，允许此次访问请求，并将操作的主、客体分别加入对方的实体安全访问域链表中；否则，转到4.2.2。

4.2.2经可信代理模块，转向验证其所属域，根据判定其是否为可信的所属域，对此次请求访问的主、客体的可信标签属性进行初始化。若主、客体不全为可信实体，则转到4.2.2.1；否则，转到4.2.2.2。

4.2.2.1若实体所属域为不可信域，则系统自动拒绝此次访问操作；否则，继承原所属域赋予该实体的可信标签属性值，转到4.2.1。

4.2.2.2若实体所属域为不可信域，则赋予其最低完整性等级、最低机密性等级，同时安全访问域为空集，转到4.2.1；否则，提升主体完整性等级至客体完整性等级一致，机密性等级不变，转到4.2.1。

2.如权利要求1所述的一种基于信息流的多级安全访问控制模型，其特征在于系统在启动后会进行可信环境的初始化工作，包括：

根据BIBA模型的规定，系统在任何情况下，可信的实体都应该和不可信的实体相隔绝，并且只允许高完整性等级的实体访问低完整性等级的实体，否则，会导致接收低完整性等级信息流的实体完整性等级降低，进而影响整个系统完整性等级的下降，形成“单调性缺陷”。

根据BLP模型的规定，为了防止机密信息的泄漏，禁止低机密性等级的实体读取高机密性等级实体的信息流，或高机密性等级的实体将信息流写入低机密性等级实体，即系统全局禁止向上读和向下写等访问操作，以此来保证系统机密信息的保密性。

综上所述，为了实现对系统实体的信息流安全访问控制，需分别对其完整性和机密性进行验证，即为系统中待度量实体的完整性等级和机密性等级进行初始化，对于系统启动后，存在于可信环境中的实体赋予最高完整性等级和机密性等级。

对于每个实体来说，在一次信息流传递过程中，既可以是主体，也可以是客体，所以存在2种不同的安全访问域，分别是主体安全访问域集合和客体安全访问域集合，表示该实体作为主体时已建立联系的可访问客体集合或表示该实体作为客体时已建立联系的可被访问主体集合，初始化均为空集。

3.如权利要求1所述的一种基于信息流的多级安全访问控制模型，其特征在于系统应用本专利提出的多级安全访问控制规则，包括：

基于BIBA和BLP模型扩展的多级安全访问控制规则如下所示：

其中u、v为系统中请求访问的实体，TL^s为主体的可信标签，TL^o为客体的可信标签，T为可信实体，UT为不可信实体，TA为可信代理(Trusted Agent，TA)，由于TA＝{IL，SL，SAF}，且实体访问操作Access＝{observe，modify，invoke}。其中observe代表读操作，modify代表写操作，invoke代表调用操作。

故式(1)的modify访问操作可扩展为：

同理可得，扩展后的observe访问操作规则：

扩展后的invoke访问操作规则：

以上三种访问操作规则均在实体u作为主体，实体v作为客体的前提下。并且，在原强制访问规则仅支持可信实体的访问操作的基础上，将其扩展到不可信实体，同时，有效解决了信息流强制访问规则存在的“单调性缺陷”。通过引入可信代理模块：

1)针对可信实体，解决部分“向上写”、“向下读”以及“向上调用”的信息流传递情况。对于来自可信所属域但不满足强制安全访问控制规则的实体，仍可提升其完整性等级和安全访问域至主体/客体平级，使之满足强制访问规则对于完整性等级和安全访问域的限制，若继承的机密性等级也满足规则，则系统允许此次访问请求操作。

2)针对不可信实体，若来自可信所属域，则仍可继承来自原可信所属域的可信标签属性值，而非直接被系统拒绝此次访问请求。

4.如权利要求1所述的一种基于信息流的多级安全访问控制模型，其特征在于设计独立于系统的可信代理模块，以检查不符合强制安全访问控制规则的情况，扩展多级安全访问控制模型的适用范围，包括：

原始强制安全访问控制规则仅适用于主、客体均为可信实体的情况，且必须满足特定访问操作规则，系统才允许访问，虽然确保了系统的可信，但很大程度上限制了系统中信息流的传递，体现在以下两方面：

1)系统拒绝了所有不可信实体的访问请求。

2)系统拒绝了可信实体中不满足安全访问控制规则的访问请求。

故设计了独立于系统的可信代理模块，其初始可信标签等级为系统全局最高，即最高的完整性等级、最高的机密性等级以及包含全局可信实体的安全访问域，且随系统运行推进和环境改变而始终保持不变。

对于上述提到的两个方面，系统可信代理转而验证实体所属域的可信度，若为可信所属域的实体，且存在于该可信所属域的可信实体链表中，则继承原可信所属域赋予该实体的可信标签属性值；否则，赋予其最低完整性等级、最低机密性等级，同时安全访问域为空集。

针对跨域的实体间信息流的传递，可信代理模块同样适用，即对于实体所属域的核验，无需域存在于同一个系统中。

5.如权利要求1所述的一种基于信息流的多级安全访问控制模型，其特征在于依据运行实体的属性动态控制信息流访问操作，包括：

除了对于来自可信所属域的可信实体应用信息流强制安全访问控制规则时，可信实体的可信标签属性值来自系统静态的全局安全策略配置文件，系统中的其他实体，如来自可信所属域的不可信实体和其他不满足信息流强制安全访问控制规则的可信实体，均可动态的根据特定实体的属性调整其可信标签的等级值，并作为依据供系统重新对其应用多级安全访问控制规则，尝试再次验证信息流访问操作请求，极大扩展了系统安全访问控制的能力和适用范围。