CN109818907A - 一种基于ucon模型用户匿名访问方法和系统 - Google Patents

Abstract

本发明实施例提供了一种基于UCON模型用户匿名访问方法和系统，当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。提供了对数字资源的持续保护；允许匿名访问；完善和丰富了传统访问控制模式，提供了使用中控制和易变性，适用于现代信息和系统的保护。

Description

一种基于UCON模型用户匿名访问方法和系统

技术领域

本发明涉及通信技术领域，尤其涉及一种基于UCON模型用户匿名访问方法和系统。

背景技术

随着社会信息化和网络化程度的提高，信息安全的隐患越来越突出。网络与信息的安全已经成为关系国计民生的头等大事。PKI(Public Key Infrastructure,公开密钥基础设施)在网络安全领域的作用功不可没，但是，PKI只解决了用户“是谁”的问题，却不能区分出每个用户的权限。为解决这个问题，在保持原来公钥证书传统格式的同时引入扩展项来标识用户的权限，即PMI(Privilege Management Infrastructure,特权管理基础设施)模型。PMI系统可同时提供身份认证和访问控制服务。身份认证可以采用现有的公开密钥基础设施PKI来完成。访问控制就要根据采用的访问控制策略和访问控制模型，实现对系统资源和用户安全属性的统一管理，并在此基础之上提供用户到资源的访问控制决策功能。

传统的访问控制主要关注在一个封闭环境中数据保护的研究。访问控制的实现主要根据识别已知用户的属性或者使用监视器和有详细授权规则的处理进程。传统的访问控制包括：自主访问控制(Discretionary Access Control,DAC)、强制访问控制(MandatoryAccess Control,MAC)、基于角色的访问控制(Role-Based Access Control,RBAC)、基于任务和工作流的访问控制(Task-Based Access Control,TBAC)等。然而，随着数字信息时代的到来，传统的访问控制处理当今数字环境中的问题已经出现了困难。一个原因是传统访问控制仅关注封闭系统中对数字资源的访问控制，而在信息被访问后或者被发布到其他系统后不能持续保护数字资源。另一个原因，传统访问控制仅处理已知用户的访问，对匿名用户束手无策，这点远远不能满足今天网络世界的需要。可信管理使用信任书策略支持匿名用户对数字客体访问，而不能控制已发布的数字客体。传统访问控制和可信管理的一个共同点是使用主体和客体属性来授权。也就是说，传统访问控制和可信管理根据主体属性、客体属性和请求的权利进行授权决策。传统访问控制和可信管理主要关注敏感信息的保护，不能满足现代B2C系统中的要求。

发明内容

本发明的实施例提供了一种基于UCON模型用户匿名访问方法和系统，本发明提供了如下方案：

当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；

AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；

ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。

根据本发明的另一方面还提供一种基于UCON模型用户匿名访问系统，包括：发送模块：其用于当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；

解析模块：其用于使AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；

查找模块：其用于使ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。提供了对数字资源的持续保护；允许匿名访问；完善和丰富了传统访问控制模式，提供了使用中控制和易变性，适用于现代信息和系统的保护。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的系统层次结构图；

图2为本发明实施例一提供的LDAP目录树；

图3为本发明实施例一提供的一种基于UCON模型用户匿名访问方法的处理流程图；

图4为本发明实施例二提供的一种基于UCON模型用户匿名访问系统模块图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

本实施例中，将整个系统分为Web层、业务逻辑层和数据层。上层通过下层提供的接口调用下层功能，下层的功能实现对上层透明。本系统的层次结构如图1所示。Web层是系统的权限管理界面，提供管理员与系统交互和进行管理的视图，实现数据表示和显示的转化。

业务逻辑层提供系统的业务功能处理。它又可以细分为两个层次：业务功能子层和PA、AA子层。业务功能子层封装一个完整的业务流程的实现过程，并向Web层提供调用接口。向下则调用PA、AA子层实现的原子操作，并将之组合来完成业务流程。通过这样的方式来实现业务逻辑对上层的透明。当新增业务功能时，可以方便地进行系统完善而不会对调用业务功能的界面造成影响。当PA、AA子层的原子操作内部发生改变时，由于其良好的封装性，也不用修改业务功能子层。

最底层的数据层也可以细分为两个层次：数据访问接口子层和数据库子层。数据访问接口子层屏蔽对数据的访问操作，为上层操作提供统一的接口。

此外，本系统以LDAP服务器作为数据库服务器，分别存储策略规则库、用户证书库和资源证书库。本系统中的LDAP目录树结构如图3所示。如果目录树过深，会对查询操作的性能产生影响，所以我们采用平行的三条子目录树，分别存放主客体属性证书和策略规则。

对目录结构的说明如下：

1)节点OU＝ATTCER,O＝UCONPMI,ST＝SH,C＝CN下的条目存放主体(用户/角色)的属性证书；

2)节点CN＝ACHOLDER,OU＝ATTCER,O＝UCONPMI,ST＝SH,C＝CN为具体的某个主体属性证书，由持有该属性证书的主体ID标识；

3)节点OU＝RESOURCE,O＝UCONPMI,ST＝SH,C＝CN下的条目存放客体(资源)的属性证书；

4)节点CN＝RESID,OU＝RESOURCE,O＝UCONPMI,ST＝SH,C＝CN为具体的某个客体属性证书，由持有该属性证书的客体ID标识；

5)节点OU＝POLICY,O＝UCONPMI,ST＝SH,C＝CN下的条目存放策略规则；

6)节点CN＝POLICYHOLDER,OU＝POLICY,O＝UCONPMI,ST＝SH,C＝CN为具体的某个策略文件，由该策略文件所适用的主体ID标识。

其中，系统中主客体属性证书的发布和管理功能主要由属性权威AA来完成。属性权威AA的工作流程如下：

在AA初次运行时需要进行一些初始化工作，包括载入系统配置信息，连接LDAP数据库，并且从LDAP数据库中提取AA的公钥证书和私钥信息，因为在签发属性证书时会用到它们。当AA进入运行状态后，便开始接收并处理证书请求，进行属性证书的签发、更新、查询和撤销，签发流程同传统PKI系统的证书管理流程相似。

对于匿名用户的访问，匿名用户在应用层发出的首次证书签发请求，其中，所述首次证书签发请求包含匿名用户在证书的签发机构CA获得合法的PKC证书；将所述首次证书签发请求发送至业务逻辑层；

所述业务逻辑层验证所述首次证书签发请求中包含的PKC证书是否合法，若合法，则将所述首次证书签发请求发送至所述AA子层获取属性证书。

具体地，将所述首次证书签发请求发送至所述AA子层获取属性证书，包括：所述AA子层根据所述首次证书签发请求验证所述用户身份是否合法，如果通过验证，则根据所述首次证书签发请求中的主体信息调用相应属性证书模板，根据PKC证书及所述首次证书签发请求中的用户请求信息设置证书信息和签名算法，生成属性证书，为之签名并发布到LDAP服务器中；将所述属性证书返回至所述匿名用户。

在对匿名用户在业务逻辑层的AA子层进行合法验证之前，接收匿名用户在应用层发出的包含用户信息的用户请求。此时的包含用户信息的用户请求已不再是首次证书签发请求。

本实施例提供了一种基于UCON模型用户匿名访问方法，如附图3所示包括如下的其处理步骤如下：

步骤31、当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；这里的用户请求就是上述匿名用户在应用层发出的包含用户信息的用户请求。

对于业务逻辑层的PA子层，本系统采用策略文件来描述主体(用户/角色)对客体(资源)的“授权”权限，以及相关的“职责”、“条件”信息，并且引入新的PMI实体“策略权威”PA来负责与策略有关的所有工作。策略文件以XML文档形式描述。

1)策略管理

策略管理包括围绕访问控制策略的一切操作，即策略文件的定制、修改、查询、删除等，从更细的粒度来说，包含以下功能：

(1)添加/删除主体对客体的操作权限；

(2)为权限添加/删除“授权”信息；

(3)为权限添加/删除“职责”信息；

(4)为权限添加/删除“条件”信息；

(5)为权限添加/删除作为访问结果的“属性更新”信息；

(6)查询主体所拥有的权限。

策略文件的默认流程如下：

策略权威PA在接收到策略定制请求后，首先会验证请求者身份，如果通过验证便处理请求。当从请求中析取出权限相关信息(例如与所添加权限相关的主体、客体和操作)之后，PA将访问LDAP数据库查找主体的策略文件，如果不存在就为该主体新建一份XML策略文件；如果策略文件已存在，PA则会解析现有的策略文件，根据需要添加主体对客体的操作权限，并附加“授权”、“职责”、“条件”以及“属性更新”信息，最后将更新过的策略文件保存至LDAP服务器策略规则库中。至此策略的定制步骤完成。

步骤32、AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；

本实施例的访问控制功能组件包括了下列四个部分：访问请求发起者(initiator)、访问控制实施点(Access Control Enforcement Function,AEF)、访问控制判决点(Access Control Decision Function,ADF)、目标资源(Target)。其中，AEF的主要功能是截获用户请求，并对请求进行处理，得到用户信息、请求操作和目标信息等，根据以上信息形成决策请求发给ADF。而ADF的主要功能是根据AEF所传送过来的决策请求，以及访问控制决策信息(Access Control Decision Information,ADI)，来决定发起者是否对目标资源具有相应的操作权限，并返回决策结果(结果往往是允许/拒绝)。

PA在收到决策请求之后，会到LDAP策略库中搜索主体的策略文件并对之解析，逐个判断“授权”、“职责”、“条件”信息来做出判决。如果主体的策略文件存在，且主体对客体有操作权限，同时所有“授权”和“条件”约束都满足，所有“职责”也已履行，则允许访问；若其中有一条不满足则拒绝访问。最后PA还会根据需要联系属性权威AA进行相应的属性更新。

步骤33、ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。

当确定所述用户对目标资源具有相应的操作权限，则执行所述用户请求的操作；并且，当所述操作导致用户的主体属性发生变化，则向所述AA子层发出属性证书的更新请求，并将操作结果通过应用层返回给用户。

实施例二

该实施例提供了一种基于UCON模型用户匿名访问系统，其具体实现结构如图4所示，具体可以包括如下的模块：

获取模块40，其用于接收匿名用户在应用层发出的包含用户信息的证书签发请求之前，所述匿名用户在首次的访问时获取属性证书。

所述获取模块40，具体用于：

匿名用户在应用层发出的首次证书签发请求，其中，所述首次证书签发请求包含匿名用户在证书的签发机构CA获得合法的PKC证书；

将所述首次证书签发请求发送至业务逻辑层；

所述业务逻辑层验证所述首次证书签发请求中包含的PKC证书是否合法，若合法，则将所述首次证书签发请求发送至所述AA子层获取属性证书。

所述获取模块40，具体用于：

所述AA子层根据所述首次证书签发请求验证所述用户身份是否合法，如果通过验证，则根据所述首次证书签发请求中的主体信息调用相应属性证书模板，根据PKC证书及所述首次证书签发请求中的用户请求信息设置证书信息和签名算法，生成属性证书，为之签名并发布到LDAP服务器中；

将所述属性证书返回至所述匿名用户。

接收模块41：其用于在对所述匿名用户在业务逻辑层的AA子层进行合法验证之前，接收匿名用户在应用层发出的包含用户信息的所述用户请求。

发送模块42：其用于当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；

解析模块：其用于使AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；

查找模块43：其用于使ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。

执行模块44：其用于当确定所述用户对目标资源具有相应的操作权限，则执行所述用户请求的操作；并且，当所述操作导致用户的主体属性发生变化，则向所述AA子层发出属性证书的更新请求，并将操作结果通过应用层返回给用户。

用本发明实施例的装置进行多媒体通信系统中的资源管理的具体过程与前述方法实施例类似，此处不再赘述。

综上所述，本发明实施例当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。提供了对数字资源的持续保护；允许匿名访问；完善和丰富了传统访问控制模式，提供了使用中控制和易变性，适用于现代信息和系统的保护。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (12)

1.一种基于UCON模型用户匿名访问方法，其特征在于，包括：

当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；

AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；

ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。

2.根据权利要求1所述的一种基于UCON模型用户匿名访问方法，其特征在于，包括：

在对所述匿名用户在业务逻辑层的AA子层进行合法验证之前，接收匿名用户在应用层发出的包含用户信息的所述用户请求。

3.根据权利要求1所述的一种基于UCON模型用户匿名访问方法，其特征在于，包括：

当确定所述用户对目标资源具有相应的操作权限，则执行所述用户请求的操作；并且，当所述操作导致用户的主体属性发生变化，则向所述AA子层发出属性证书的更新请求，并将操作结果通过应用层返回给用户。

4.根据权利要求2所述的一种基于UCON模型用户匿名访问方法，其特征在于，包括：接收匿名用户在应用层发出的包含用户信息的证书签发请求之前，所述匿名用户在首次的访问时获取属性证书。

5.根据权利要求2所述的一种基于UCON模型用户匿名访问方法，其特征在于，所述匿名用户在首次的访问时获取属性证书，包括：

匿名用户在应用层发出的首次证书签发请求，其中，所述首次证书签发请求包含匿名用户在证书的签发机构CA获得合法的PKC证书；

将所述首次证书签发请求发送至业务逻辑层；

所述业务逻辑层验证所述首次证书签发请求中包含的PKC证书是否合法，

若合法，则将所述首次证书签发请求发送至所述AA子层获取属性证书。

6.根据权利要求5所述的一种基于UCON模型用户匿名访问方法，其特征在于，所述将所述首次证书签发请求发送至所述AA子层获取属性证书，包括：所述AA子层根据所述首次证书签发请求验证所述用户身份是否合法，如果通过验证，则根据所述首次证书签发请求中的主体信息调用相应属性证书模板，根据PKC证书及所述首次证书签发请求中的用户请求信息设置证书信息和签名算法，生成属性证书，为之签名并发布到LDAP服务器中；

将所述属性证书返回至所述匿名用户。

7.一种基于UCON模型用户匿名访问系统，其特征在于，包括：

发送模块：其用于当匿名用户在业务逻辑层的AA子层通过合法验证，则将用户请求发送至业务逻辑层的PA子层中的访问控制实施点AEF；

解析模块：其用于使AEF解析所述用户请求，提取用户信息以及所述用户请求的访问目标，并再次将用户信息以及所述访问目标作为决策请求发送至PA子层中的访问控制判决点ADF；

查找模块：其用于使ADF根据所述用户信息从LDAP中查找主体策略文件，根据所述主体策略文件中的访问策略规则确定所述用户是否对目标资源具有相应的操作权限。

8.根据权利要求7所述的一种基于UCON模型用户匿名访问系统，其特征在于，包括：

接收模块：其用于在对所述匿名用户在业务逻辑层的AA子层进行合法验证之前，接收匿名用户在应用层发出的包含用户信息的所述用户请求。

9.根据权利要求7所述的一种基于UCON模型用户匿名访问系统，其特征在于，包括：

执行模块：其用于当确定所述用户对目标资源具有相应的操作权限，则执行所述用户请求的操作；并且，当所述操作导致用户的主体属性发生变化，则向所述AA子层发出属性证书的更新请求，并将操作结果通过应用层返回给用户。

10.根据权利要求8所述的一种基于UCON模型用户匿名访问系统，其特征在于，包括：获取模块，其用于接收匿名用户在应用层发出的包含用户信息的证书签发请求之前，所述匿名用户在首次的访问时获取属性证书。

11.根据权利要求10所述的一种基于UCON模型用户匿名访问系统，其特征在于，所述获取模块具体用于：

匿名用户在应用层发出的首次证书签发请求，其中，所述首次证书签发请求包含匿名用户在证书的签发机构CA获得合法的PKC证书；

将所述首次证书签发请求发送至业务逻辑层；

所述业务逻辑层验证所述首次证书签发请求中包含的PKC证书是否合法，

若合法，则将所述首次证书签发请求发送至所述AA子层获取属性证书。

12.根据权利要求10所述的一种基于UCON模型用户匿名访问系统，其特征在于，所述获取模块具体用于：

所述AA子层根据所述首次证书签发请求验证所述用户身份是否合法，如果通过验证，则根据所述首次证书签发请求中的主体信息调用相应属性证书模板，根据PKC证书及所述首次证书签发请求中的用户请求信息设置证书信息和签名算法，生成属性证书，为之签名并发布到LDAP服务器中；

将所述属性证书返回至所述匿名用户。