CN113438216A

CN113438216A - 一种基于安全标记的访问控制方法

Info

Publication number: CN113438216A
Application number: CN202110661947.7A
Authority: CN
Inventors: 施卫忠; 朱涛; 董鹏; 季宏志; 齐胜
Original assignee: China Railway Information Technology Group Co ltd; China State Railway Group Co Ltd
Current assignee: China Railway Information Technology Group Co ltd; China State Railway Group Co Ltd
Priority date: 2021-06-15
Filing date: 2021-06-15
Publication date: 2021-09-24
Anticipated expiration: 2041-06-15
Also published as: CN113438216B

Abstract

本申请公开了一种基于安全标记的访问控制方法，该方法包括：接收来自网络的报文，读取所述报文中的安全标记信息，其中，所述安全标记信息包括安全级别字段、范畴字段、以及用于标识完整标记信息的标记索引字段，所述标记索引字段包括，用于标识业务应用的第一字段、以及用于标识业务应用上下文的第二字段，根据安全标记信息中的各个字段，进行检查，当通过检查时，则允许访问。本申请避免了传统访问控制中需要分别进行会话层、应用层、网络层的安全标记；利用标记索引，使得主客体完整标记信息与标记索引分离存储，减少了安全标记信息处理的复杂度，在不增加安全标记信息的复杂度的情形下，实现了多级安全。

Description

一种基于安全标记的访问控制方法

技术领域

本发明涉及网络安全领域，特别地，涉及一种基于安全标记的访问控制方法。

背景技术

在网络安全技术中，多级安全是指：允许信息系统具有存储不同敏感级(安全级)信息的能力；同一个系统中允许用户拥有不同的安全级和访问权限；如果用户没有一定的级别、权限或者自主访问的权力，则不允许用户访问信息。根据定义可将多级安全描述为：通过对主体、客体进行分级，分配安全标记，依据安全标记的比较结果确定主体的访问模式。其中：

主体是主动发起动作的实体，一般指进程；客体是主体发起动作的对象，一般指文档、图片等数据，也可以是进程；

安全标记代表与数据安全相关的属性，它标识了数据所采用的安全机制；数据的保密性与完整性是数据安全机制的两个重要方面，因此一般将安全标记分为保密性标记和完整性标记，保密性标记用于标识主客体机密性方面的属性，完整性标记用于标识主客体完整性方面的属性。

数据流与安全标记的绑定是使用安全标记的重要的步骤，鉴于数据流包括不同的种类，例如，至少包括有应用层、会话层、网络层等数据流，通常在网络层采用IPSO字段进行标记，在应用层和会话层采用不固定的结构数据进行描述。

参见图1所示，图1为用于网络层数据流的安全标记IPSO标记的一种示意图。在以太帧结构中，IP Option域包括有自定义标记字段，在该字段中包括有由安全级别(level)字段、范畴(category)字段组成安全标记字段。其中，范畴字段用于映射不同主机，换言之，主机可以用一个类别位图或多个类别位图的组合来定义。参见图2所示，图2为范畴字段包括的位序图的一种示意图。范畴字段中比特位序为从左到右，共240比特，每个字节的每个二进制位(置1)代表一个类别。按照这个原则，第0～29个字节中的第一个字节最高有效位(置1)代表Category 0；依此类推，第二个字节的最低有效位(置1)代表Category 15。所以，Category的范围为0～239，如图所示。如果用一个类别位图定义一台主机，则每个Level对应的主机最多有240台。一般来说，服务端主机是由多个类别位图的组合来定义，即其安全标记信息的Category字段包含多个类别位图。

对于应用层数据流，其安全标记一般在URL内进行标识，以用于说明应用层数据流对应的安全级别。在实际使用过程中，当应用层数据流到达目标主机时，由中间件或者数据库的安全模块利用应用层标记完成访问控制。

鉴于多级安全网络中访问控制保护面向应用层数据流和网络层数据流这两种客体，安全标记的绑定对象包括数据客体本身、以及网络传输数据流。目前基于安全标记的强制访问控制主要应用于操作系统内部，通过数据客体与安全标记的绑定，从而控制主体对客体的受限访问。

例如：

对于存储在磁盘、磁带等存储介质中的静态数据的访问控制，其数据操作的类型有两种：security和integrity,其中，security是与机密性相关的操作，一般是读，integrity是与完整性相关的操作，一般是写。

对于操作类型type为security的静态数据，当主体P所操作客体Q的类型type为security时，若主体P的机密性级别需高于客体，则主体P可以读取客体Q的数据，信息流由客体Q流向主体P，即Q→P；否则，可通过增加P的机密性等级、或者降低Q的机密性等级来使得主体P的机密性等级高于客体Q的机密性等级，这样，主体P或客体Q可以通过修改自身的机密性标记来完成访问。

对于操作类型type为integrity的静态数据，当主体P所操作客体Q的类型type为integrity时，主体P的完整性等级需低于客体Q的完整性等级。当条件满足时，主体P可以向客体Q中写入数据，信息流由主体P流向客体Q，即P→Q。当条件不满足时，可通过降低P的完整性等级、或者增加Q的完整性等级来满足主体P的机密性等级高于客体Q的机密性等级，这样，主体P或客体Q可以通过修改自身的完整性标记来完成访问。

目前，国内对等级保护的研究大多集中在主机的操作系统层面，特别是在应用层的安全标记、网络数据流的安全标记绑定、区域边界访问控制等方面，对等级保护的支持研究很少。此外，网络层和应用层标记信息不统一，导致网络层和应用层标记信息不匹配，造成在实际使用过程中复杂度高，有些情况下不得不放松约束要求，放宽控制条件。

发明内容

本发明提供了一种基于安全标记的访问控制方法，以解决网络层数据流的多级安全。

本发明提供的一种基于安全标记的访问控制方法，该方法包括：

接收来自网络的报文，读取所述报文中的安全标记信息，其中，所述安全标记信息包括安全级别字段、范畴字段、以及用于标识完整标记信息的标记索引字段，

根据安全标记信息中的各个字段，进行检查，

当通过检查时，则允许访问。

较佳地，所述标记索引字段包括，用于标识业务应用的第一字段、以及用于标识业务应用上下文的第二字段，

所述根据安全标记信息中的各个字段，进行检查，包括：

根据标记索引字段中的第一字段，检查该报文和业务应用的对应关系，根据标记索引字段中的第二字段，检查该报文和业务应用逻辑的对应关系，

当该报文与业务应用对应、且与业务应用逻辑对应时，则判断该报文是否进入业务应用，当需要进入业务应用时，则

根据标记索引字段，在完整标记数据库中查找标记索引对应的完整标记信息，

当所查找到的完整标记信息与客体匹配时，允许访问所述客体。

较佳地，所述根据安全标记信息中的各个字段，进行检查，还包括：

当所述报文不需要进入业务应用时，则访问所述客体。

如果报文与业务应用和/或业务应用逻辑不对应，和/或，

在完整标记数据库中未查找到标记索引对应的完整标记信息，和/或，

所查找到的完整标记信息与访问客体不匹配，

则丢弃所述报文。

较佳地，所述根据标记索引字段，检查该报文和业务应用的对应关系之前，还包括：

根据安全标记信息，判断所述报文的格式是否符合定义，如果不符合则丢弃该报文，如果符合，则

根据安全级别字段，判断所述报文是否满足对客体进行访问的安全级别，如果是，则根据范畴字段进行范畴检查，

当范畴检测通过时，则执行所述根据标记索引字段，检查该报文和业务应用的对应关系的步骤，否则，则丢弃该报文。

较佳地，所述完整标记信息包括，

主体完整标记信息以及客体完整标记信息，

所述主体完整标记信息包括，主体安全级别信息，基础信息，扩展信息，以及标记索引；其中，所述基础信息包括主体类型、用于存储主体进程或者用户的签名认证信息的签名信息、以及用于表示主体可访问客体范围的客体范围，所述扩展信息包括，用于表示主体由哪个用户最开始创建、以及上次修改的用户信息的所属人、以及用于记录主体被修改的时间信息的时间戳，

所述客体完整标记信息包括，客体安全级别信息，基础信息，扩展信息，以及标记索引；其中，所述基础信息包括客体类型、用于存储客体签名信息的签名信息、以及用于表示客体允许被哪些主体访问的客体范围，所述扩展信息包括，用于表示客体由哪个主体最开始创建、和上次修改的主体信息的所属人、用于记录客体被修改的时间信息的时间戳、以及用于表示客体在多长时间后可以被抛弃或降级的保存周期。

本发明还提供一种基于安全标记的访问控制装置，该装置包括，

资源保护单元，用于接收来自网络的报文，读取所述报文中的安全标记信息，其中，所述安全标记信息包括安全级别字段、范畴字段、以及用于标识完整标记信息的标记索引字段，

根据安全标记信息中的各个字段，进行检查，

当通过检查时，则允许访问。

所述资源保护单元包括，

标记索引检查模块，用于根据标记索引字段中的第一字段，检查该报文和业务应用的对应关系，根据标记索引字段中的第二字段，检查该报文和业务应用逻辑的对应关系，

完整标记信息获取模块，用于当该报文与业务应用对应、且与业务应用逻辑对应时，则根据标记索引字段，在完整标记数据库中查找标记索引对应的完整标记信息，

匹配模块，用于当所查找到的完整标记信息与访问客体匹配时，允许访问所述客体。

较佳地，所述资源保护单元还包括，

格式检查模块，用于根据安全标记信息，判断所述报文的格式是否符合定义，如果不符合则丢弃该报文；

安全级别检查模块，用于根据安全级别字段，判断所述报文是否满足对客体进行访问的安全级别，如果不满足，则丢弃该报文；

范畴检查模块，用于根据范畴字段，对所述报文进行范畴检查。

本发明又提供一种计算机可读存储介质，所述存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现任一所述基于安全标记的访问控制方法的步骤。

本发明提供的基于安全标记的访问控制方法，通过在安全标记信息中增加标记索引，并利用该标记索引进行访问控制，避免了传统访问控制中需要分别进行会话层、应用层、网络层的安全标记；并且，通过采用本申请的安全标记，实现了多个层面的映射关系，应用逻辑和标记索引绑定，实现了不同层标记信息在同一层的映射，达到了安全标记全面使用的效果；利用标记索引，使得主客体完整标记信息与标记索引分离存储，减少了安全标记信息处理的复杂度，在不增加安全标记信息的复杂度的情形下，实现了多级安全。

附图说明

图1为用于网络层数据流的安全标记IPSO标记的一种示意图。

图2为范畴字段包括的位序图的一种示意图。

图3为本申请基于安全标记的访问控制方法的一种流程示意图。

图4为本申请IPSO标记结构的一种示意图。

图5为完整标记信息的处置范围的一种示意图。

图6为运行于终端和/或服务器内部的代理程序在主体访问客体时进行访问控制的一种流程示意图。

图7为本申请访问控制装置的一种示意图。

具体实施方式

为了使本申请的目的、技术手段和优点更加清楚明白，以下结合附图对本申请做进一步详细说明。

本申请基于安全标记的访问控制方法，所述安全标记字段中包括有用于标识完整标记信息的标记索引字段，其中，第一字段用于标识业务应用，第二字段用于标识业务应用的上下文，这样，网络层数据流在未进入计算环境时，例如网络传输阶段，可利用标记索引字段进行访问控制，在业务应用运行阶段，当需要对安全标记信息进行读取使用时，可利用标记索引在完整标记信息数据库中查询到对应的完整标记信息，从而利用完整标记信息实现访问控制。

参见图3所示，图3为本申请基于安全标记的访问控制方法的一种流程示意图。该访问控制方法包括，

步骤301，接收来自网络的报文，读取所述报文中的安全标记信息，其中，所述安全标记信息包括安全级别字段、范畴字段、以及用于标识完整标记信息的标记索引字段，所述标记索引字段包括，用于标识业务应用的第一字段、以及用于标识业务应用上下文的第二字段，

步骤302，根据安全标记信息中的各个字段，进行检查，

步骤303，判断是否通过检查，如果是，则允许访问，否则，丢弃该报文。

为便于理解本申请，以下以IPSO标记结构为例来进行说明。

参见图4所示，图4为本申请IPSO标记结构的一种示意图。在以太帧结构中，IPOption域包括有自定义标记字段，在该字段中包括有由安全级别(level)字段、范畴(category)字段、以及标记索引字段组成安全标记字段。其中，范畴字段为28字节，对应有224比特；标记索引字段为16比特，前8比特为用于标识业务应用的第一字段，后8比特为用于标识业务应用的上下文第二字段，例如，业务应用A包括多个业务逻辑，每个业务逻辑分别进行标识，业务应用A的业务逻辑需要多个步骤，每个步骤分别进行标识。如下表1所示，业务应用A的某逻辑用0x02标识，该逻辑包括了4个步骤，0x020x01～0x020x04分别为标记索引。

表1：

应用	逻辑
		应用A 0x02逻辑	读0x01
	写0x02
			读0x03
	写0x04
		应用A 0x04逻辑	读0x03
	读0x01
			写0x02

标记索引对应了完整标记信息的摘要，完整标记信息包含主体标记和客体标记，主体标记和客体标记略有不同，下面分别介绍。

如下表2所示，主体完整标记包含四部分，第一部分是安全级别，第二部分是基础信息，第三部分是扩展信息，第四部分是标记索引。

表2：

其中：

安全级别用于表示主体的安全级别，安全级别可以设定保密性和完整性两个方面，其中保密性代表了主体的保密级别，完整性代表了主体的完整级别，也就是执行权限；

主体类型用于表示主体是一个独立的进程，或者是一个单独的用户；

签名信息用来存储主体进程或者用户的签名认证信息，用于判断进程是否被篡改，或者用户是否被假冒；

客体范围表示主体可以用来访问的客体范围，比如安全级别覆盖的范围，根据范畴字段判断可以访问客体的范围；

扩展信息主要包括两部分，第一部分是所属人，用于表示该主体由哪个用户最开始创建的，以及上次修改的用户信息；第二部分是时间戳，用来记录主体每次被修改的时间信息。

如下表3所示，客体的完整标记信息包括四部分，第一部分是安全级别，第二部分是基础信息，第三部分是扩展信息，第四部分是标记索引。

表3：

其中：

安全级别代表了客体的安全级别，安全级别可以设定保密性和完整性两个方面，其中保密性代表了客体的保密级别，完整性代表了客体的完整级别，也就是可以被哪些权限的主体执行；

客体类型代表客体是一个独立的数据、一个文件或者一个片段数据等信息；

签名信息用来存储客体签名信息，用于判断客体是否被篡改；

主体范围表示客体可以被哪些主体访问；

扩展信息主要包括三部分，第一部分是所属人，用于表示该客体由哪个主体创建的，以及上次修改的主体信息；第二部分是时间戳，用来记录客体每次被修改的时间信息；第三部分是保存周期，用于表示客体在多长时间后可以被抛弃或降级。

参见图5所示，图5为完整标记信息的处置范围的一种示意图。完整标记信息可以导入内存并通过外部查询，在网络传输过程中，并不需要完整标记信息，所以仅在于计算环境内部(终端和/或服务器内部)需要完整标记信息，这样，利用标记同步手段将完整标记同步到各个不同的处理单元，从而使得整个标记策略可以分布于整个网络区域。

参见图6所示，图6为运行于终端和/或服务器内部的代理程序在主体访问客体时进行访问控制的一种流程示意图。代理程序接收到来自网络的请求报文后，该访问控制包括：

步骤601，读取请求报文中的安全标记信息，进行格式检查，判断安全标记格式是否符合定义，如果符合，则执行步骤602，否则，判定安全标记格式出现异常，丢弃该请求报文，

步骤602，根据安全标记中的安全级别字段信息，进行级别判断，以检查是否可以对客体进行访问，

当安全级别字段信息高于客体的安全级别，则判定可以访问客体，执行步骤603，否则，丢弃该请求报文，

步骤603，根据安全标记中的范畴字段进行范畴检查，以确定可以访问客体的范围，

如果客体属于可以访问客体的范围，则判定通过范畴检查，执行步骤604，否则，丢弃该请求报文，

步骤604，根据标记索引字段，检查该访问请求和业务应用、以及业务应用逻辑的对应关系，鉴于标记索引字段包含有业务应用和业务应用的上下文，故而无需深入判断应用层标记信息，只需根据标记索引字段中的第一字段判断访问请求是否与业务应用对应、根据第二字段判断是否与业务逻辑对应即可。

当访问请求和业务应用对应、访问请求和业务应用逻辑对应时，执行步骤605，否则，丢弃该请求报文。

在该步骤中，当请求报文不需要进入业务应用时，例如，请求报文仅被传输时，则可根据标记索引字段中的第一字段，检查该访问请求和业务应用的对应关系。

步骤605，判断该请求报文是否需要进入业务应用，如果不需要，则直接访问客体，否则，执行步骤606，

步骤606，根据标记索引字段，在完整标记数据库中查找标记索引对应的完整标记信息，

如果查找到对应的完整标记，则提取完整标记信息，以完成应用层完整标记的提取，然后执行步骤607。

否则，丢弃该请求报文；

步骤607，根据查找到的完整标记信息，判断该请求报文是否与访问客体匹配，如果匹配，则允许访问客体，如果不匹配，则丢弃该请求报文。

所述匹配系指请求报文的完整标记满足客体的完整标记信息的要求。

本申请的访问控制方法，将业务应用访问过程通过语义上下文进行抽象逻辑转化，在网络IP层的安全标记进行映射，同时采用标记索引和完整标记信息进行对应，当需要进行完整标记时，通过标记索引在完整标记信息库中进行查找并提取，从而不需要使用应用层标记便完成应用层完整标记的提取。这样，只要处理安全标记中的标记索引，便可完成多个标记信息的处理，在不降低安全要求的前提下有效提高了运行效率，简化了实施流程。

参见图7所示，图7为本申请访问控制装置的一种示意图。该装置包括，资源保护单元，用于接收来自网络的报文，读取所述报文中的安全标记信息，其中，所述安全标记信息包括安全级别字段、范畴字段、以及标记索引字段，所述标记索引字段包括，用于标识业务应用的第一字段、以及用于标识业务应用上下文的第二字段，

根据安全标记信息中的各个字段，进行检查，

当通过检查时，则允许访问。

所述资源保护单元包括，

范畴检查模块，用于根据范畴字段，对所述报文进行范畴检查；

标记索引检查模块，用于根据标记索引字段，检查该报文和业务应用的对应关系，

完整标记信息获取模块，用于当该报文与业务应用对应时，则根据标记索引字段，在完整标记数据库中查找标记索引对应的完整标记信息，

本发明实施例还提供了一种计算机可读存储介质，所述存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述基于安全标记的访问控制步骤。

对于装置/网络侧设备/存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种基于安全标记的访问控制方法，其特征在于，该方法包括：

根据安全标记信息中的各个字段，进行检查，

当通过检查时，则允许访问。

2.如权利要求1所述的访问控制方法，其特征在于，所述标记索引字段包括，用于标识业务应用的第一字段、以及用于标识业务应用上下文的第二字段，

所述根据安全标记信息中的各个字段，进行检查，包括：

3.如权利要求2所述的访问控制方法，其特征在于，所述根据安全标记信息中的各个字段，进行检查，还包括：

当所述报文不需要进入业务应用时，则访问所述客体。

4.如权利要求2或3所述的访问控制方法，其特征在于，所述根据安全标记信息中的各个字段，进行检查，还包括：

如果报文与业务应用和/或业务应用逻辑不对应，和/或，

所查找到的完整标记信息与访问客体不匹配，

则丢弃所述报文。

5.如权利要求2或3所述的访问控制方法，其特征在于，所述根据标记索引字段，检查该报文和业务应用的对应关系之前，还包括：

6.如权利要求1所述的访问控制方法，其特征在于，所述完整标记信息包括，

主体完整标记信息以及客体完整标记信息，

7.一种基于安全标记的访问控制装置，其特征在于，该装置包括，

根据安全标记信息中的各个字段，进行检查，

当通过检查时，则允许访问。

8.如权利要求7所述的访问控制装置，其特征在于，所述标记索引字段包括，用于标识业务应用的第一字段、以及用于标识业务应用上下文的第二字段，

所述资源保护单元包括，

9.如权利要求7所述的访问控制装置，其特征在于，所述资源保护单元还包括，

10.一种计算机可读存储介质，其特征在于，所述存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6任一所述基于安全标记的访问控制方法的步骤。