KR20080006157A

KR20080006157A - Env-rbac: dynamic access control for ubiquitous environment

Info

Publication number: KR20080006157A
Application number: KR1020060064954A
Authority: KR
Inventors: 박재근
Original assignee: 박재근; 중앙대학교 산학협력단
Priority date: 2006-07-11
Filing date: 2006-07-11
Publication date: 2008-01-16

Abstract

A method for controlling access in a ubiquitous environment based on an individual environment restrictive role of a user is provided to realize dynamic role activation supporting an individual environment to each user, shorten time needed for activating a role, and realize lower-power and small size fit for the ubiquitous environment. A model includes a one-to-many correspondence function relation between the users and the environments, a many-to-many correspondence function relation between the users and the roles, a real environment function related to between the user and a role structure, and a role structure tree. A role activation algorithm uses the role structure tree.

Description

Role-based access control method for user-specific environment constraints applicable in ubiquitous environment {Env-RBAC: Dynamic Access Control for Ubiquitous Environment}

도 1은 본 발명에 따른 유비쿼터스 환경에서 적용가능한 사용자의 환경 제약적인 역할기반 접근 통제 모델1 is an environment-constrained role-based access control model of a user applicable in a ubiquitous environment according to the present invention.

도 2는 본 발명에 따른 사용자의 환경 요소의 겹쳐지는 부분을 개별적인 환경 요소로 나누는 방법2 is a method of dividing an overlapping portion of a user's environment element into individual environment elements according to the present invention;

도 3은 본 발명에 따른 환경 지배적인 역할 구조 트리3 is an environmentally dominant role structure tree in accordance with the present invention.

유비쿼터스 환경의 사용자는 언제 어디서나 지속적인 서비스를 받기를 원하고, 서비스 제공자는 사용자가 현재 속해 있는 환경에 따라 서비스 접근의 허용 여부를 결정하고자 한다. 이러한 이유로 기존에 보안 모델로 적용되어 왔던 역할 기반 접근 통제 모델에 사용자의 환경 요소를 추가하는 연구가 제시되고 있다. 하지만, 이들은 사용자마다 개별화된 환경을 지원하지 못하고, 역할을 찾는데 있어서 연산 부담이 크다. The user of the ubiquitous environment wants to receive continuous service anytime and anywhere, and the service provider wants to determine whether to allow service access according to the environment in which the user belongs. For this reason, studies have been proposed to add the user's environmental elements to the role-based access control model that has been applied as a security model. However, they do not support a personalized environment for each user, and the computational burden is high in finding a role.

예를 들어, 하나의 서비스를 제공받는 데 있어서 어떤 사용자는 아침 9시부 터 11시까지 서비스를 제공받길 원하고 어떤 사용자는 오후 6시부터 8시까지 제공받길 원한다면, 사용자마다 역할을 활성화하는데 필요한 환경 요소가 다르다. 이러한 제약조건을 지원하기 위해 본 발명이 필요하다.For example, if a user wants to receive a service from 9 am to 11 pm and a user wants to be provided from 6 pm to 8 pm, a user needs to activate a role for each user. The elements are different. The present invention is needed to support this constraint.

기존의 역할 기반 접근 통제 모델은 사용자와 사용권한 사이에 역할 집합을 둠으로써 사용자와 역할, 역할과 사용권한 관계만 설정하도록 하여 사용자의 역할 할당만 바꾸면 사용권한 할당을 바뀔 수 있도록 고안되었다. 이후 이 모델에 동적인 제약조건을 추가한 DRP와 DRA 모델이 제시되었고, 이는 사용자의 환경 제약조건을 지원한다. The existing role-based access control model is designed to change the assignment of permissions by simply changing the user's role assignment by placing a set of roles between the user and the permissions. Later, DRP and DRA models that added dynamic constraints to the model were presented, which supports the user's environmental constraints.

따라서, 본 발명이 이루고자 하는 기술적 과제는 사용자마다 개별적인 환경을 지원하는 동적 역할 활성화, 역할 활성화 하는데 걸리는 시간의 단축, 유비쿼터스 환경의 장치에 맞는 저전력, 소용량을 제공하는 데 있다.Therefore, the technical problem to be achieved by the present invention is to provide a low power, small capacity for the dynamic role activation, shortening the time required to activate the role for each user, the device in the ubiquitous environment.

본 발명은 상기한 기술적 과제를 달성하기 위하여, 사용자의 개별적인 환경 제약요소를 새롭게 정의하고, 이 모델의 구성 요소인 사용자, 역할, 권한, 환경, 실제 환경 집합을 정의하고, 각 집합 간의 관계인 사용자 할당, 환경-사용자 할당, 역할-환경 할당, 역할 구조, 권한 할당, 세션을 정의한다. 그리고 역할 활성화 알고리즘이 제공된다. In order to achieve the above technical problem, the present invention newly defines individual environmental constraints of a user, defines a set of users, roles, privileges, environments, and actual environments, which are components of the model, and assigns users that are relationships between the sets. Define environment-user assignments, role-environment assignments, role structures, permission assignments, and sessions. And a role activation algorithm is provided.

본 발명 시스템의 바람직한 실시 예에 있어서, 사용자의 역할은 가족 역할, 가외 가족 역할, 개인적 역할, 학생 역할로 나뉘고, 서비스는 집 서비스, 가내 서 비스, 개인적 서비스, 교육 서비스로 나뉘고, 계약자는 가족, 개인, 학교로 나뉜다. In a preferred embodiment of the system of the present invention, the user's role is divided into family role, extra family role, personal role, student role, service is divided into home service, home service, personal service, education service, and contractor is family, It is divided into individual and school.

먼저 환경 제약 요소를 정의한다. 환경은 범위 제약들의 집합이다. 예를들면, 기간이나 위치 장소 같이 범위로 이루어진 요소들이다. 만일 범위 제약 1이 범위 제약 2를 덮고 있다면, 우리는 범위 제약 1은 범위 제약 2에 의해서 완전히 받아들여진다고 정의한다. 이에 대한 표기는 "

" 로 표현된다. 또한 범위 제약 1과 범위 제약 2의 교집합은 "

" 로 표현된다. 따라서 환경 1의 모든 요소인 범위 제약이 환경 2의 모든 요소인 범위제약을 덮고 있다면, 우리는 환경 1은 환경 2에 의해서 완전히 받아들여진다고 정의한다. 그리고 만일 환경 1의 어떤 요소 범위 제약이 환경 2의 어떤 요소 범위 제약의 교집합이 공집합이 아니라면, 환경 1과 환경 2는 교집합을 가진다고 말할 수 있다. First, define the environmental constraints. The environment is a set of range constraints. For example, elements that consist of ranges, such as periods or locations. If range constraint 1 covers range constraint 2, we define that range constraint 1 is fully accepted by range constraint 2. The notation for this is "

"The intersection of range constraint 1 and range constraint 2 is"

Therefore, if a range constraint that is all elements of environment 1 covers a range constraint that is all elements of environment 2, we define that environment 1 is fully accepted by environment 2. And if any element of environment 1 If range constraints are elements of environment 2 The intersection of range constraints is not empty, then environment 1 and environment 2 can be said to have intersections.

본 발명에서는 역할 활성화를 단순화하기 위해 어떤 환경 제약 요소든 서로 교집합을 가져서는 안 된다. 그러므로 겹쳐진 환경 제약 요소는 모두 교집합을 가지지 않도록 가장 작은 단위의 환경 요소로 분리한다. In the present invention, any environmental constraints should not intersect with each other to simplify role activation. Therefore, overlapping environmental constraints are separated into the smallest unit of environmental elements so that they do not all have an intersection.

본 발명에서 가장 중요한 부분인 환경제약적인 역할기반 접근통제 모델은 도1 에서 보여주고 있다. 도 1 을 보면서 설명하고자 한다.An environmentally constrained role-based access control model, which is the most important part of the present invention, is shown in FIG. It will be described with reference to FIG.

일단 이 모델의 구성 요소는 사용자 (100), 역할 (104), 환경 (105), 권한 (106), 실제환경 (101) 으로 이루어져 있다. 환경 (105)는 앞에서 정의한 환경 제약 요소의 집합을 뜻한다.The components of this model consist of user 100, role 104, environment 105, authority 106, and real environment 101. Environment 105 refers to the set of environmental constraints defined above.

각 함수 관계는 화살표로 표기되어 있고, 이중 화살표는 다 대응을 표현하고 있고, 단일 화살표는 일 대응을 표현하고 있다. Each functional relationship is represented by an arrow, a double arrow represents all correspondences, and a single arrow represents a correspondence.

본 발명에서 역할 할당 (S102)이 가장 중요한 함수 관계이다. 이는 역할과 환경의 다대다대응을 표현하고 있다. 즉 각 역할은 여러 환경 제약 요소에서 할당될 수 있고, 또 환경 제약 요소는 여러 역할에 할당될 수 있다. 역할 구조 (103)는 역할간의 관계에 상하가 있음을 표현하고 있다. 사용자-역할 할당 (S100)은 사용자와 역할간의 다대다대응을 표현하고 있다. 사용자는 여러 역할에 할당될 수 있고, 역할은 여러 사용자에 할당될 수 있다. 그러나 여기에는 사용자-환경 할당 (S101)이 추가됨으로써, 사용자가 특정 환경에 대응되었을 때 그에 맞는 역할을 할당 받는다는 조건이 추가된다. 역할-권한 할당 (S103)은 역할과 권한의 다대다대응을 표현하고 있다. 역할이 여러 권한에 할당되고, 권한이 여러 역할에 할당된다. 역할을 부여받은 사용자는 이 역할에 할당되어있는 권한을 가지게 되는 것이다.Role assignment (S102) is the most important functional relationship in the present invention. This expresses the many-to-many response of roles and environments. That is, each role can be assigned to several environmental constraints, and environmental constraints can be assigned to multiple roles. The role structure 103 expresses the relationship between roles. User-role assignment (S100) expresses the many-to-many correspondence between users and roles. Users can be assigned to multiple roles, and roles can be assigned to multiple users. However, by adding a user-environment assignment S101, a condition that a user is assigned a role corresponding to a specific environment is added. Role-authorization assignment (S103) represents the many-to-many response of roles and authorities. Roles are assigned to multiple privileges, and privileges are assigned to multiple roles. The user assigned the role will have the privileges assigned to this role.

예를 들면, 사용자가 현재 여러 환경 제약 요소 1,2,3 를 가지고 있다면, 환경 제약 요소 1,2,3 에 대응되는 역할 a,b,c,d,e를 사용자는 할당받게 되는 것이다. 이렇게 환경 제약 요소에 따라 역할을 할당받는 절차를 "역할 활성화"라고 한다. 결국에는 이렇게 활성화된 역할 a,b,c,d,e에 할당되어 있는 권한 A,B,C를 사용자는 가지게 되고, 이러한 권한을 가지고 서비스에 접근하게 되는 것이다.For example, if a user currently has several environmental constraints 1,2 and 3, the user is assigned roles a, b, c, d and e corresponding to the environmental constraints 1,2 and 3. This process of assigning roles based on environmental constraints is called "role activation." Eventually, the user has rights A, B, and C assigned to the activated roles a, b, c, d, and e, and the user has access to the service with these rights.

환경 (105)가 논리적 환경을 뜻한다면, 실제환경 (101)은 사용자의 실제 환경을 뜻한다.If environment 105 refers to a logical environment, then real environment 101 refers to the user's real environment.

예를 들면, 현재 시각이 오후 6시라면 실제환경(101)은 "오후 6시"이고, 환 경(105)은 "방과 후"가 되는 것이다. 실제환경(101)과 환경(105) 사이의 대응관계는 이 발명과 상관없는 조항이니, 다루지 않겠다.For example, if the current time is 6 pm, the real environment 101 is "6 pm" and the environment 105 is "after school." The correspondence between the real environment 101 and the environment 105 is a clause not related to this invention and will not be discussed.

앞서 설명한 역할 활성화를 위해서는 사용자의 환경에 따른 역할을 찾아야 하는 연산이 필요한데, 이를 줄이기 위해 새로운 역할 구조가 필요하다. 이는 도 2에 나타나있다.In order to activate the role described above, an operation that needs to find a role according to a user's environment is required, and a new role structure is required to reduce the role. This is shown in FIG.

도 2의 위 그림은 이전 역할 구조이고, 아래 그림은 발명한 구조이다. 이전의 역할 구조는 각 역할에 환경 요소가 할당되어 있고, 발명한 역할 구조는 환경 요소에 활성 역할이 할당되어 있다. 이렇게 함수관계를 바꿈으로써, 사용자의 환경 제약 요소가 결정되었을 때, 그게 할당되어 있는 역할을 찾는데 시간을 단축할 수 있다.The upper figure of Figure 2 is the previous role structure, the lower figure is the structure invented. In the previous role structure, an environment element is assigned to each role, and the invented role structure is assigned an active role to an environment element. By changing this functional relationship, when the user's environment constraints are determined, it saves time in finding the role to which it is assigned.

이상에서 살펴본 바와 같은 본 발명에 따른 유비쿼터스 환경에서 적용가능한 사용자의 개별적인 환경 제약적 역할 기반 접근 통제 방법은, 사용자마다 개별적인 환경요소를 정의할 수 있고 그에 따라 역할을 부여받음으로써 서비스에 접근할 수 있다. 또한 사용자의 환경이 변함에 따라 역할을 활성화하는데 걸리는 시간을 최소화 할 수 있고, 유비쿼터스 장치가 요구하는 저전력, 소용량을 실현할 수 있다.As described above, the user's individual environment-constrained role-based access control method applicable in the ubiquitous environment according to the present invention can define an individual environmental element for each user and access a service by being assigned a role accordingly. In addition, as the user's environment changes, the time required to activate the role can be minimized, and the low power and small capacity required by the ubiquitous device can be realized.

Claims

In the role-based access control method of user's individual environment constraints applicable in the ubiquitous environment,

One-to-many function relationship between user and environment;

Many-to-many function relations between users and roles;

Real environment function relationships between users and role structures;

Role structure tree; Model comprising a.

The method of claim 1,

Role activation algorithm using role structure tree.