基于策略的访问控制关键技术研究

论文摘要

访问控制是支撑信息系统安全的一项重要技术,广泛应用于各种系统安全防护中。目前已有的访问控制技术由于其约束条件配置管理的局限性和执行机制的约束,在会话管理的灵活性、适应性及综合化控制方面存在很大的不足,因此探讨具有新型控制机制的访问控制方法具有十分重要的理论和实际意义。从保证系统会话请求控制的适应性、灵活性和多策略支持特性这一角度出发,初步构建了一个基于安全策略的访问控制模型PBAC（Policy-based Access Control）。该模型分基本模型和扩展模型。在基本模型中,为增强会话实体管理的适应性,采用了可重构对象描述技术对会话实体实施统一管理。同时,基本模型取消了对会话主体的权限配置,改变了根据主体拥有的权限来约束会话请求的基本访问控制模式,统一建立了会话相关属性描述,实现了会话特性的全面约束管理。此外,基本模型还改变了现有访问控制模型通过权限等约束条件间接描述策略的模式,制定了独立的策略描述和管理机制,实现了访问控制策略的灵活管理,提高了模型的多策略支持能力。以基本模型为基础,构建了PBAC的扩展模型。论述了扩展模型的会话实体和行为内在的逻辑特点,给出了扩展模型中逻辑关系的描述和管理机制,讨论了模型中实体要素间的分组关系、继承关系、约束关系和依存关系等对访问控制管理机制的影响。给出了PBAC模型在移动代理系统中的应用机制。从策略的可用性、灵活性以及描述的一致性角度出发,制定了基于XML（ Extensible Markup Language ）的访问控制策略描述语言规范XBACPL（XML-based Access Control Policy Language）,并以会话实体、行为等要素为基础构建了XBACPL的基本策略,给出了基本策略的分类定义和描述方法。在此基础上,结合元建模理论拟定了XBACPL的元策略管理机制,建立了访问控制策略内部的逻辑关系。此外,针对XBACPL的可用性和一致性要求,描述了满足这些要求的策略管理算法。结合MAS（Mobile Agent System）的特点,讨论了PBAC在MAS中的应用模型。同时,构建了基于策略的网络安全防护框架,在该框架下结合网络层访问控制的特点,开发了一个PBAC的网络安全防护应用原型。原型系统包含一个访问控制实体、属性及策略的配置管理工具,同时在网络驱动层NDIS上实现对网络数据包基于策略规则的过滤。通过原型系统的建立,验证了PBAC模型的灵活性、扩展性和多策略支持特性。通过对基于策略的访问控制相关问题研究,取得了若干具理论价值和实用价值的研究成果,为进一步研究基于策略的访问控制及其实用系统奠定了理论和方法基础。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 概述
• 1.2 国内外研究现状
• 1.2.1 访问控制技术研究现状
• 1.2.2 安全策略研究现状
• 1.3 课题研究的意义、内容及目标
• 2 相关理论及技术基础
• 2.1 访问控制模型
• 2.1.1 传统访问控制模型
• 2.1.2 综合化访问控制模型
• 2.1.3 基于策略的访问控制
• 2.2 安全策略
• 2.2.1 策略定义
• 2.2.2 策略描述
• 2.2.3 策略求精推理
• 2.2.4 策略冲突处理
• 2.2.5 策略管理及应用
• 2.3 本章小结
• 3 PBAC 的基本模型
• 3.1 基本模型定义
• 3.2 模型描述基础
• 3.2.1 系统描述
• 3.2.2 可重构对象描述
• 3.3 会话及属性
• 3.3.1 会话描叙
• 3.3.2 属性描述
• 3.4 访问控制策略
• 3.4.1 策略的一般性特征
• 3.4.2 策略的形式化描述
• 3.4.3 策略的分类定义
• 3.5 会话决策与执行
• 3.5.1 决策规则
• 3.5.2 决策配置
• 3.5.3 决策算法
• 3.5.4 执行流程
• 3.6 模型管理机制
• 3.6.1 组成结构
• 3.6.2 配置管理
• 3.7 本章小结
• 4 PBAC 的扩展模型及实现特点
• 4.1 扩展模型定义
• 4.2 逻辑关系描述
• 4.2.1 分组关系
• 4.2.2 继承关系
• 4.2.3 约束关系
• 4.2.4 依存关系
• 4.3 访问控制机制扩展
• 4.3.1 逻辑规则
• 4.3.2 管理机制的扩展
• 4.3.3 决策与执行机制的扩展
• 4.4 PBAC 模型实现特点
• 4.4.1 实体描述的适应性管理
• 4.4.2 约束条件的全面控制
• 4.4.3 策略的独立管理
• 4.4.4 逻辑关系的管理
• 4.4.5 历史信息控制
• 4.5 本章小结
• 5 策略描述语言
• 5.1 XBACPL 的基本策略描述
• 5.1.1 组成要素
• 5.1.2 策略描述
• 5.2 XBACPL 逻辑关系
• 5.2.1 分组与继承关系
• 5.2.2 约束关系
• 5.2.3 依存关系
• 5.3 XBACPL 的元策略描述
• 5.3.1 相关研究
• 5.3.2 元策略管理
• 5.3.3 元策略模型
• 5.3.4 元策略的描述
• 5.4 本章小结
• 6 策略的可用性和一致性管理
• 6.1 策略可用性求精算法
• 6.1.1 策略分层管理
• 6.1.2 求精算法思想
• 6.1.3 逐级求精算法
• 6.1.4 算法的实现及验证
• 6.2 策略的一致性冲突处理
• 6.2.1 相关研究
• 6.2.2 冲突类型定义
• 6.2.3 冲突检测算法及验证
• 6.2.4 冲突处理方法
• 6.3 本章小结
• 7 PBAC 的应用及原型实验
• 7.1 基于PBAC 的MAS 应用模型
• 7.1.1 基于PBAC 的MAS 管理框架
• 7.1.2 MAS 中基于策略的访问控制机制
• 7.2 基于PBAC 的网络应用及原型实现
• 7.2.1 基于策略的网络安全防护框架
• 7.2.2 网络层基于PBAC 的应用原型
• 7.3 PBAC 模型性能分析
• 7.3.1 灵活性
• 7.3.2 可扩展性
• 7.3.3 多策略支持特性
• 7.4 本章小结
• 8 全文总结与展望
• 8.1 全文工作总结
• 8.2 研究与展望
• 致谢
• 参考文献
• 附录1 攻读博士学位期间发表论文
• 附录2 英文缩写词