域间计算环境中授权管理研究与实现

论文摘要

Internet的出现和广泛应用使资源共享与访问从封闭、集中管理和相对静态的域内计算环境扩展到开放、分散自治和动态协作的域间计算环境,这种变化导致资源共享与资源访问过程中的特权管理、身份认证和授权决策等授权管理任务面临诸多挑战。作为应对上述挑战的主要安全技术,信任管理采用统一的机制描述和解释安全策略、凭证和主体间的信任关系,为域间授权管理提供了全新的思想和方法,成为现代访问控制领域的研究热点。目前信任管理技术处于发展初期,在理论与实践方面存在若干问题,主要表现为缺乏直观授权模型、特权传播可控制性不强、体系结构支撑力有限、应用集成能力欠缺。为解决这些问题,本文针对传统安全体系结构和现有信任管理系统的局限性,研究面向域间授权管理的体系结构,然后围绕策略描述、委派约束和凭证管理等核心问题进行深入研究和分析,并基于分布计算软件平台StarBus+实现了一个支持域间授权管理的中间件安全服务设施。本文的主要工作具体分为以下五方面:1.针对经典信任管理引擎体系结构的局限,提出一种面向域间资源共享与访问的分布式授权管理服务体系结构Diamant（Distributed inter-domain authorizationmanagement）。Diamant将授权活动划分为管理级和访问级,采用不同的特权模型有针对性的进行管理。Diamant将会话管理、凭证管理、环境评估和具有说明性语义的授权引擎等核心机制引入授权体系结构中,基于策略语言描述域间安全策略。Diamant具有良好的灵活性、可伸缩性、适应性和通用性,能够提供适应域间计算环境安全问题特点的策略描述和策略实施机制。2.提出一种基于委派的分布式授权模型DAM（Distributed AuthorizationModel）,采用权威委派和能力委派刻画管理级和访问级授权活动,并基于域边界标记刻画管理域的信任边界。基于无函数确定逻辑程序理论,提出一个基于角色的可扩展授权语言REAL（Role-based Extensible Authorization Language）及满足性检查算法C2A,并结合确定逻辑程序的不动点语义分析了C2A算法关于DAM的一致性和正确性。REAL能够以简洁的规则形式表达Diamant服务的多种授权策略,包括角色授权策略、角色权威委派策略、角色能力委派策略、分布属性策略等适用于域间授权管理的典型策略。3.委派可能导致特权的过度散播,从而影响信息系统的安全性。为充分利用委派机制的灵活性,同时减少委派可能导致的安全隐患,提出一种基于委派树的空间约束模型SCM（Spatial Constraint Model）,从委派中介、委派深度和委派目标三个方面控制特权传播,并据此提出受限委派系统模型CAS（Constrained Au-thorization System）。在REAL中扩展CAS模型并提出扩展语言REAL05,以控制管理级和访问级的委派策略中的特权传播。设计了REAL05的满足性检查算法C3A并严格分析了C3A算法关于CAS授权决策公理的可靠性和完备性,从理论上证明了REAL05与CAS的一致性和SCM模型本身的可行性。4.授权决策时凭证的可用性和一致性是提高信息系统可用性和降低安全风险的重要前提。本文提出一种面向REAL的凭证管理框架RCMF,从存储策略和获取策略两个维度构造凭证的分布式管理方法,据此提出凭证分布算法CSA和凭证撤销算法CRA,并设计了会话管理协议SMP以实现会话上下文中凭证的传递和获取。严格证明了CSA与SMP的结合能够确保凭证的完备性,CRA算法则能够有效实现凭证撤销的一致性。分析表明上述凭证管理方法同样适用于REAL05。5.基于上述研究,结合分布计算软件平台StarBus+提供的多种分布计算设施,设计并实现了一种基于中间件的域间安全服务StarDiamant,包括会话管理、凭证管理、环境评估、访问控制等多种安全机制,并基于传输层安全协议SSL实现了通信加密和身份认证。StarDiamant以策略驱动或者透明的方式为应用系统提供安全服务,应用组件无需关注安全问题,有助于授权逻辑与应用逻辑的分离,从而为安全系统集成、安全服务的快速部署提供了具有前景的解决方案。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 问题背景
• 1.1.1 域间计算环境
• 1.1.2 授权管理内涵
• 1.2 面临挑战
• 1.2.1 管理权威的分治性
• 1.2.2 访问请求的多级化
• 1.2.3 授权约束的多样性
• 1.2.4 授权凭证的分布化
• 1.3 历史与现状
• 1.3.1 传统访问控制
• 1.3.2 分布访问控制
• 1.3.3 分治信任管理
• 1.3.4 安全体系结构
• 1.4 研究内容
• 1.4.1 现有工作分析
• 1.4.2 研究方案概述
• 1.5 论文结构
• 第二章 相关工作
• 2.1 概述
• 2.2 传统访问控制
• 2.2.1 自主访问控制
• 2.2.2 强制访问控制
• 2.2.3 角色访问控制
• 2.3 分布访问控制
• 2.3.1 分布式身份
• 2.3.2 分布式能力
• 2.3.3 主体演算
• 2.3.4 属性证书
• 2.4 分治信任管理
• 2.4.1 PolicyMaker/KeyNote
• 2.4.2 SPKI/SDSI
• 2.4.3 DL/RT
• 2.4.4 Cassandra
• 2.5 安全体系结构
• 2.5.1 CORBASec
• 2.5.2 PERMIS
• 2.5.3 OASIS
• 2.5.4 Globus安全体系结构
• 2.6 小结
• 第三章 域间授权管理服务
• 3.1 概述
• 3.1.1 设计原则
• 3.2 基本概念
• 3.2.1 主体
• 3.2.2 特权
• 3.2.3 委派
• 3.2.4 凭证
• 3.3 Diamant体系结构
• 3.3.1 策略描述语言
• 3.3.2 会话服务
• 3.3.3 凭证服务
• 3.3.4 环境服务
• 3.3.5 传输层安全
• 3.4 授权引擎
• 3.4.1 基本要求
• 3.4.2 引擎结构
• 3.5 典型应用模式
• 3.6 相关工作比较分析
• 3.7 小结
• 第四章 分布授权模型及策略语言
• 4.1 概述
• 4.1.1 特权委派
• 4.1.2 角色范围
• 4.1.3 策略语言
• 4.2 分布授权模型
• 4.2.1 基本元素
• 4.2.2 授权系统
• 4.2.3 授权决策
• 4.3 策略描述语言
• 4.3.1 语法
• 4.3.2 满足性检查算法
• 4.4 策略语义
• 4.4.1 语义模型
• 4.4.2 决策查询
• 4.4.3 语义性质
• 4.4.4 计算复杂性
• 4.5 应用举例
• 4.5.1 角色授权
• 4.5.2 管理级委派
• 4.5.3 分布属性
• 4.5.4 静态访问级委派
• 4.5.5 动态访问级委派
• 4.6 引擎实现
• 4.7 相关工作比较分析
• 4.8 小结
• 第五章 委派约束模型
• 5.1 概述
• 5.1.1 深度约束
• 5.1.2 宽度约束
• 5.1.3 链式约束
• 5.1.4 其他约束
• 5.2 空间委派约束
• 5.2.1 委派路径
• 5.2.2 委派树
• 5.2.3 空间约束
• 5.3 受限授权系统
• 5.3.1 受限授权系统
• 5.3.2 安全委派路径
• 5.3.3 授权决策
• 5.4 受限委派策略
• 5.4.1 语法
• 5.4.2 算法C3A
• 5.4.3 语义性质
• 5.4.4 兼容性
• 5.5 应用举例
• 5.5.1 管理级受限委派
• 5.5.2 访问级受限委派
• 5.6 相关工作比较与分析
• 5.7 小结
• 第六章 分布式凭证管理
• 6.1 概述
• 6.1.1 凭证获取
• 6.1.2 凭证存储
• 6.1.3 凭证撤销
• 6.2 凭证管理框架
• 6.2.1 APush-SoAS策略
• 6.2.2 RPush-SS策略
• 6.2.3 RPush-IS策略
• 6.2.4 讨论
• 6.3 凭证管理算法
• 6.3.1 凭证存储算法
• 6.3.2 凭证撤销算法
• 6.4 会话管理协议
• 6.4.1 协议元素
• 6.4.2 协议流程
• 6.5 相关工作比较与讨论
• 6.6 小结
• 第七章 域间安全服务实现
• 7.1 概述
• 7.2 分布计算中间件StarBus+
• 7.2.1 体系结构
• 7.2.2 安全服务
• 7.3 StarDiamant体系结构
• 7.3.1 体系结构
• 7.3.2 权限模型
• 7.3.3 凭证模型
• 7.4 核心服务设计
• 7.4.1 授权管理服务
• 7.4.2 安全属性服务
• 7.4.3 访问控制服务
• 7.5 综合案例与性能分析
• 7.5.1 域间商务系统
• 7.5.2 性能分析
• 7.6 小结
• 结束语
• 致谢
• 参考文献
• 作者在学期间取得的学术成果