一种基于属性的模糊访问控制计算方法

摘要

一种基于属性的模糊访问控制计算方法属于网络安全技术领域，特别是一种基于属性的模糊访问控制计算方法。本发明采用两级加权方式对对象及其属性分别赋予不同权值，然后基于模糊评判矩阵和加权平均模型进行综合评判，计算访问请求对授权策略的满足程度，最后基于模糊推理规则得出得到权限策略集合。本发明基于主体、资源、环境三类属性信息的不同权重，对访问控制的策略决策过程进行模糊处理，得到模糊授权策略集合，能够处理在访问请求信息部分满足评判条件下的访问控制授权问题，对于提升访问控制的完备性具有重要意义。

主权项

一种基于属性的模糊式访问控制方法，其特征在于，是在一个由互联网中的模糊式访问控制器和多个分布式策略执行处理器共同构成的模糊式访问控制服务系统中依次按以下步骤完成的：步骤(1)模糊式访问控制服务系统初始化：策略执行处理器，设有：XACML语言文件提供模块，模糊式访问控制器，设有：属性权限模块、策略决策模块以及权限策略库，其中：属性权威模块，设有：主体属性子模块、资源属性子模块和环境因素属性子模块，其中：主体属性子模块，设有：主体集合S，S＝{s₁，s₂，...，s_n，...，s_N}，n∈N，表示访问控制的主体，所述主体是指通过身份鉴定的访问请求者，n表示主体s的序号，N表示主体的数量；主体属性集合X，X＝{x₁，x₂，...，x_m，...，x_M}，m∈M，x_m是主体属性，至少包括身份、角色、年龄、邮政编码、常住地址、IP地址、雇员职位和已验证的公钥构架PKI证书，m是主体属性的序号，M是主体属性的数量；资源属性子模块，设有：资源集合O，O＝{o₁，o₂，...，o_g，...，o_G}，g∈G，o表示访问请求者需要访问的资源，至少包括数据、服务和系统设备，g是资源的序号，G是资源的数量；资源属性集合Y，Y＝{y₁，y₂，...，y_q，...，y_Q}，q∈Q，q∈Q，y是资源的属性，q是资源属性的序号，Q是资源属性的数量，资源属性至少包括资源的身份、标准资源地址URL、资源的大小和数值；环境因素属性子模块，设有：环境因素集合T，T＝{t₁，t₂，...，t_e，...，t_E}，e∈E，表示访问时的上下文环境影响因素，至少包括时间、条件和状态；环境因素属性集合Z，Z＝{z₁，z₂，...，z_v，...，z_V}，v∈V，z_v是环境属性，至少包括当前时间、日期、每日的时间段、安全级别和系统状态；策略决策模块，输入是所述策略执行处理器输入的授权请求，依次执行输入信息处理、权重调整建立评判矩阵，综合评判和模糊推理各步骤，输出是权限决策；设置访问请求信任度集合M＝{m₁，m₂，m₃，m₄}，分别表示“完全信任”、“强信任”、“弱信任”、“不信任”集合；权限策略库，设有：模糊授权策略集合P，P＝{p₁，p₂，p₃，p₄}，p∈P，依次表示完全授权策略集、强授权策略集、弱授权策略集和不授权策略集；根据对服务请求的综合评判结果，分配相应的授权策略；其中，一个策略库存储多条访问控制策略，每条策略可以包括多条规则，一条规则用于判定主体S能否在环境T下访问资源O，可表示成以S、O、T的属性为参数的函数，返回信任度值；Rule：can_access(s，o，t)←f(X，Y，Z)f(X，Y，Z)采用函数矩阵实现，其中子函数f_1‑1‑1(X₁，Y₁，Z₁)用于计算X₁，Y₁，Z₁的信任度，以此类推，f_m‑t‑v(X_m，Y_t，Z_v)用于计算X_m，Y_t，Z_v的信任度；我们需要建立m*t*v个信任度函数；看上去，计算很多，依次计算完成需要很长时间，但是，由于采用多个子函数实现信任度计算，并且，各子函数的信任度计算是完全独立的，因此，该信任度计算完全可以由多服务器并发完成计算，因此，计算时间约为通讯时间加上单一子函数最长的运行时间，这样就大大提高了信任度计算速度；同时，可以建立缓存机制，很多具有相同属性的计算，可以直接引用以前的结果，可以大大减少运算量；当判别的主体属性、资源属性、环境属性有变化时，只需要动态调整相关的信任度子函数，而无须考虑不相关的其他子函数；对于给定的S、O、T的所有属性值，如果函数的返回值为完全信任，则应该允许对资源进行访问，否则拒绝访问；分布式的评判函数矩阵可以解决信任度问题，但还是存在计算量较大，资源使用率高的现象；实际上，对所有的属性组合进行精确信任度计算是没有必要的，很多情况下，只需要进行部分的属性组合信任度计算就可以完成信任度评估的工作；因此，我们在最终进行信任度计算之前，设置评判因素集通过U＝{S，O，T}模糊算法筛选出部分属性参与计算，由于参与属性计算的属性减少，f(X，Y，Z)的子函数计算量也会相应的减少；采用模糊算法进行筛选，而不是精确匹配筛选，主要是因为属性众多，各属性组合之间的信任度相关性不适合用精确函数描述；对评判目标(访问请求信任度)的因素可分为2个层次，包括评判对象和评判对象属性级；即访问请求信任度受到主体、资源、环境三种评判因素的影响，而各个评判对象分别受到其属性的影响；步骤(2)①策略执行模块负责解析用户的访问请求，抽取其中的主体属性，并将授权请求和主体属性发送给策略决策模块；策略执行模块可以是分布在整个网络环境中多个位置，而且请求主体不能绕过策略执行模块而直接访问资源；②策略决策模块进行模糊策略判决，具体步骤如下：1)：输入信息处理；由于部分访问请求信息和策略信息不是数值形式，需要进行数据格式转换；转化为属性类型，属性名称，属性值的对象描述；例如，主体的职称属性值为：助理工程师、工程师、高级工程师、研究员，属性名称为“职称”，属性类型“文本”，属性值为“助理工程师、工程师、高级工程师、研究员”之一；同理，将环境属性和访问对象属性也都需要按标准输入信息进行处理；2)：属性筛选；通过分析输入数据，根据具体应用需求，对主体、资源、环境属性进行模糊筛选；3)：使用信任度函数进行信任度计算；首先获取筛选后的属性，进行对应的信任度计算，对于信任度值，再进行处理，得到访问许可值；例如，f_1‑1‑1(X₁，Y₁，Z₁)的x1是主体职称；y1是资源密级；z1是系统状态；系统状态分为系统闲和系统忙；则工程师系统闲时访问一个公开资料的信任度和系统忙时访问一个公开资料的信任度值是不一样的，综合考虑其他信任度函数的返回，平时可能允许工程师访问的资源，在系统忙时，可能限制工程师访问.f_1‑1‑1(X₁，Y₁，Z₁)最初可以人工初始化，在积累一定经验数据，可以根据经验数据调整信任度系数。