[發明專利]一種基于XACML的可驗證的云訪問控制方法

有效

• 申請號: 201310057624.2
• 申請日: 2013-02-22
• 公開（公告）號: CN104009959B
• 公開（公告）日: 2017-06-27
• 發明（設計）人: 張立武;司曉琳;馮登國;王鵬翩;高志剛;黃杜煜
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04W12/06
• 代理公司: 北京君尚知識產權代理事務所(普通合伙)11200
• 代理人: 余長江

技術領域

本發明屬于信息安全中的訪問控制領域，具體涉及一種云計算環境下，云端的訪問控制決策結果可驗證的訪問控制方法。

背景技術

隨著物聯網的發展，傳感器節點采集的環境數據日益豐富，同時環境中存在大量的敏感區域和隱私區域，WSN所采集到的環境數據也就包含敏感數據和隱私數據，如何保證這些數據不被非法用戶訪問，對用戶的訪問行為進行控制，是物聯網應用必須解決的安全問題之一。當前WSN對數據的訪問控制通常部署在安全網關，為用戶提供對環境數據的受限的訪問服務，這種方式有一定的局限性，首先它無法阻止敵手對傳感器節點的入侵及數據篡改等攻擊，其次未來的物聯網應用將大部分是基于觀測者觸發，比如單兵作戰或環境檢測信息查詢，用戶需要直接對傳感器節點進行訪問，顯然這種方式不能滿足直接對傳感器節點進行控制的需求。因此物聯網的安全要求將訪問控制部署在傳感器節點。然而一方面WSN中無線傳感器節點的計算能力，存儲能力等都及其有限，使得其無法支持復雜的傳統的訪問控制方案，另一方面，隨著物聯網應用的發展，出現節點跨管理域和跨應用的資源訪問需求，訪問控制系統難以在傳感器節點完成訪問控制決策過程及策略存儲過程。

將計算能力有限的傳感器節點的訪問控制決策過程作為服務轉移到云服務器，將極大的提高訪問控制的效率，實現策略復雜的訪問控制，提升服務的靈活性，實現物聯網對傳感器節點的安全控制目標，因此云訪問控制服務是一大趨勢。然而直接將訪問控制引擎配置在云服務器不一定能實現訪問控制服務化的目標，當前云計算存在大量安全風險并不完全可信，云平臺可能會做出錯誤的決策結果，因此云訪問控制服務的用戶需要對決策的結果進行驗證。

解決云計算可驗證問題的技術主要有四類：一是基于計算復雜性理論的研究，針對通用計算的可驗證性，如Goldwasser等人從計算復雜性角度提出的高效的知識證明系統對外包計算的結果進行驗證的方案；二是基于一般可驗證模型的研究，利用密碼學技術，結合可證明安全理論進行研究，如Gennaro以及Chung等人利用全同態加密技術，通過對計算信息的隱藏來對最終的計算結果進行驗證，Parno等人使用新型的基于屬性的加密技術(ABE，Attribute-Based Encryption)，利用支持非單調訪問結構的KP-ABE(Key-Policy ABE)方案構造了一個較為高效的對任意布爾函數計算結果進行驗證的方案；這兩類技術由于構造復雜，計算量大而難以在實際中應用。三是基于可信計算技術的研究，利用可信芯片來保證計算環境的可信性，這種技術由于與硬件緊密相關且計算代價較高，而不適用于云環境；四是基于仲裁游戲模型的研究，例如Ran等人基于Feige等人提出的RG(Refereed Games)模型，將任意計算轉換為一個特定的圖靈機，通過對圖靈機的輸出進行比較來實現對計算結果的高效驗證。

RG模型

Feige等人從計算復雜性角度出發，為降低知識證明的復雜度提出了RG模型。在該模型中，兩個具有無限計算能力的游戲者(player)向一個計算能力受限的仲裁者(referee)發送兩個相反的計算結果，仲裁者決策哪一個游戲者的計算結果是正確的。該模型要求在每一次運行過程中至少有一個游戲者是誠實的，但該信息對于仲裁者是未知的。

當前物聯網環境檢測采用在不同的云平臺上運行訪問控制系統的方式來保證訪問控制決策的可靠性和安全性，RG模型可以用于該環境下雙云的可驗證訪問控制服務中，通過高效的驗證保證訪問控制決策結果的可靠性。計算能力受限的傳感器節點相當于RG模型中的仲裁者，計算能力無限的云相當于RG模型中的游戲者，資源節點將訪問控制請求發送給兩個云，雙云同時運行訪問控制過程，兩云同時出現訪問控制決策錯誤的概率是很小的，因此能夠以較大的概率保證每次運算中至少有一個云返回的結果是正確的，資源節點通過較小的驗證代價即可得到可靠的訪問控制決策結果。

XACML策略及其決策過程

XACML策略語言是當前訪問控制策略的較為通用的語言，它采用樹狀分層嵌套結構定義訪問權限，其中包含三種類型的策略元素：規則Rule、策略Policy、策略集PolicySet。這三個核心策略元素的層次關系呈現樹形結構。Rule是策略元素的最小單位，也是策略樹的葉子節點，它定義了主體對客體執行的操作的授權值。Policy和PolicySet是兩種策略容器，它們是獨立的嵌套式結構，可以作為策略樹的根節點，PolicySet可以包含若干Policy和其他PolicySet，Policy則由若干Rule組成。

XACML語言規定了4種規則/策略組合算法計算最終的評估結果，典型算法包括：