[發明專利]一種細粒度強制訪問的控制設計方法

有效

• 申請號: 201310279692.3
• 申請日: 2013-07-04
• 公開（公告）號: CN103312722B
• 公開（公告）日: 2017-02-08
• 發明（設計）人: 張紅斌;丁任霜;王超;裴慶祺;沈玉龍;王艷霞;王美華;顧振普;卿薈知
• 申請（專利權）人: 河北科技大學;西安電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京科億知識產權代理事務所(普通合伙)11350
• 代理人: 湯東鳳

1.一種細粒度強制訪問的控制設計方法，其特征在于，所述方法包括以下步驟：

（1）使用RBAC設計系統組件的細粒度訪問控制策略；

（2）使用解析模塊將所有系統組件的細粒度訪問控制策略解析，合并為全面覆蓋系統訪問控制策略的訪問控制規則集合；

（3）利用訪問控制規則集合反向構造訪問規則主體和客體的層級偏序結構，實現設計系統的強制訪問控制策略。

2.根據權利要求1所述的細粒度強制訪問控制設計方法，其特征在于，所述以RBAC模型作為系統功能組件訪問控制策略的設計平臺，包括引入平臺情境、空間上情境、時間情境和用戶情境等多種環境因素設計具有環境感知能力的資源訪問控制策略和方法，并通過環境因素構成的約束條件實現針對每個用戶的細粒度控制，其中包括

用戶應用根據自己的功能獲得系統用戶角色，但是在一次會話中真正能夠使用的系統訪問權限最終由兩個情境約束約束條件決定：由用戶角色激活環境約束條件決定哪些用戶角色在一次會話中能夠被激活；由訪問權限情境約束條件決定被激活用戶角色的哪些權限在會話中真正可以操作，兩個環境約束條件的引入將訪問控制決策與用戶資源訪問的實時狀態關聯起來，實現了動態的差異化的細粒度RBAC訪問控制策略。

3.根據權利要求1所述的細粒度強制訪問控制設計方法，其特征在于，將系統中所有功能模塊的細粒度RBAC訪問控制策略解析為：用戶→資源，約束條件的形式訪問控制規則，形成覆蓋整體信息系統的細粒度訪問控制策略的規則集合，其中包括

選擇一個系統功能模塊的用戶角色映射表，選擇一條記錄user_i→rule_j，從角色權限映射表中選擇所有與角色rule_j相關的訪問控制權限{role_j→resource_k}，k=1，2，3，4……，生成用戶user_i所有可用權限,即訪問控制規則集合{user_i→resource_k},k=1，2，3，4……，遍歷系統所有功能模塊的用戶角色映射表，形成覆蓋整體信息系統訪問控制策略的細粒度訪問控制規則集合。

4.根據權利要求1所述的細粒度強制訪問控制設計方法，其特征在于，利用信息系統的細粒度訪問控制規則集合反向構建細粒度的強制訪問控制策略，其中包括

（1）根據細粒度訪問控制規則集合，構建細粒度強制訪問控制策略所需的層級偏序結構：

將訪問控制規則集合{user→resource}中所有的訪問對象（主體）和被訪問對象（客體）均視為節點；掃描集合{user→resource}，選取不可被其他節點訪問的user節點作為圖3層級偏序結構的根節點；將可以被user節點訪問但無法被其他節點訪問的節點作為user的葉子節點，將訪問規則中蘊含的約束條件作為葉子節點的屬性存儲在葉子節點中；

以廣度優先的方式處理user的葉子節點，同樣掃描集合{user→resource}中的訪問控制規則，將可被當前節點訪問，但不能被當前節點的父節點集合訪問的節點作為當前節點的葉子節點插入到偏序結構中，并處理訪問規則中蘊含的約束條件；

當被插入節點為偏序結構中新節點，或者雖然是偏序結構中已存在節點，但位于當前節點的下層時，直接將其置為當前節點的葉子節點；當被插入節點為偏序結構中已存在節點時，且位于當前節點上層時，需將被插入節點的層次調至當前節點下方。節點層次調整過程中，需要檢測節點調整帶來的訪問關系變化，判別節點層次的調整是否引發訪問控制規則的缺失或者訪問控制策略的沖突，最終建立層級偏序結構；

（2）根據層級偏序結構構建MAC，根據步驟（1），將訪問控制規則集合{user→resource}轉換為層級偏序結構，根據偏序結構中節點的位置為節點即系統中的主客體對象生成強制訪問控制所需的安全標記,帶有安全標記和約束條件的層級偏序結構可以加強強制訪問控制的粒度，從而形成了細粒度的強制訪問控制。