[發明專利]跨應用共享的授權策略對象、目標定義和決策合并算法

在審

• 申請號: 201310416780.3
• 申請日: 2013-09-13
• 公開（公告）號: CN104462982A
• 公開（公告）日: 2015-03-25
• 發明（設計）人: S·V·維帕;H·薩斯特里;曹玉龍;丁文芳
• 申請（專利權）人: 甲骨文國際公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 中國國際貿易促進委員會專利商標事務所 11038
• 代理人: 馮玉清

技術領域

本發明的實施例總體上涉及計算機安全領域，更特別地，涉及能跨系統中的多個應用共享的全局安全策略模型。?

背景技術

在許多情況下，企業具有一些在所有應用中強制的公共安全策略。如果這些策略定義于每個應用范圍內，則策略將會是冗余的且難以維護。?

在計算機安全領域，一般訪問控制包括授權（authorization）、認證（authentication）、訪問批準（access?approval）、以及審計（audit）。訪問控制涉及訪問批準，藉此計算機基于已經認證了的主體被授權訪問什么來判定同意還是拒絕來自主體的訪問請求。認證和訪問控制通常組合成單個操作，從而基于成功認證或者基于匿名訪問令牌（token）來批準訪問。認證方法和令牌可包括密碼、生物測定掃描、物理密鑰、電子密鑰和器件、隱藏路徑、社群壁壘（social?barrier）、以及通過人和自動化系統來監控。?

在訪問控制模型中，可執行系統中的動作的實體通常稱為主體（subject），代表對其的訪問可能需要被控制的資源的實體通常稱為對象（object）。主體和對象可以是軟件實體，而非人類用戶。在一些模型（諸如對象-權能模型）中，軟件實體有可能可以用作主體和對象二者。對象可包括計算系統資源（這里簡稱為“資源”），諸如可執行應用程序（這里簡稱為“應用”）、文件系統結構諸如文件和目錄、通信端口、易失性存儲片段等。?

當前系統使用的訪問控制模型可以基于權能（capability）或基于?訪問控制列表（ACL）。在基于權能的模型中，保持不會忘記的對于對象的引用或權能提供了對于對象的訪問權（大致上類似于擁有房屋鑰匙如何準許一個人進入其房屋）；訪問權通過在安全通道上傳輸這樣的權能而轉移到另一方。在基于ACL的模型中，主體對于對象的訪問權可以取決于其身份是否在與對象相關聯的列表上（大致上類似于私密方的保鏢檢查一個人的ID以查看其名字是否在賓客列表中）；訪問權可通過編輯該列表而被轉移。基于權能的模型和基于ACL的模型二者都可包括允許訪問權被授予給一組主體中的所有成員的機制。這樣的組本身可以模型化為一個主體。?

訪問控制系統可提供授權、識別和認證、訪問批準以及追責（accountability）等服務。授權包括規定主體允許執行的動作。識別和認證防止非法主體訪問系統。訪問批準包括通過基于授權策略將用戶與他們允許訪問的資源相關聯而在操作期間準許訪問。追責識別主體執行的動作。?

授權可包括定義主體的訪問權。授權策略可規定主體允許在系統內執行的操作。一些操作系統將授權策略實施為權限（permission）的形式集合，其是三種基本訪問類型的變型或拓展。利用讀訪問，主體可以讀取文件內容和列出目錄內容。利用寫訪問，主體可以通過增加數據到已有文件結構、創建新文件結構、刪除已有文件結構或重命名已有文件結構來改變文件或目錄的內容。利用執行訪問，主體可以使系統執行（運行）程序。這些權利和權限可以在具有不同訪問控制模型的系統中不同地實施。訪問控制模型有時分類為自主性或非自主性。一些廣泛認可的模型包括自主訪問控制（DAC）、強制訪問控制（MAC）、基于角色的訪問控制（RBAC）以及基于屬性的訪問控制（ABAC）。?

在基于屬性的訪問控制（ABAC）中，不一定基于與認證后的用戶關聯的主體的權利來授予訪問權，而是基于用戶本身的屬性。可以要求用戶滿足（對于訪問控制引擎而言）關于其屬性的要求。基于屬性的訪問控制策略規定哪些要求需要被滿足以授予對于對象的訪問?權。例如，要求可以是“大于18歲”。在這樣的情境下，可證實該要求的用戶將被授予訪問權。在該模型中，用戶可以是匿名的，因為不嚴格要求認證和識別。用于匿名地證實要求的裝置可以利用匿名證書實現。可擴展訪問控制標記語言（XACML）是基于屬性的訪問控制的標準。?

自主訪問控制（DAC）包括由對象的擁有者所確定的策略。該擁有者決定哪些用戶被允許訪問該對象以及那些用戶關于該對象具有什么特權。在基于DAC的系統中，系統中的每個對象可具有擁有者。在一些基于DAC的系統中，每個對象的初始擁有者可以是使該對象被創建的主體。對象的訪問策略可以由該對象的擁有者確定。在基于DAC的系統中，擁有者可以向諸如其他主體分配特定資源的訪問權和權限。?