[發明專利]訪問安全控制方法及裝置

有效

• 申請號: 201310719727.0
• 申請日: 2013-12-23
• 公開（公告）號: CN103745161A
• 公開（公告）日: 2014-04-23
• 發明（設計）人: 陳德彥;張霞;趙宏;趙立軍;平安;蔣理成
• 申請（專利權）人: 東軟集團股份有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;H04L29/06
• 代理公司: 北京鴻元知識產權代理有限公司 11327
• 代理人: 陳英俊

1.一種訪問安全控制方法，所述方法用于防止由同一用戶多次訪問內容之間的關聯而引發的隱私泄露問題，所述方法包括兩個階段：

第一階段

構建基于語義網的領域知識庫，所述領域知識庫包括領域本體庫、領域實例庫和領域規則庫；所述領域知識庫包括多個領域本體庫和領域實例庫其中，

所述領域本體庫用于定義領域中公認的概念、屬性關系；

所述領域實例庫基于領域本體庫中的概念和屬性關系標注領域知識庫中相應的屬性實例及屬性實例之間的語義關系；

所述領域規則庫用于在將不同的領域本體庫和領域實例庫進行集成時，建立不同領域本體庫和領域實例庫之間的語義映射；

構建基于語義網的訪問控制知識庫，所述訪問控制知識庫包括訪問控制本體庫、訪問歷史本體庫和訪問控制策略規則庫；其中，

所述訪問控制策略規則庫存儲訪問控制策略規則；

所述訪問控制本體庫用于給所述訪問控制策略規則提供原語；

所述訪問歷史本體庫用于記錄用戶的訪問內容；

當所述用戶成功訪問所述領域本體庫的資源時，采用屬性實例具體化的方式將所述用戶的訪問內容記錄在所述訪問歷史本體庫中；

根據記錄在所述訪問歷史本體庫中的用戶的訪問內容、所述訪問控制本體庫、所述領域本體庫和所述用戶預設的隱私敏感屬性集，采用策略規則生成算法生成訪問控制策略規則，將所述生成的訪問控制策略規則添入所述訪問控制策略規則庫中；

第二階段

當所述用戶再次請求訪問所述領域本體庫的資源時，判斷所述用戶再次訪問所述領域本體庫的資源的內容與記錄在所述訪問歷史本體庫中的用戶的訪問內容是否違反所述訪問控制策略規則庫中添入的所述訪問控制策略規則；其中，

如果所述用戶再次訪問領域本體庫的資源的內容與記錄在所述訪問歷史本體庫中的用戶的訪問內容違反所述訪問控制策略規則庫中添入的所述訪問控制策略規則，則拒絕所述用戶再次訪問領域本體庫的資源；否則，如果所述用戶再次訪問領域本體庫的資源的內容與記錄在所述訪問歷史本體庫中的用戶的訪問內容未違反所述訪問控制策略規則庫中添入的所述訪問控制策略規則，則許可所述用戶再次訪問領域本體庫的資源。

2.如權利要求1所述的訪問安全控制方法，其中，所述屬性實例具體化的方式為：

領域本體庫中每個資源的屬性在訪問控制本體庫中對應一個屬性類，所述屬性類具有主體和客體的屬性；所述領域本體庫中每個資源的屬性為所述訪問控制本體庫中對應的每個屬性類的屬性實例，將所述屬性實例具體化為所述屬性類的實例，并對應所述屬性類的主體和客體。

3.如權利要求1所述的訪問安全控制方法，其中，

所述訪問控制策略規則包括用戶級策略規則和系統級策略規則；所述用戶級策略規則和所述系統級策略規則均支持肯定和否定授權，當所述肯定授權和所述否定授權出現授權沖突時，所述否定授權的優先級高于所述肯定授權的優先級；并且，

所述用戶級策略規則只允許訪問請求的授權，而訪問請求的許可由所述系統級策略規則通過聚合所述用戶級策略規則的授權結果作出判斷。

4.如權利要求3所述的訪問安全控制方法，其中，

所述訪問控制本體庫給所述訪問控制策略規則提供的原語包括授權、授權主體、許可屬性實例；

記錄在所述訪問歷史本體庫中的用戶的訪問內容包括訪問主體、訪問客體和訪問操作；

根據所述訪問控制本體庫中的所述許可、所述授權、所述屬性實例與所述訪問歷史本體庫中的所述訪問主體、所述訪問客體和所述訪問操作，采用策略規則生成算法生成所述系統級策略規則；

根據所述訪問控制本體庫中的所述授權、所述屬性實例與所述訪問歷史本體庫中的所述訪問主體、所述訪問客體和所述訪問操作，采用策略規則生成算法生成所述用戶級策略規則。

5.如權利要求3所述的訪問安全控制方法，其中，

根據所述用戶預設的隱私敏感屬性集采用策略規則生成算法生成所述用戶級策略規則中的關聯約束規則集，所述關聯約束規則集只支持否定授權；其中，所述關聯約束規則集中有規則依賴順序，則將按照所述規則依賴順序對所述關聯約束規則集中的每條規則進行判斷，當滿足規則依賴順序中最后一條規則的規則體中的合取條件集時，獲得授權結果。