[發(fā)明專利]網(wǎng)絡(luò)結(jié)構(gòu)中基于證書的訪問(wèn)控制系統(tǒng)及訪問(wèn)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201810145458.4
• 申請(qǐng)日: 2018-02-12
• 公開（公告）號(hào): CN108390874B
• 公開（公告）日: 2020-08-07
• 發(fā)明（設(shè)計(jì)）人: 何涇沙;黃輝祥;侯立夫;廖志鋼
• 申請(qǐng)（專利權(quán)）人: 北京工業(yè)大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L9/32;H04L12/24
• 代理公司: 北京匯信合知識(shí)產(chǎn)權(quán)代理有限公司 11335
• 代理人: 夏靜潔

1.一種網(wǎng)絡(luò)結(jié)構(gòu)中基于證書的訪問(wèn)控制系統(tǒng)，其特征在于，包括：起點(diǎn)、終點(diǎn)和節(jié)點(diǎn)網(wǎng)絡(luò)；

所述起點(diǎn)為訪問(wèn)請(qǐng)求的發(fā)起節(jié)點(diǎn)，所述終點(diǎn)為被訪問(wèn)節(jié)點(diǎn)，所述節(jié)點(diǎn)網(wǎng)絡(luò)為多個(gè)節(jié)點(diǎn)通過(guò)待授權(quán)列表相連接形成的網(wǎng)絡(luò)狀的拓?fù)浣Y(jié)構(gòu)；

所述起點(diǎn)向所述終點(diǎn)發(fā)起訪問(wèn)請(qǐng)求，所述終點(diǎn)生成待授權(quán)證書并發(fā)送至所述起點(diǎn)，所述起點(diǎn)通過(guò)授權(quán)證書對(duì)終點(diǎn)進(jìn)行訪問(wèn)；所述待授權(quán)證書包括起點(diǎn)信息、申請(qǐng)權(quán)限和申請(qǐng)時(shí)間，并針對(duì)起點(diǎn)和申請(qǐng)權(quán)限獲取該權(quán)限所需要的待授權(quán)列表；

所述起點(diǎn)從終點(diǎn)的待授權(quán)列表開始進(jìn)入證書遍歷流程，以深度優(yōu)先的方式遍歷所述節(jié)點(diǎn)網(wǎng)絡(luò)，在證書遍歷流程中，每個(gè)節(jié)點(diǎn)遍歷完成自身的待授權(quán)列表后，會(huì)進(jìn)入規(guī)則判定流程，要根據(jù)自身采取的訪問(wèn)控制策略，給出該節(jié)點(diǎn)的最終返回值；回溯完成后待授權(quán)證書回溯至起點(diǎn)，待授權(quán)證書根據(jù)終點(diǎn)的邏輯表達(dá)式判斷授權(quán)是否成功，如果成功則待授權(quán)證書變?yōu)槭跈?quán)證書，供起點(diǎn)進(jìn)行相應(yīng)操作使用，若不成功則本次訪問(wèn)被拒絕。

2.如權(quán)利要求1所述的網(wǎng)絡(luò)結(jié)構(gòu)中基于證書的訪問(wèn)控制系統(tǒng)，其特征在于，所述節(jié)點(diǎn)網(wǎng)絡(luò)包括多層節(jié)點(diǎn)；

下層節(jié)點(diǎn)中的一個(gè)節(jié)點(diǎn)的待授權(quán)列表為上層節(jié)點(diǎn)的一個(gè)或多個(gè)節(jié)點(diǎn)。

3.如權(quán)利要求1所述的網(wǎng)絡(luò)結(jié)構(gòu)中基于證書的訪問(wèn)控制系統(tǒng)，其特征在于，所述邏輯表達(dá)式是將待授權(quán)列表和規(guī)則通過(guò)邏輯運(yùn)算符建立連接。

4.一種如權(quán)利要求1-3中任一項(xiàng)所述的網(wǎng)絡(luò)結(jié)構(gòu)中基于證書的訪問(wèn)控制系統(tǒng)的訪問(wèn)方法，其特征在于，包括：

步驟1、起點(diǎn)向終點(diǎn)發(fā)起訪問(wèn)請(qǐng)求；

步驟2、終點(diǎn)生成待授權(quán)證書并發(fā)送至起點(diǎn)，所述待授權(quán)證書包括起點(diǎn)信息、申請(qǐng)權(quán)限和申請(qǐng)時(shí)間，并針對(duì)起點(diǎn)和申請(qǐng)權(quán)限獲取該權(quán)限所需要的待授權(quán)列表；

步驟3、起點(diǎn)進(jìn)入證書遍歷流程，以深度優(yōu)先的方式遍歷所述節(jié)點(diǎn)網(wǎng)絡(luò)；

步驟4、在證書遍歷流程中，每個(gè)節(jié)點(diǎn)遍歷完成自身的待授權(quán)列表后，會(huì)進(jìn)入規(guī)則判定流程，要根據(jù)自身采取的訪問(wèn)控制策略，給出該節(jié)點(diǎn)的最終返回值；

步驟5、回溯完成后待授權(quán)證書回溯至起點(diǎn)，待授權(quán)證書根據(jù)終點(diǎn)的邏輯表達(dá)式判斷授權(quán)是否成功，如果成功則待授權(quán)證書變?yōu)槭跈?quán)證書，供起點(diǎn)進(jìn)行相應(yīng)操作使用，若不成功則本次訪問(wèn)被拒絕；

步驟6、起點(diǎn)通過(guò)授權(quán)證書對(duì)終點(diǎn)進(jìn)行訪問(wèn)。

5.如權(quán)利要求4所述的網(wǎng)絡(luò)結(jié)構(gòu)中基于證書的訪問(wèn)控制系統(tǒng)的訪問(wèn)方法，其特征在于，所述證書遍歷流程包括：

步驟a、判斷當(dāng)前節(jié)點(diǎn)對(duì)原請(qǐng)求的待授權(quán)列表是否為空，若為空跳到步驟e；

步驟b、判斷該節(jié)點(diǎn)的待授權(quán)列表是否存在于已授權(quán)節(jié)點(diǎn)列表中，若存在，直接讀取已授權(quán)節(jié)點(diǎn)列表中該節(jié)點(diǎn)的返回值，若不存在，進(jìn)入步驟c；

步驟c、將證書傳遞給該節(jié)點(diǎn)的待授權(quán)列表，對(duì)該節(jié)點(diǎn)的待授權(quán)列表調(diào)用證書遍歷流程，獲得該節(jié)點(diǎn)待授權(quán)列表的返回值；

步驟d、對(duì)待授權(quán)列表的下一項(xiàng)重復(fù)步驟b、步驟c直到獲得該節(jié)點(diǎn)待授權(quán)列表的所有返回值；

步驟e、進(jìn)入規(guī)則判定流程，根據(jù)自身節(jié)點(diǎn)所使用的授權(quán)規(guī)則，得出規(guī)則各部分的返回值；

步驟f、讀取邏輯表達(dá)式，邏輯表達(dá)式根據(jù)規(guī)則各部分的返回值以及待授權(quán)列表的所有返回值，通過(guò)邏輯計(jì)算得到該節(jié)點(diǎn)的返回值，該返回值作為整個(gè)流程的返回值并記錄到已授權(quán)節(jié)點(diǎn)列表中。

6.如權(quán)利要求4所述的網(wǎng)絡(luò)結(jié)構(gòu)中基于證書的訪問(wèn)控制系統(tǒng)的訪問(wèn)方法，其特征在于，規(guī)則判定流程包括基本信息規(guī)則和待授權(quán)列表規(guī)則；

基本信息規(guī)則為：應(yīng)用基于屬性的訪問(wèn)控制ABAC中的方式，針對(duì)節(jié)點(diǎn)的各類信息進(jìn)行決策；包括：對(duì)起點(diǎn)的限制、對(duì)終點(diǎn)的限制、對(duì)申請(qǐng)權(quán)限的限制、對(duì)時(shí)間的限制和對(duì)父節(jié)點(diǎn)的檢查；

待授權(quán)列表規(guī)則為：對(duì)待授權(quán)列表完成情況的判斷。