[發明專利]一種基于安全標記的訪問控制方法

有效

• 申請號: 202110661947.7
• 申請日: 2021-06-15
• 公開（公告）號: CN113438216B
• 公開（公告）日: 2023-02-28
• 發明（設計）人: 施衛忠;朱濤;董鵬;季宏志;齊勝
• 申請（專利權）人: 中國國家鐵路集團有限公司;中國鐵路信息科技集團有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L69/08
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 謝安昆;宋志強

1.一種基于安全標記的訪問控制方法，其特征在于，該方法包括：

接收來自網絡的報文，讀取所述報文中的安全標記信息，其中，所述安全標記信息包括安全級別字段、范疇字段、以及用于標識完整標記信息的標記索引字段，標記索引字段包括，用于標識業務應用的第一字段、以及用于標識業務應用上下文的第二字段，

根據安全標記信息中的各個字段，進行檢查，

當通過檢查時，則允許訪問；

其中，

根據安全標記信息中的各個字段，進行檢查，包括：

根據標記索引字段中的第一字段，檢查該報文和業務應用的對應關系，根據標記索引字段中的第二字段，檢查該報文和業務應用邏輯的對應關系，

當該報文與業務應用對應、且與業務應用邏輯對應時，則判斷該報文是否進入業務應用，當需要進入業務應用時，則根據標記索引字段，在完整標記數據庫中查找標記索引對應的完整標記信息，

當所查找到的完整標記信息與客體匹配時，允許訪問所述客體。

2.如權利要求1所述的訪問控制方法，其特征在于，所述根據安全標記信息中的各個字段，進行檢查，還包括：

當所述報文不需要進入業務應用時，則訪問所述客體。

3.如權利要求1或2所述的訪問控制方法，其特征在于，所述根據安全標記信息中的各個字段，進行檢查，還包括：

如果報文與業務應用和/或業務應用邏輯不對應，和/或，

在完整標記數據庫中未查找到標記索引對應的完整標記信息，和/或，

所查找到的完整標記信息與訪問客體不匹配，

則丟棄所述報文。

4.如權利要求1或2所述的訪問控制方法，其特征在于，所述根據標記索引字段中的第一字段，檢查該報文和業務應用的對應關系之前，還包括：

根據安全標記信息，判斷所述報文的格式是否符合定義，如果不符合則丟棄該報文，如果符合，則

根據安全級別字段，判斷所述報文是否滿足對客體進行訪問的安全級別，如果是，則根據范疇字段進行范疇檢查，

當范疇檢測通過時，則執行所述根據標記索引字段的第一字段，檢查該報文和業務應用的對應關系的步驟，否則，則丟棄該報文。

5.如權利要求1所述的訪問控制方法，其特征在于，所述完整標記信息包括，

主體完整標記信息以及客體完整標記信息，

所述主體完整標記信息包括，主體安全級別信息，基礎信息，擴展信息，以及標記索引；

其中，

所述基礎信息包括主體類型、用于存儲主體進程或者用戶的簽名認證信息的簽名信息、以及用于表示主體可訪問客體范圍的客體范圍，

所述擴展信息包括，用于表示主體由哪個用戶最開始創建、以及上次修改的用戶信息的所屬人、以及用于記錄主體被修改的時間信息的時間戳，

所述客體完整標記信息包括，客體安全級別信息，基礎信息，擴展信息，以及標記索引；

其中，

所述基礎信息包括客體類型、用于存儲客體簽名信息的簽名信息、以及用于表示客體允許被哪些主體訪問的客體范圍，

所述擴展信息包括，用于表示客體由哪個主體最開始創建、和上次修改的主體信息的所屬人、用于記錄客體被修改的時間信息的時間戳、以及用于表示客體在多長時間后可以被拋棄或降級的保存周期。