论文部分内容阅读
随着网络规模的逐渐增大,所储存数据的逐渐增多,安全性已成为网络建设的第一要素。访问控制作为实现数据保密性和完整性机制的重要手段,被美国国防部可信计算机系统评估标准TCSEC认定为评价系统安全的主要指标,在保护网络资源的作用越来越受重视。访问控制模型发展至今,提出了许多访问控制策略或模型,包括经典传统访问控制技术,即自主访问控制、强制访问控制和基于角色的访问控制,和新一代访问控制技术UCON等。已有的访问控制技术在保护网络资源上都起到重要作用,并应用到许多领域;但是各模型技术间在实际应用中并没有统一的授权判定方法,即不同的访问控制模型实现授权判定的形式都不统一,造成每次访问控制模型应用的都需要大量的设计成本,并且模型之间很难相互移植。随着新一代访问控制模型UCON的提出,虽然UCON凭着其完善的机制深受业界推崇,但在UCON模型中,各子模型的授权判定实现也需要结合每次应用的具体情况来设计访问控制模型的授权判定,大大增加了UCON模型的设计成本。而且UCON模型提出至今,对UCON模型的研究只停留在理论研究上,面向模型应用的研究数量少,尤其缺乏对模型设计中的授权判定研究;复杂、抽象的授权机制也大大阻碍了UCON模型的推广。 针对各控制访问技术间授权判定不通用与模型技术间缺乏可移植性,本文提出了一种基于度量权力的访问控制通用授权判定设计模型,即GAD-MC模型。GAD-MC模型以通用化授权判定方法的理念出发,构建了权力集到自然数集的映射机制,提出基于映射机制得到的度量权力来解决访问控制模型的通用授权判定问题。通过将度量权力引入访问控制模型中,直接将授权过程中的权力判定转换成自然数值比较,不但简化了访问控制模型的授权判定,而且可以统一已有的访问控制模型的授权判定,使得访问控制模型间可以相互简易移植;在实际模型应用中,本文提出一种基于GAD-MC模型的使用控制模型,即UCON2011模型。UCON2011模型融入度量权力的概念,提出决策权力的概念,将决策权力代替主客体属性,与授权、义务和条件一起构成模型授权判定的依据,从而使得UCON模型在具体设计中的授权判定形式唯一化,进而拥有统一的实现框架,避免了UCON模型在每次实现中都需要结合该次应用的具体情况设置相应的授权判定,有效地减小模型的应用设计成本。