论文部分内容阅读
摘要：选择跨域访问控制问题为研究对象，针对相关问题进行阐述和分析。首先阐述跨域访问控制研究的必要性，然后总结跨域访问控制的组织结构，最后阐述跨域访问控制的实现机制。希望研究能够为相关领域提供一些指导和帮助。
关键词：跨域访问；控制问题；研究
中图分类号：TP393 文献标识码：A 文章编号：1671—7597（2012）051 0080-02
统一的访问控制管理、多样化网络及应用的协同管理是当今互联网技术发展的热点方向。因此，综合现有跨域认证技术的优点，并结合网格环境、格理论的技术优势，研究新的网格环境下的基于身份的跨域访问控制模型，可以充分利用网格技术资源共享的特点，融入“格”理论，并通过使用基于身份的密钥体制、优化认证路径的选择，避免了PKI认证体系管理和维护复杂的不足。
1 跨域访问控制研究的必要性
对于分布在Internet之上的计算机系统而言，资源的共享与访问是其计算行为的核心内容。为了网络资源的统一管理以及安全性方面的考虑，这些系统通常被划分为独立自治的管理域，每一个管理域分别采用一种统一的、约定的策略来对其内部的资源和用户实施管理。这个统一的策略的约束通常会为每个管理域定义一个或几个管理权威，其职责就是在策略所规定的管理范畴内，依据策略内容对域内的用户、资源及其访问进行统一的管理。此外，管理权威还负责控制外域用户对本域的跨域访问，以及参与系统内统一的管理策略的制定。
管理域的规模根据具体的使用环境，会有很多的不同，可能是覆盖多个国家和地区的跨国组织或机构；也可能只是小规模的应用系统，比如个人网站，此时其安全管理员就相当于Web服务器的权威源。
随着Internet技术的发展，网络能够提供的应用愈加地丰富多样，网络涉及的领域也愈加宽广，网络中信息的开放性和共享性需求增长迅速，导致原先只服务于单个组织、企业或科研机构规模的独立应用系统得以快速转变为面向整个Internet的开放式系统，从而使Internet形成了一种覆盖众多管理域、具有极大信息容量和计算潜力的新型分布计算环境。突破局部管理域范畴而向外部管理域查询信息和请求服务的应用成为这个新型分布式环境中不可忽视的部分，因此而形成了一个新的应用和研究领域——跨域访问。当前比较普遍的大规模网络应用，比如分布式数据存储、网格环境（Grid）、电子商务以及P2P等，在技术层面都属于这一领域。
网络规模的进一步扩大，使得对于原来的独立管理域来说，其角色也发生了变化，因为它们将不再只进行自身域内的资源访问，同外部管理域的信息共享成为了网络应用中的主要部分，每个管理域本身也成为了整个Internet大域中的一个“用户”，对自身之外的域中的信息访问也需要一定的“规则”来控制，而且自身域中的信息如何安全地被外域用户访问，也是需要面对的问题。而对于这些独立的应用系统，其内部的管理域通常具有较稳定、完善的管理策略，而且是不容改变的。因此，如何制定既保证原先的管理域管理策略稳定运行，又能在安全的前提下，支持多个域环境下频繁的域间访问的便捷、高效的跨域访问控制策略，成为人们解决跨域访问过程中一系列问题的目标，亦即和跨域访问领域相辅相成的另一个研究点——跨域访问控制。
计算机和网络应用技术的快速发展，导致互联网上应用系统的数量越来越多，用户的登陆次数越多，出现安全问题的次数也会越多，这就导致系统的安全性收到影响。因此，怎样在保证系统安全性的前提下，使得对用户的跨域授权与认证服务变得更加便利是当前访问控制研究领域一个集中的研究方向。
传统的访问控制系统中，每个应用系统都维护有一套独立的安全管理系统，这些系统安全管理手段、授权策略等内容相对独立，运行和维护方式也各不一样。这种情况随着网络应用环境变得越来越复杂，应用交互越来越频繁，表现出了明显的弊端。
1.1 大量登陆次数带来的安全问题
登陆次数的不断增加导致用户需要维护大量的口令密码，复杂的用户口令虽有利于安全，但为了记忆方便，用户有可能倾向于将口令密码设的简单，由于庞大的用户基数，系统的安全性便很容易受到这些数量庞大的简单口令的影响。此外，在系统登陆时，用户的口令、密码等通信内容在网络传输中使用的往往是明文的方式，很容易被攻击者截取，从而使合法用户的相关权益遭到巨大损害。
1.2 认证系统繁杂的问题
在多个认证系统的环境中，每个系统内部通常采用适合于自身的独立管理系统，却很少考虑跟外部系统之间的信息交流，这样就导致在出现跨系统的应用时，需要协调各管理系统之间的协作，造成管理成本的增加，以及管理工作的复杂和难以实施。
1.3 统一认证和授权的同步问题
在多认证系统的环境下，由于各系统之间的独立性，安全策略必须在每个不同的系统内重复设置，当系统的数量规模较大时，系统发生变化时就会要求对策略进行相应的修改，同时当策略发生变化时，也需要对所有系统进行统一的更新，这就有可能造成系统内部的认证和授权策略的不同步问题。
1.4 无法统一对用户的应用行为进行分析的问题
由于系统间的独立性，日志格式就很可能不一致，这就使得统一分析用户应用行为的策略无法实施，导致统一维护系统的工作也无法进行。
综上所述，从技术的角度分析，传统认证机制存在着较多的使用维护和安全性问题。究其原因，这些问题的原因就是管理的分散，各个系统之间不存在联系，也没有制定统一的管理策略。虽然用户在应用中，其现实世界中的身份通过账号被映射成网络应用中的身份标识，但这种身份标识是分别被每个系统所保存的，而无法进行传递，也无法相互识别。
因此，基于效率和安全的因素，必须改变传统的认证机制，设计出统一、高效、安全的网络认证机制来简化人们对网络中各种资源的访问过程的控制，跨域访问控制技术的研究正是基于这一目的。
2 跨域访问控制的组织结构
2.1 实体分布关系 对整个跨域访问控制系统来说，一般以域作为管理的基本单位，每个管理域自身可以独立的对资源和用户进行管理。因此，对于系统中访问过程所涉及的主体和客体来说，其分布关系有域内关系和域间关系两种。
1）域内关系。指访问主体和客体均处于同一管理域内部，访问过程不涉及所属域外部的实体。对于这种关系，只需要域内的管理员根据自身域的约定策略进行管理即可。
2）域间关系。指访问主体和客体不属于同一管理域内部，访问过程涉及两个或多个管理域，需要跨域访问的情况。对于这种情形，需要根据跨域访问系统的访问策略，对访问主体与客体进行授权与认证，并依据相关协议实施访问。
2.2 实体信任关系
系统内实体的信任关系分为直接信任和间接信任。
1）直接信任。直接信任是系统内实体间最简单的信任形式，指两个实体之间无须第三方介绍而直接建立起来的信任关系。
直接信任关系的实体之间不需要设置第三方信任，在涉及实体认证时，认证信息一般直接在实体间进行传递，且认证过程由实体来直接操作执行。直接信任是以个人基础的，如果没有个人之间的信任，这些用户之间交换的认证信息是没有价值的，因为认证信息本身就不被信任。
2）间接信任。间接信任是指系统内的两个实体之间不存在直接的信任关系，但是存在双方共同信任的第三方，且第三方可以为两实体间的信任关系做担保，从而以这种方式建立起来的信任关系。间接信任的实质是第三方的信任传递，目前网络安全领域普遍采用这种间接信任模式。
3 跨域访问控制的实现机制
跨域访问控制当前主要有下面几种机制：证书认证、信任第三方认证和用户身份映射。
3.1 证书认证
采用证书认证的方式，即使用数字证书作为跨域访问时信任关系的载体，用户访问授权、权限认证等均通过证书来表示，在这种认证方式中，信任与被信任关系可以是单向的，也可以是双向的。
3.2 信任第三方认证
第三方认证采用间接的认证方式，不需要认证双方进行直接的认证交流，只要进行认证交互的多个管理域共同信任一个第三方的认证服务器，然后通过这个认证服务器来完成间接的认证传递。各管理域需要充分信任这个第三方认证服务器，并且把共享资源的访问权限交给认证服务器，认证服务器依据某种策略对访问用户进行统一的认证，并根据认证结果将权限赋予用户，用户凭借权限向资源所在的管理域申请访问资源。
3.3 用户身份映射
其基本思想是，在某种预定的策略下，根据提供的其他管理域用户的某些信息，将外部用户静态或动态地映射到本地用户或权限集合。其具体实施为，对本地资源的访问权限不是直接授予外域具体的用户，而是在外域用户集合与本地的身份或用户组之间生成一个相应的映射。
参考文献：
[1]路晓明、冯登国，一种基于身份的多信任域网格认证模型[J].电子学报，2011，34（4）：577-582.
[2]张荣清、李建欣、怀进鹏，网格计算环境中的安全信任协商系统[J].北京航空航天大学学报，2011，32（3）：347-351.
作者简介：
郑刚，男，硕士，讲师，教师，河南艺术职业学院，研究方向：计算机网络；任小凤，工程师，河南黄河水文勘测设计院。
关键词：跨域访问；控制问题；研究
中图分类号：TP393 文献标识码：A 文章编号：1671—7597（2012）051 0080-02
统一的访问控制管理、多样化网络及应用的协同管理是当今互联网技术发展的热点方向。因此，综合现有跨域认证技术的优点，并结合网格环境、格理论的技术优势，研究新的网格环境下的基于身份的跨域访问控制模型，可以充分利用网格技术资源共享的特点，融入“格”理论，并通过使用基于身份的密钥体制、优化认证路径的选择，避免了PKI认证体系管理和维护复杂的不足。
1 跨域访问控制研究的必要性
对于分布在Internet之上的计算机系统而言，资源的共享与访问是其计算行为的核心内容。为了网络资源的统一管理以及安全性方面的考虑，这些系统通常被划分为独立自治的管理域，每一个管理域分别采用一种统一的、约定的策略来对其内部的资源和用户实施管理。这个统一的策略的约束通常会为每个管理域定义一个或几个管理权威，其职责就是在策略所规定的管理范畴内，依据策略内容对域内的用户、资源及其访问进行统一的管理。此外，管理权威还负责控制外域用户对本域的跨域访问，以及参与系统内统一的管理策略的制定。
管理域的规模根据具体的使用环境，会有很多的不同，可能是覆盖多个国家和地区的跨国组织或机构；也可能只是小规模的应用系统，比如个人网站，此时其安全管理员就相当于Web服务器的权威源。
随着Internet技术的发展，网络能够提供的应用愈加地丰富多样，网络涉及的领域也愈加宽广，网络中信息的开放性和共享性需求增长迅速，导致原先只服务于单个组织、企业或科研机构规模的独立应用系统得以快速转变为面向整个Internet的开放式系统，从而使Internet形成了一种覆盖众多管理域、具有极大信息容量和计算潜力的新型分布计算环境。突破局部管理域范畴而向外部管理域查询信息和请求服务的应用成为这个新型分布式环境中不可忽视的部分，因此而形成了一个新的应用和研究领域——跨域访问。当前比较普遍的大规模网络应用，比如分布式数据存储、网格环境（Grid）、电子商务以及P2P等，在技术层面都属于这一领域。
网络规模的进一步扩大，使得对于原来的独立管理域来说，其角色也发生了变化，因为它们将不再只进行自身域内的资源访问，同外部管理域的信息共享成为了网络应用中的主要部分，每个管理域本身也成为了整个Internet大域中的一个“用户”，对自身之外的域中的信息访问也需要一定的“规则”来控制，而且自身域中的信息如何安全地被外域用户访问，也是需要面对的问题。而对于这些独立的应用系统，其内部的管理域通常具有较稳定、完善的管理策略，而且是不容改变的。因此，如何制定既保证原先的管理域管理策略稳定运行，又能在安全的前提下，支持多个域环境下频繁的域间访问的便捷、高效的跨域访问控制策略，成为人们解决跨域访问过程中一系列问题的目标，亦即和跨域访问领域相辅相成的另一个研究点——跨域访问控制。
计算机和网络应用技术的快速发展，导致互联网上应用系统的数量越来越多，用户的登陆次数越多，出现安全问题的次数也会越多，这就导致系统的安全性收到影响。因此，怎样在保证系统安全性的前提下，使得对用户的跨域授权与认证服务变得更加便利是当前访问控制研究领域一个集中的研究方向。
传统的访问控制系统中，每个应用系统都维护有一套独立的安全管理系统，这些系统安全管理手段、授权策略等内容相对独立，运行和维护方式也各不一样。这种情况随着网络应用环境变得越来越复杂，应用交互越来越频繁，表现出了明显的弊端。
1.1 大量登陆次数带来的安全问题
登陆次数的不断增加导致用户需要维护大量的口令密码，复杂的用户口令虽有利于安全，但为了记忆方便，用户有可能倾向于将口令密码设的简单，由于庞大的用户基数，系统的安全性便很容易受到这些数量庞大的简单口令的影响。此外，在系统登陆时，用户的口令、密码等通信内容在网络传输中使用的往往是明文的方式，很容易被攻击者截取，从而使合法用户的相关权益遭到巨大损害。
1.2 认证系统繁杂的问题
在多个认证系统的环境中，每个系统内部通常采用适合于自身的独立管理系统，却很少考虑跟外部系统之间的信息交流，这样就导致在出现跨系统的应用时，需要协调各管理系统之间的协作，造成管理成本的增加，以及管理工作的复杂和难以实施。
1.3 统一认证和授权的同步问题
在多认证系统的环境下，由于各系统之间的独立性，安全策略必须在每个不同的系统内重复设置，当系统的数量规模较大时，系统发生变化时就会要求对策略进行相应的修改，同时当策略发生变化时，也需要对所有系统进行统一的更新，这就有可能造成系统内部的认证和授权策略的不同步问题。
1.4 无法统一对用户的应用行为进行分析的问题
由于系统间的独立性，日志格式就很可能不一致，这就使得统一分析用户应用行为的策略无法实施，导致统一维护系统的工作也无法进行。
综上所述，从技术的角度分析，传统认证机制存在着较多的使用维护和安全性问题。究其原因，这些问题的原因就是管理的分散，各个系统之间不存在联系，也没有制定统一的管理策略。虽然用户在应用中，其现实世界中的身份通过账号被映射成网络应用中的身份标识，但这种身份标识是分别被每个系统所保存的，而无法进行传递，也无法相互识别。
因此，基于效率和安全的因素，必须改变传统的认证机制，设计出统一、高效、安全的网络认证机制来简化人们对网络中各种资源的访问过程的控制，跨域访问控制技术的研究正是基于这一目的。
2 跨域访问控制的组织结构
2.1 实体分布关系 对整个跨域访问控制系统来说，一般以域作为管理的基本单位，每个管理域自身可以独立的对资源和用户进行管理。因此，对于系统中访问过程所涉及的主体和客体来说，其分布关系有域内关系和域间关系两种。
1）域内关系。指访问主体和客体均处于同一管理域内部，访问过程不涉及所属域外部的实体。对于这种关系，只需要域内的管理员根据自身域的约定策略进行管理即可。
2）域间关系。指访问主体和客体不属于同一管理域内部，访问过程涉及两个或多个管理域，需要跨域访问的情况。对于这种情形，需要根据跨域访问系统的访问策略，对访问主体与客体进行授权与认证，并依据相关协议实施访问。
2.2 实体信任关系
系统内实体的信任关系分为直接信任和间接信任。
1）直接信任。直接信任是系统内实体间最简单的信任形式，指两个实体之间无须第三方介绍而直接建立起来的信任关系。
直接信任关系的实体之间不需要设置第三方信任，在涉及实体认证时，认证信息一般直接在实体间进行传递，且认证过程由实体来直接操作执行。直接信任是以个人基础的，如果没有个人之间的信任，这些用户之间交换的认证信息是没有价值的，因为认证信息本身就不被信任。
2）间接信任。间接信任是指系统内的两个实体之间不存在直接的信任关系，但是存在双方共同信任的第三方，且第三方可以为两实体间的信任关系做担保，从而以这种方式建立起来的信任关系。间接信任的实质是第三方的信任传递，目前网络安全领域普遍采用这种间接信任模式。
3 跨域访问控制的实现机制
跨域访问控制当前主要有下面几种机制：证书认证、信任第三方认证和用户身份映射。
3.1 证书认证
采用证书认证的方式，即使用数字证书作为跨域访问时信任关系的载体，用户访问授权、权限认证等均通过证书来表示，在这种认证方式中，信任与被信任关系可以是单向的，也可以是双向的。
3.2 信任第三方认证
第三方认证采用间接的认证方式，不需要认证双方进行直接的认证交流，只要进行认证交互的多个管理域共同信任一个第三方的认证服务器，然后通过这个认证服务器来完成间接的认证传递。各管理域需要充分信任这个第三方认证服务器，并且把共享资源的访问权限交给认证服务器，认证服务器依据某种策略对访问用户进行统一的认证，并根据认证结果将权限赋予用户，用户凭借权限向资源所在的管理域申请访问资源。
3.3 用户身份映射
其基本思想是，在某种预定的策略下，根据提供的其他管理域用户的某些信息，将外部用户静态或动态地映射到本地用户或权限集合。其具体实施为，对本地资源的访问权限不是直接授予外域具体的用户，而是在外域用户集合与本地的身份或用户组之间生成一个相应的映射。
参考文献：
[1]路晓明、冯登国，一种基于身份的多信任域网格认证模型[J].电子学报，2011，34（4）：577-582.
[2]张荣清、李建欣、怀进鹏，网格计算环境中的安全信任协商系统[J].北京航空航天大学学报，2011，32（3）：347-351.
作者简介：
郑刚，男，硕士，讲师，教师，河南艺术职业学院，研究方向：计算机网络；任小凤，工程师，河南黄河水文勘测设计院。