基于受控实体的访问控制技术

第３５卷２００７年第８期８月华中科技大学学报（自然科学版）Ｊ．＋ＨｕａｚｈｏｎｇＵｎｉｖ．ｏｆＳｃｉ．＆Ｔｅｃｈ．（ＮａｔｕｒｅＳｃｉｅｎｃｅＥｄｉｔｉｏｎ）Ｖ０１．３５Ｎｏ．８Ａｕｇ．２００７基于受控实体的访问控制技术杨喜敏谢长生（华中科技大学计算机科学与技术学院，湖北武汉４３００７４）摘要：在简要分析传统的基于角色的访问控制模型、基于任务的访问控制模型和一些基于它们的扩展模型的基础上，针对这些模型在实际应用中的问题，提出了基于受控实体的访问控制模型（称为ＥＢＡＣ）．ＥＢＡＣ模型以受控实体为访问客体，并以其为中心实现安全控制机制．一方面，用户通过对受控实体的管理能力间接获取访问权限；另一方面，受控实体动态地对用户对其实例集和属性集的访问进行自主控制．该模型强化从企业／组织的资源管理视角实施访问控制策略，能够有效加强企业信息系统中访问控制的灵活性和安全性．关键词：企业信息系统；基于角色的访问控制；基于任务的访问控制；受控实体，基于实体的访问控制中图分类号：ＴＰ３９３文献标识码：Ａ文章编号：１６７１—４５１２（２００７）０８一００５６一０４ＣｏｎｔｒｏｌＩｅｄｅｎｔｉｔｙ—ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒｏｌ。

ｔｅｃｈｎｉｑｕｅＹ矗咒ｇＸｉｍｉ挖ＸｉＰＣ＾口以ｇｓ＾ｅ靠ｇ（ＣｏｌｌｅｇｅｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ，ＨｕａｚｈｏｎｇＵｎｉｖｅｒｓｉｔｙｏｆＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ，Ｗｕｈａｎ４３００７４，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：Ｔｈｒｅｅａｃｃｅｓｓｃｏｎｔｒｏｌｍｏｄｅｌｓｗｅｒｅｒｅｖｉｅｗｓ，ｉｎｃｌｕｄｉｎｇｔｈｅｔｒａｄｉｔｉｏｎａｌｒ０１ｅ－ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒｏｌｍｏｄｅｌ（ＲＢＡＣ），ｔａｓｋ－ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒｏｌｍｏｄｅｌ（ＴＢＡＣ），ａｎｄｅｘｔｅｎｄｅｄｍｏｄｅｌｂａｓｅｄｏｎＲＢＡＣｏｒ／ａｎｄＴＢＡＣａｎｄｔｈｅｉｒｐｒａｃｔｉｃａｌａｐｐｌｉｃａｔｉｏｎｓｗｅｒｅａｎａｌｙｚｅｄ．Ａｎｅｎｔｉｔｙ．ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒｏｌ（ＥＢＡＣ）ｍｏｄｅｌｉｓｐｒｏｐｏｓｅｄ，ｉｎｗｈｉｃｈｔｈｅｃｏｎｃｅｐｔｏｆｃｏｎｔｒｏｌｌｅｄｅｎｔｉｔｙｉｓｉｎｔｒｏｄｕｃｅｄ，ｔｈａｔｉｓｔｈｅｃｏｎｔｒｏｌｌｅｄｅｎｔｉｔｙｓｅｅｍｓａｓａｍｅｄｉ—ｏｂｊｅｃｔｌｉｎｋｅｄｓｕｂｊｅｃｔａｎｄｏｂｊｅｃｔａｎｄｕｓｅｒｓｃａｎｉｎｄｉｒｅｃｔｌｙｇａｉｎａｃｃｅｓｓｒｉｇｈｔｔｈｒｏｕｇｈｅｎｔｉ—ｔｙｍａｎａｇｅｍｅｎｔ．Ｔｈｅｅｎｔｉｔｙｉｓａｖａｉｌａｂｌｅｔｏｂｅａｕｔｏｎｏｍｉｃｃｏｎｔｒｏｌｌｅｄｔｈｒｏｕｇｈａｃｃｅｓｓｔｏｉｎｓｔａｎｃｅｓｅｔａｎｄｐｒｏｐｅｒｔｙｓｅｔ．ＥＢＡＣｅｎｈａｎｃｅｓｔｈｅａｃｃｅｓｓｃｏｎｔｒｏｌｄｅｃｉｓｉｏｎｆｒｏｍｔｈｅＶｉｅｗｏｆｅｎｔｅｒｐｒｉｓｅ／ｏｒｇａｎｉｚａｔｉｏｎｒｅ—ｓｏｕｒｃｅｍａｎａｇｅｍｅｎｔｄｅｆｉｎｉｔｅｌｙ，ａｎｄｓｔｒｅｎｇｔｈｅｎｔｈｅｆｌｅｘｉｂｉｌｉｔｙａｎｄｓｅｃｕｒｉｔｙｏｆａｃｃｅｓｓｃｏｎｔｒｏｌｍｏｄｅｌｉｎｅｎｔｅｒｐｒｉｓｅｓｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｅｆｆｅｃｔｉｖｅｌｙ．Ｋｅｙｗｏｒｄｓ：ｅｎｔｅｒｐｒｉｓｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍ；ｒｏｌｅ＿ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒｏｌ；ｔａｓｋ＿ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒｏｌ；ｃｏｎ—ｔｒｏｌｌｅｄｅｎｔｉｔｙ；ｅｎｔｉｔｙ—ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒｏｌ随着信息技术的网络化发展，企业信息系统的安全问题日益突出．企业信息安全就是通过各种方法和工具保护企业的静态信息和动态信息，包括企业信息的存储安全和传输安全，涉及到信息的保密性、完整性、可用性、可控性和不可否认性等诸多问题．访问控制技术是企业信息系统重要的安全手段之一，国际化标准组织ＩＳ０在网络分层安全体系设计标准（ＩＳｏ７４９８２２）中也将其定义为一个必要的安全服务．访问控制是对越权使用系统资源的一种防御措施，通过控制主体对客体的访问权限来控制计算机信息系统能够被合法的使用．传统的访问控制策略ＤＡＣ（ｄｉｓｃｒｅｔｉｏｎａｒｙａｃｃｅｓｓｃｏｎｔｒ０１，自主访问控制）和ＭＡＣ（ｍａｎｄａｔｏｒｙａｃｃｅｓｓｃｏｎｔｒｏｌ，收稿日期：２００６一０７一１４．作者简介：杨喜敏（１９７２一），男，博士研究生；武汉，华中科技大学计算机科学与技术学院（４３００７４）．Ｉ｝ｍａｎ：ｙａｎｇｘｉｍｉｎ＠ｓｃｕｅｃ．ｅｄｕ．ｃｎ基金项目：国家自然科学基金资助项目（６０３０３０３１）；国家重点基础研究发展计划资助项目（２００４ＣＢ３１８２０３）Ｉ国家民族事务委员会自然科学基金资助项目（ＭＺＺ０４００１）．万方数据第８期杨喜敏等：基于受控实体的访问控制技术・５７・强制访问控制）存在安全缺陷和应用复杂性等问题，当前企业应用系统中普遍采用的是基于角色的访问控制（ＲＢＡＣ，ｒｏｌｅ－ｂａｓｅｄａｃｃｅｓｓｃｏｎ—ｔｒ０１）（１１和基于任务的访问控制（ＴＢＡＣ，ｔａｓｋ—ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒ０１）［２１．１问题分析现代企业信息明显具有海量信息快速更新／变化的特性，在其生命周期中普遍存在着企业信息资源的派生、演化和重组等．企业应用系统要求其安全访问控制技术更加细致和多样化：ａ．不同用户对同一资源的处理能力不同，如在数字化医院软件中的患者当次医疗信息，主治医师具有完全的访问权限，其他业务人员则仅有部分数据的部分访问权限－ｂ．同类用户对同一资源的使用范围不同，如即使是本科室患者的医疗信息，除主治医生外，其他医生则只有部分数据的阅读权限或有限的操作权限；ｃ．企业应用系统网络化和多层分布式对象技术的广泛应用，使企业信息系统日趋呈现出比较明显的协同工作的特征［３３；ｄ．业务流程的易变性，如数字化医院中电子单据的自动划价与否等问题，要求系统必须能针对用户非职责变化的业务能力变更，动态赋予相应的数据访问权限．在访问控制对象和操作比较明确的系统中，ＲＢＡＣ能够提供一种灵活、有效的用户行为能力的组织机制．但ＲＢＡＣ是一种被动的、提前授权的访问控制技术，主体可以无限制使用其拥有的客体及客体资源的访问权限，不能依据操作环境进行访问主体和客体的动态描述，易于造成角色与组织结构的不一致性等问题［４］，在应用中操作也比较繁琐．ＴＢＡＣ通过对工作流中任务步骤的动态授权，可以清晰地表达复杂工作流的控制机制，主体权限的时效性也因任务的时效性得以解决，在一定程度上能够实现授权管理的自动化，也能有效支持安全控制原则．但是，ＴＢＡＣ强调授权步任务的原子性，使得工作流和原子任务的数量，造成权限配置的复杂性，直接影响目标系统的安全管理的实施．其次，主体访问权限的动态性和频繁改变的特性，增加了系统安全控制实现的难度，也给整个系统的运行效率造成影响．文献［５～７］等在ＲＢＡＣ和ＴＢＡＣ的基础上，通过对角色与任务的融合，或是对角色的扩展和约束定义来控制记录集的大小和减轻权限配置的工作量，也在一定程度上实现了角色权限的动态管理，如在ＲＢＡＣ中以任务或／和服务作为角色与权限的中介对象以进一步限制角色的权限；添加允许集、访问规则和组织定义等来限制角色可施加于对象的操作集，多主体的访问控制等．但是，在这些技术中，主体通过角色获得客体的访问权限后，仍然是对客体的所有实例均具有相同的操作能力，因此并不能从根本上解决上述问题．简言之，这些模型对单一的行为能力归约不足以解决大型复杂信息系统的安全控制问题．而从管理的视角来看，企业行为人可以被看作是一些相对稳定的管理单元，每个管理单元可以视为一系列管理与决策活动，这些活动的实质是行为人在特定的管理思想和方法的指导与控制下对相关人员、物资、资金、信息等资源进行合理使用和调度（Ｂ］．如不同的医护人员操作处方的实质是其对处方补充数据的过程．对各种客观存在的和逻辑定义的企业信息资源，本文统一定义为受控实体，从而将信息系统抽象描述为用户在安全控制下对受控实体的一组业务集合的调度．业务则是信息的数据收集、存储、加工和传递的过程，其结果则表示受控实体的特性变化．由此，本文依据企业行为人的管理职责而不是行为职责，在用户和权限之间引入受控实体的概念，提出了基于受控实体的访问控制（ＥＢＡＣ，ｅｎｔｉｔｙ．ｂａｓｅｄａｃｃｅｓｓｃｏｎｔｒ０１）模型．在ＥＢＡＣ中，作为访问客体，受控实体一方面是执行任务的抽象，反映了用户对企业资源的管理能力；另一方面，受控实体在其实例化时，依据既定的约束规则动态生成访问主体对其实例集的权限范围．２ＥＢＡＣ定义在ＥＢＡＣ中，用户（记为Ｕ）和会话（记为Ｓ）的定义与ＲＢＡＣ等模型中相同，下面给出不同部分的定义．定义１受控实体集．企业或组织中客观存在的和逻辑定义的各种资源的集合，记为Ｅ．并记Ｓ。

为受控实体ｅ的实例集的子集，即Ｓ。

∈Ｐ∈Ｅ．定义２权限集．用户对受控实体的可授权的操作集，记为Ｐ．定义３约束规则集．用户在受控实体上的约束规则集，记为Ｃ，则有：Ｃ一｛ｆＩｃ＝（（ｒｌｌ＾ｒ１２＾…＾，．１。

）Ｖ…Ｖ（，．埘１人ｒ。

２＾…＾，．辨。

）），ｒ“一ｒｆ＠铆，兄∈Ｒ，Ｒ∈Ｎ×Ｔ｝，万方数据・５８・华中科技大学学报（自然科学版）第３５卷式中，Ｎ为规则参数名称集ＩＴ为规则参数类型集；Ｒ为规则集；～为一个独立的约束定义；钉为一常量；＠为比较操作符．定义４基于受控实体的访问控制模型ＥＢＡＣ，其构成部分及关系定义如下：ａ．ＥＢＡＣ由（Ｕ，Ｅ，Ｐ，Ｓ，Ｃ）构成；ｂ．ＰＡ∈Ｅ×Ｐ，权限集合到受控实体集合的分配（多对多关系）；ｃ．ＵＡ∈Ｕ×Ｅ，受控实体集合到用户集合的分配（多对多关系）；ｄ．Ｓ—Ｕ，将一个会话ｓ映射到一个独立的用户，记为Ｕ（ｓ）；ｅ．Ｓ一２Ｅ，将５映射到一个受控实体集合，记为Ｅ（５），Ｅ（ｓ）∈｛ｅＩ（【，（ｓ），Ｐ）∈ＵＡ），且其权限集为Ｕ。

∈Ｅ（，）｛户Ｉ（Ｐ，户）∈Ｐ＾）；ｆ．Ｃ—Ｓ。

，将受控实体Ｐ的操作ｐ的资源访问权限映射到一个具体的约束定义上，记为Ｃ（ｓ，Ｐ，ｐ），Ｃ（ｓ，ｇ，夕）∈｛ｆｌｊ（ｓ，ｇ，夕）［Ｐ∈Ｅ（ｓ）＾夕∈Ｕ，∈酬ｏ｛夕Ｊ（Ｐ，户）∈ＰＡ｝］）．定义５受控实体具有层次关系的ＥＢＡＣ，记为ＥＢＡＣＨ，定义如下：ａ．ＥＢＡＣＨ符合ＥＢＡＣ的定义．ｂ．组织模型中，受控实体间具有的偏序层次关系ＥＨ∈Ｅ×Ｅ，记为符号＞；ｃ．Ｅ（ｓ）则重新定义为Ｅ（ｓ）∈｛ＰＩ了（Ｐ７＞Ｐ）［（【，（ｓ），Ｐ’）∈【，Ａ］｝，其权限集则定义为Ｕ，∈鼬，｛户Ｉｊ（∥＜ｅ）［（∥，夕）∈ＰＡ］｝．３ＥＢＡＣ的应用框架如图１所示，ＥＢＡＣ的应用框架由应用层、业务层、表示层和数据层等４层构成．应用层Ｉ口占笛…口ＩｌＩ业务层ｌ望望里二旦ｌｌ蓦ｌ表示层［—三二＿：至圈ｆ霎ｌ数据层匪ｒ百珂ｌＩ口受控实体／实体容器口业务对象。