基于描述逻辑的RB-RBAC授权规则冲突检测方法

RB-RBAC（Rule-Based RBAC）模型克服了RBAC模型的一些局限，提供了基于用户属性自动指派角色的机制。为了检测RB-RBAC模型的策略冲突，提出了一种基于描述逻辑的RB-RBAC模型的形式化方法，在此基础上提出了一种检测有关规则间冲突的方法、一种发现无关规则间冲突的方法和在授权规则集合中检测不同类型冲突的方法，可以根据具体情况选择不同的方法以提高效率。并给出了一种简单的冲突消解方法。     

一种RBAC模型中实现否定授权的方法

针对现有基于角色访问控制RBAC(Role_based Access Control)相关模型中对否定授权研究的不足,指出用户可以获得计划外权限的问题.通过引入授权状态的概念,对RBAC模型中权限与角色之间的分配关系进行扩展,定义许可授权、收回授权、否定授权及其优先级,给出授权状态合并运算的九个规则,提出RBAC模型实施否定授权的方法.分析实现否定授权的RBAC模型性能,通过具体实例充分说明实现否定授权的RBAC模型的安全性和实用性,并在实际应用中得到实现和验证.     

多数据库系统中基于角色的访问控制策略研究

本文提出了一个基于角色的多数据库访问控制策略,它包含了基于RBAC的授权主体定义、基于面向对象公共数据模型的授权客体定义和基于语义的授权规则。另外,我们还深入讨论了授权冲突的解决和具体的实现算法。     

基于属性的权限-角色分配模型

基于属性的RBAC提供了一种其角色是基于企业指定授权规则的并自动进行用户-角色分配的机制.该机制只对用户-角色分配进行了讨论,而缺乏对权限-角色分配(PRA)部分的考虑.对基于属性的RBAC进行了扩展,描述了基于属性的权限-角色分配模型.最后将这两种模型结合起来使之应用于分布式环境下的访问控制中.     

主动授权规则实施支持空间特性的RBAC*

为满足安全策略或者角色定义的变化,系统或模型应该提供一种灵活的机制实施支持空间特性的RBAC。引入了OITE（on-if-then-else）主动授权规则实施支持空间特性的RBAC,定义了支持空间特性的RBAC中各基本元素与OITE之间的映射关系。使用OITE作为实施机制,可以在不同粒度上实施带有空间特性角色约束,并且可以将支持空间特性的RBAC应用在多个领域中。最后简要讨论了授权规则如何从支持空间特性的RBAC安全策略中自动产生。     

基于属性的权限一角色分配模型

基于属性的RBAC提供了一种其角色是基于企业指定授权规则的并自动进行用户一角色分配的机制。该机制只对用户一角色分配进行了讨论，而缺乏对权限一角色分配(PRA)部分的考虑。对基于属性的RBAC进行了扩展，描述了基于属性的权限一角色分配模型。最后将这两种模型结合起来使之应用于分布式环境下的访问控制中。     

一种基于角色的访问控制扩展模型

基于角色访问控制(RBAC)被普遍认为是当前最具有发展潜力的访问控制策略,已成为信息安全等领域研究的热点之一.文中在经典RBAC96模型的基础上,引入组用户和事务权限的概念,提出了一种扩展RBAC模型ERBAC,它能够有效降低授权管理复杂度,提高基于角色的访问控制效率.文中给出模型的形式化定义和授权规则,然后以基于校园网的教务管理信息系统为背景,对ERBAC模型的应用方法进行了讨论.     

一种基于角色的访问控制扩展模型

基于角色访问控制(RBAC)被普遍认为是当前最具有发展潜力的访问控制策略，已成为信息安全等领域研究的热点之一。文中在经典RBAC96模型的基础上，引入组用户和事务权限的概念，提出了一种扩展RBAC模型ERBAC，它能够有效降低授权管理复杂度，提高基于角色的访问控制效率。文中给出模型的形式化定义和授权规则，然后以基于校园网的教务管理信息系统为背景，对ERBAC模型的应用方法进行了讨论。     

基于属性和RBAC的混合扩展访问控制模型

针对单纯的RBAC模型在动态授权、细粒度授权等方面存在的不足,将属性与RBAC相结合并保持RBAC以角色为中心的核心思想,提出了两者结合的混合扩展访问控制模型HARBAC。模型支持基于属性的用户-角色分配、角色-权限分配、角色激活、会话角色权限缩减和权限继承等动态访问控制功能。对模型的元素、关系、约束和规则等进行了形式化描述。通过引入权限过滤策略对会话角色的有效权限进行进一步控制,分析研究了基于属性的会话权限缩减方法。应用实例表明HARBAC模型可有效实现动态授权和细粒度授权。HARBAC模型可与传统RBAC无缝集成,并在遵循其最小特权和职责分离等安全原则的基础上,有效降低了管理复杂度,支持灵活、动态、可扩展的细粒度访问控制。     

一种扩展角色存取控制模型

基于角色的存取控制(RBAC,Role-BasedAccessControl)已经在越来越多的MIS,DBMS,DSS,OS,OA,CAI等软件系统中使用,已成为信息系统领域研究的热点问题之一。传统的RBAC模型对角色(Role)授权管理是静态的。但是现代软件系统要求对角色的管理具有动态性。该文引入角色环境函数和角色约束规则的概念,提出了一种扩展角色存取控制模型(ERBAC,ExpandedRole-BasedAccessControl),扩展了RBAC的动态性,讨论了新的角色关系、授权规则和形式化描述,给出了实现ERBAC的基本框架。     

A graph theoretic approach to authorization delegation and conflict resolution in decentralised systems

The problem of resolving conflicts in delegated authorizations has not been systematically addressed by researchers. In (Ruan and Varadharajan in Proceedings of the 7th Australasian Conference on Information Security and Privacy, pp. 271–285, 2002) we proposed a graph based framework that supports authorization delegation and conflict resolution. In this paper, we have extended the model to allow grantors of delegations to express degrees of certainties about their delegations and grants of authorizations. This expression of certainty gives the subjects (e.g. users) more flexibility to control their delegations of access rights. We propose a new conflict resolution policy based on weighted lengths of authorization paths. This policy provides a greater degree of flexibility in that it enables to specify and analyse the effect of predecessor-successor relationship as well as the weights of authorizations on the conflicts. We present a detailed algorithm to evaluate authorization delegations and conflict resolutions. The correctness proof and time complexity of the algorithm are also provided. Since in a dynamic environment, the authorization state is not static, we have considered how authorization state changes occur and have developed an algorithm to analyse authorization state transformations and given correctness proofs. Finally, we discuss how to achieve a global decision policy from local authorization policies in a distributed environment. Three integration models based on the degrees of node autonomy are proposed, and different strategies of integrating the local policies into the global policies in each model are systematically discussed.     

XML文档存取控制研究

提出了一种基于授权树的XML存取控制标记算法，通过①避免在每个XML结点上进行授权匹配；②避免在每个结点上进行授权冲突解决；③避免标记每个结点，有效地改善了处理性能，另外，提出了一种灵活的、用户可配置的授权冲突解决模式，并且将这种解决模式自然地集成到授权树算法之中。     

应用区域边界授权模型

应用区域边界安全系统是一个关防系统,它在使用过程中能否达到保护应用环境安全的目标是由其安全授权规则集的完备性和一致性及对其授权的简便性决定的。应用环境中的主体是通过各种不同的应用协议对客体进行访问的,它们在通过应用区域边界安全系统时,应用区域边界安全系统将根据安全授权规则集对其访问请求进行检验,若满足安全授权规则集要求,则允许通过,反之拒绝。因此,我们根据访问请求所涉及的主体、客体、协议、安全策略等部件,给出了应用区域边界授权的体系结构,同时在给出刻画它们特性的谓词基础上,提出了易于表达安全策略的应用区域边界形式化授权模型。对此形式化模型进行编译不仅可以根据安全策略对授权的合法性进行检验,而且也可以及时发现安全策略中存在的漏洞,从而可以得到一个正确的安全授权规则集。     

支持动态授权的网格授权机制

针对网格环境下动态授权需求,提出一种支持动态授权的网格授权机制。在对授权策略进行分类并形式化描述的基础上,定义了支持静、动态授权的授权规则。该规则支持组件级、功能级和参数级3种粒度的授权,可满足不同粒度授权的需求并提供协商授权功能。设计了基于静、动态授权规则和授权转换规则的策略匹配算法,并结合该算法给出了可支持静、动态授权的应用实例,应用结果表明了授权机制的可行性和有效性。     

普适计算环境下基于信任度的模糊自适应访问控制模型*

在信任模型基础上,提出一种基于信任度的模糊自适应访问控制模型。该模型扩展信任度的概念,建立权限的区间值模糊策略规则,通过对与主体相关的上下文信息的模糊推理实现授权的有效控制。描述模型的构成要素,研究模型的区间值模糊推理算法,为解决普适计算环境下动态访问控制授权问题提供了一定的技术手段。     

Semantic-based authorization architecture for Grid

There are a few issues that still need to be covered regarding security in the Grid area. One of them is authorization where there exist good solutions to define, manage and enforce authorization policies in Grid scenarios. However, these solutions usually do not provide Grid administrators with semantic-aware components closer to the particular Grid domain and easing different administration tasks such as conflict detection or resolution. This paper defines a proposal based on Semantic Web to define, manage and enforce security policies in a Grid scenario. These policies are defined by means of semantic-aware rules which help the administrator to create higher-level definitions with more expressiveness. These rules also permit performing added-value tasks such as conflict detection and resolution, which can be of interest in medium and large scale scenarios where different administrators define the authorization rules that should be followed before accessing a resource in the Grid. The proposed solution has been also tested providing some reasonable response times in the authorization decision process.     

Managing Workflow Authorization Constraints through Active Database Technology

The execution of workflow processes requires authorizations for enforcing the assignment of tasks to agents, either human or automated, according to the security policy of the organization. This paper presents a workflow authorization framework based on roles and organizational levels, and on authorization constraints. To facilitate the assignment of tasks to agents, roles and organizational levels are organized into hierarchies. Authorization constraints are introduced to specify instance-dependent, time-dependent, and history-dependent authorizations. Authorization constraints are specified in terms of active rules, used also for authorization management. The Workflow Management System determines authorized agents on the basis of the contents of an authorization base maintained through the active rules defined in the system.     

基于欧拉图的授权扩散拓扑构建与授权撤销

在分散式自主授权模式中,接受授权的用户可以将转授给他的权限再次转授给其他人,经过多步转授的权限扩散与不完全的委托撤销可能导致隐性授权冲突.在以往的授权模型中,模型设计的重点在于如何授权,而对于授权撤销考虑甚少.由于转授权路径生成的随意性,增加了遍历路径完成授权回收的难度.针对授权路径的生成和转授权回收进行研究,引入欧拉图对授权路径构建进行约束,在此基础上给出了授权路径构建算法与转授权路径遍历回收方法,通过有目的的授权路径构建,简化转授权路径遍历过程,解决转授权路径遍历不完全导致的授权撤销不完整问题,防止权限扩散并消除隐性授权冲突.     

一个基于逻辑的存取控制模型

在任何一个安全系统中，存取控制都是一个极为重要的问题。本文提出一个基于逻辑程序设计的方法来管理非集中式的授权及其代理。在这个系统中，允许用户代理管理权限、授权或禁止其他用户使用某些存取权限。给出一组独立于论域的规则来实现代理正确性、解决冲突和沿着主体、客体及存取权限层次结构的授权传递，其基本思想是将这些一般规则与用户定义的一组与论域相关的特殊规则结合起来，以推导出系统中成立的所有授权。此外，还给出一些语义性质。