使用控制模型的可变性分析

作为对传统访问控制的扩展,使用控制更能满足现代信息系统的需求.文章定义了使用控制属性管理的一个分类,论述了在使用控制模型中属性的控制方式,讨论了使用控制的可变性,以及临时属性和永久属性两个可变属性.可变性是对相关主体和对象访问结果的属性更新,使得基于历史的访问决策更容易实施.在属性可变性的基础上,运用使用控制的观点,进一步讨论了可变性的几种变化形式.     

信息系统中基于角色的访问控制

在一个企业级信息系统中,用户访问信息系统中资源的管理是一个复杂问题,直接对用户授权的管理模式不能适应企业的发展。文中讨论了基于角色的访问控制管理方式和ORACLE数据库管理系统的安全性策略,分析了信息系统中访问控制管理的需求,提出了对信息系统应用功能访问和数据库访问的分开控制管理,通过应用系统角色建立数据库用户和应用系统功能之间的关联,从而构成信息系统的访问控制管理策略。给出了基于角色的访问控制实现,并应用于设备信息管理系统中,实现了用户访问控制动态管理。     

信息系统中基于角色的访问控制

在一个企业级信息系统中,用户访问信息系统中资源的管理是一个复杂问题,直接对用户授权的管理模式不能适应企业的发展.文中讨论了基于角色的访问控制管理方式和ORACLE数据库管理系统的安全性策略,分析了信息系统中访问控制管理的需求,提出了对信息系统应用功能访问和数据库访问的分开控制管理,通过应用系统角色建立数据库用户和应用系统功能之间的关联,从而构成信息系统的访问控制管理策略.给出了基于角色的访问控制实现,并应用于设备信息管理系统中,实现了用户访问控制动态管理.     

一种新型访问控制技术研究

使用控制（UCON）是对访问控制的一种概述,它包含授权、职责、条件、连续性（正在进行的控制）和易变性。通常来说,访问控制只是对主体访问的目标资源进行授权,作为访问的结果并没有进行系统的分析研究。文章根据使用控制的需求,研究了一种ABC模型,该模型定义为使用控制的核心模型,并且说明了它是怎样包含了传统的访问控制。例如强制的、自主的、基于角色的访问控制。另外,也讨论了它的体系结构。引入了一种全新的对使用控制及其变化的监控方法。     

基于带时间特性RBAC的使用控制模型及其管理

介绍和分析了基于角色的访问控制管理模型与使用控制模型,指出使用控制核心模型存在的不足。将权利的授予与撤消分离的授权机制引入使用控制模型,提出一种带时间特性的基于角色的使用控制模型,给出了模型的描述及模型管理的实现。     

基于属性的授权和访问控制研究

因开放环境的分布性、异构性和动态性，对访问控制提出了独特的安全挑战。基于属性的访问控制（ABAC）机制比基于身份的访问控制机制更能解决管理规模和系统灵活性问题，并提供细粒度的控制，已证明了对这种环境的适应性。讨论了ABAC的授权和访问控制机制、实现框架、属性管理等问题，并通过对关键技术的比较分析，提出了将来需要研究的内容，为该领域的进一步研究提供了思路。     

文档管理中权限控制的设计与实现

在权限控制中最常使用是基于角色的访问控制模型，但它在文档管理系统中具有局限性。本文首先描述了文档管理系统的特点及其权限控制的要求，在基于角色的访问控制模型的基础上，提出了一种新的基于角色、部门、岗住和用户的四层权限控制模型——RDPU。最后详细讨论了RDPU模型在文档管理系统中的具体实现和应用。     

一种通用访问控制管理模型

目前的访问控制管理模型都是针对某种特定的访问控制模型提出的,不能适应多访问控制模型共存于一个大型系统的情况,一个管理模型不能同时适用于多访问控制模型的主要原因是管理者管理范围定义包含了某种访问控制模型中特有的组件.通过使用各种访问控制模型中共有的主体和权限来定义管理模型中的管理范围,将管理模型与访问控制模型之间的关系抽象为一个用于计算策略相关管理范围的函数,提出了一种能够用来管理不同访问控制模型的通用访问控制管理模型,为了便于模型实际使用,在模型中引入管理空间的概念与实际组织结构相对应,形成分布式访问控制管理结构,同时模型严格区分了管理空间的直接管理者和间接管理者在管理权限上的不同,使得管理者具有一定的自治性.最后讨论了管理模型中的管理规则和语义,证明了模型的完备性,并讨论和分析了针对不同访问控制模型的policy*算法.     

基于UCON模型的PMI体系结构

基于角色的访问控制(RBAC)是授权管理基础设施PMI常用的策略,但它不能有效地解决资源使用中授权访问控制等动态授权问题.作为一种新型的访问控制技术,使用控制UCON模型具有支持动态授权等优势.基于UCON提出了一种授权管理体系结构UCB-PMI,并用可扩展访问标记性语言XACML描述其授权策略,最后分析了UCB-PMI的特点,     

面向Web服务的基于属性的访问控制研究

Web服务是一种新的面向服务的计算模式，由于其异构性、多域性和高度动态性，它提出了独特的安全挑战。一个关键的安全挑战就是要设计有效的访问控制机制。但目前存在的访问控制机制大多是基于身份的，存在严重的管理规模和控制粒度问题。本文提出利用基于属性的访问控制（Attribute-Based Access Control，ABAC）机制来处理Web服务的访问控制问题。ABAC采用相关实体的属性进行授权决策，能解决管理规模问题，并提供细粒度的控制。另外，文中对ABAC进行了建模，讨论了其应用，最后还给出了一种实施框架。     

Trust-based access control for collaborative systems

In distributed, heterogeneous and network-connected collaborative environments where resources are provided to diverse unknown users for their applications, it is necessary to define access control for resources. Access control for such systems is defined as the ability to authorise or repudiate access to resources by a particular user. Traditional access control solutions are inherently inadequate for collaborative systems because they are effective only in situations where the system knows in advance which users are going to access the resources and what are their access rights so that they can be predefined by the developers or security administrators, but in collaborative systems the number of users as well as their usage on resources is not static. Targeting collaborative systems, a fine grained, flexible, persistent trust-based model for protecting the access and usage of digital resources is defined in this paper using radial basis function neural network (RBFNN). RBFNN classifies the users requesting the resources as trustworthy and non-trustworthy based on their attributes. RBFNN is used for classification because of its ability to generalise well for even unseen data and non-iterative method employed in its training. A proof of concept implementation backed by extensive set of tests on the real data collected for one such collaborative systems, i.e. Enabling Grids for E-Science grid demonstrated that the design is sound for collaborative systems where access of resources are provided to large and unknown users with their variant set of requirements.     

新型网络环境下的访问控制技术

访问控制是系统安全的关键技术,不同网络环境下的访问控制机制也是不同的.首先对3种传统的访问控制策略加以介绍,给出DAC(discretionary access control),MAC(mandatory access control)和RBAC(role-based access control)各自的特点及应用,并简要介绍下一代访问控制UCON(usage control)模型,然后分别针对网格、P2P、无线网络环境下的访问控制技术及目前的研究现状进行总结,详细阐述可信网络作为下一代互联网发展的必然     

Adapting usage control as a deterrent to address the inadequacies of access controls

Access controls are difficult to implement and evidently deficient under certain conditions. Traditional controls offer no protection for unclassified information, such as a telephone list of employees that is unrestricted, yet available only to members of the company. On the opposing side of the continuum, organizations such as hospitals that manage highly sensitive information require stricter access control measures. Yet, traditional access control may well have inadvertent consequences in such a context. Often, in unpredictable circumstances, users that are denied access could have prevented a calamity had they been allowed access. It has been proposed that controls such as auditing and accountability policies be enforced to deter rather than prevent unauthorized usage. In dynamic environments preconfigured access control policies may change dramatically depending on the context. Moreover, the cost of implementing and maintaining complex preconfigured access control policies sometimes far outweighs the benefits. This paper considers an adaptation of usage control as a proactive means of deterrence control to protect information that cannot be adequately or reasonably protected by access control.     

使用控制支持的动态Web服务访问控制模型研究*

提出了使用控制支持的动态Web服务访问控制模型(WS-DAUCON)。该模型提供了足够的灵活性,能够根据分布式开放网络环境中的属性信息,基于authorization、obligation和condition三种决定策略来检查访问控制决策,实施动态的细粒度Web服务访问控制;同时保留了传统RBAC模型的优点。最后给出了WS-DAUCON的实施框架。     

PBAC: Provision-based access control model

Over the years a wide variety of access control models and policies have been proposed, and almost all the models have assumed “grant the access request or deny it.” They do not provide any mechanism that enables us to bind authorization rules with required operations such as logging and encryption. We propose the notion of a “provisional action” that tells the user that his request will be authorized provided he (and/or the system) takes certain actions. The major advantage of our approach is that arbitrary actions such as cryptographic operations can all coexist in the access control policy rules. We define a fundamental authorization mechanism and then formalize a provision-based access control model. We also present algorithms and describe their algorithmic complexity. Finally, we illustrate how provisional access control policy rules can be specified effectively in practical usage scenarios. Published online: 22 January 2002     

多主体多方向的可管理使用控制模型研究

在高度动态的分布式环境下,传统单方向的访问控制已经不能为系统提供足够的可信赖性。本文分析了多种主体之间的相互关系,针对隐私保护问题提出了可管理的使用控制模型。该模型能够解决多种主体之间的并行控制、系列控制和使用控制问题。本文还对实现AUCON的安全体系结构和相关的安全机制进行了细致的描述。分层的方法可以为解
决问题提供一个完整而高效的安全解决方案。     

访问控制和数字版权管理

分析了传统的访问控制模型的缺陷，并从多方面对传统访问控制与作为现代访问控制技术的数字版权管理技术进行了比较，最后给出了一种包含传统的访问控制和数字版权管理的使用控制模型。     

Floor control for multimedia conferencing and collaboration

Floor control allows users of networked multimedia applications to utilize and share resources such as remote devices, distributed data sets, telepointers, or continuous media such as video and audio without access conflicts. Floors are temporary permissions granted dynamically to collaborating users in order to mitigate race conditions and guarantee mutually exclusive resource usage. A general framework for floor control is presented. Collaborative environments are characterized and the requirements for realization of floor control will be identified. The differences to session control, as well as concurrency control and access control are elicited. Based upon a brief taxonomy of collaboration-relevant parameters, system design issues for floor control are discussed. Floor control mechanisms are discerned from service policies and principal architectures of collaborative systems are compared. The structure of control packets and an application programmer's interface are proposed and further implementation aspects are elaborated. User-related aspects such as floor presentation, assignment, and the timely stages of floor-controlled interaction in relation to user-interface design are also presented.     

基于动态属性的域间使用控制模型研究

在分析多域交互主要特性的基础上,提出了一种多安全域下的动态使用控制模型(DAB-UCON).该模型以下一代访问控制UCON_(ABC)核心模型为基础,将属性、授权(A)、义务(B)、条件(C)等各个组件作为一个动态实体进行扩展.提出一种属性分类方法,即按照属性定义时间和应用范围分别进行模型描述.最后对模型进行讨论,引入属性谓词等来满足动态多域交互条件下的系统需求.扩展后的模型有助于访问控制中动态的策略构建和授权.