基于互信属性调配机制的访问控制模型

在基于属性的访问控制中一个重要的问题是对属性资源的获取以及对敏感属性和敏感访问控制策略的保护。传统访问控制属性资源的获取方法已经不能满足开放式的网络环境下的访问控制要求。在自动信任协商机制基础上提出了一种新的授权决策机制——互信属性调配机制（MTAD）,并将其应用到基于属性的访问控制模型中。通过对模型的分析可以看到该模型较好地解决了动态授权、访问效率、授权粒度、属性信息的安全性和敏感属性的保护等问题。     

一种基于用户行为信任的动态角色访问控制

在基于角色的访问控制(RBAC)模型基础上,引入了属性的概念,增加了用户行为信任级别集合,建立了一种基于用户行为信任评估的动态角色访问控制(UT-DRBAC)模型。对新的模型进行了详细的形式化描述并讨论了模型的授权流程,最后从动态性、信任机制、角色数量和性能方面对模型的优越性进行了分析。新的访问控制模型通过角色属性的动态指派实现了模型授权的动态性,通过把用户信任级别作为一个必需的角色属性实现了基于身份信任和行为信任相结合的访问控制,改变了现有访问控制模型单一基于身份信任的静态授权机制;通过设置角色属性减少角色数量,从而缓解了因角色过多而带来的角色管理问题,同时提高了性能。     

基于隐藏证书的XACML访问控制扩展模型

XACML访问控制模型在SOA体系中,属于最新最先进的访问控制模型,但它却没有涉及对敏感属性及敏感策略的保护,这限制了该标准的推广价值.针对这一问题,提出了利用隐藏证书技术来扩展XACML访问控制模型,以提供对交互双方敏感属性及策略的保护,从而实现了基于XACML访问控制模型的自动信任协商.描述了如何使用XACML标准进行敏感策略的组织方式及方法,分析了扩展模型的安全性,证明了扩展模型可以抵御各类常规的分布式攻击.     

基于属性的内部文档访问控制

采用基于属性的访问控制模型思想,实现了分布式环境下的内部文档访问控制.采用F-Logic语言,描述了访问控制策略,具有良好的结构化知识的描述能力.采用FLORA-2作为逻辑推理引擎,具有更好的通用性.在统一的访问控制框架下,以具体应用为例,描述了基于属性的内部文档访问控制实现过程中的各个要素,包括属性描述、访问控制请求描述、策略描述.     

基于情景演算的动态访问控制模型

访问控制模型定义了安全系统访问控制的整体框架。现有的访问控制模型大多是静态授权模型,尽管可以通过扩展来实现局部动态性(比如可以通过定义条件来实现角色的临时激活等),但在应用时受到了扩展元素的限制,并且已有的大部分模型无法描述授权的动态变化过程。针对以上问题,提出了一种基于情景演算的动态访问控制模型(SCDAC)。SCDAC用逻辑事实和规则来描述访问控制属性和策略,把授权在某一时刻的状态(逻辑事实和规则集合)看作一个情景,通过动作来实现情景的变化,同时刻画了动作执行的前提条件和后续状态的变化情况。最后通过一个实例说明了用SCDAC来描述授权状态的动态变化是可行的。     

基于属性树的Web服务访问控制模型

提出了基于属性树的Web服务访问控制模型,引入属性树来描述结构化属性,使用限制树来描述结构化属性的各种限制,解决了结构化属性的描述、属性的限制评估以及策略描述等问题。     

基于OSBE的属性访问控制模型

针对基于属性的访问控制模型（Attribute-Based Access Control,ABAC）不支持对敏感属性的保护和权限变更的问题,提出基于OSBE的属性访问控制模型。通过改用属性证书的签名,使用户的敏感属性信息不再直接暴露给访问控制模块;通过增加采用属性证书签名的协商过程,保护属性库中的属性信息不再被策略决策点随意获取;通过在策略执行点中设计的检测模块和更新模块,支持访问控制过程中的权限变更。通过有限状态机证明了模型的安全性,并通过实例分析表明模型能够支持对属性的保护和授权变更。     

一种基于中国墙策略的应用程序保护模型研究

针对当前系统中属于相同应用类中的应用程序产生利益冲突,可能威胁应用程序安全,包括信息泄露和信息未授权的修改。文章基于中国墙策略,提出了一个新的应用保护模型,该模型明确地区分了主体和用户的概念,并基于格的属性对于实体分配了敏感标记,通过七条访问控制规则,等同地考虑了信息的机密性和完整性保护。基于一阶谓词逻辑,形式化地描述了模型的基本元素及访问控制规则,进一步讨论了模型在实际中的应用。     

P2P中基于信任和属性的访问控制

P2P具有无集中控制节点、节点对等自治和网络动态的特点,这些特点为实施访问控制带来很大的挑战,传统的访问控制技术不能很好地适应对等网环境。首先对现有的对等网环境中的访问控制技术进行研究,然后在基于信任模型的角色访问控制的基础上,针对无法区分通过信任模型计算出相同结果的用户的问题,提出了基于信任和属性的访问控制。基于信任和属性的访问控制引入资源属性和用户属性来分别描述资源和用户,依据用户属性、信任模型计算出的数值、环境属性和授权策略来建立用户角色指派关系,依据资源属性和授权策略来建立角色权限指派关系,从而解决基于信任模型的角色访问控制存在的问题。     

基于区块链的大数据访问控制机制

针对大数据资源来源广泛、动态性强且呈现出分布式管理的特点,当前主流集中式访问控制机制存在权限管理效率低、灵活性不足、扩展性差等不足.基于此,以ABAC模型为基础,提出一种基于区块链的大数据访问控制机制：首先,对区块链技术的基本原理进行描述,并对基于属性的访问控制模型进行形式化的定义;然后提出基于区块链技术的大数据访问控制架构,并对访问控制的基本框架与流程进行了详细的阐述与分析;同时,对基于区块链事务的访问控制策略及实体属性信息管理方法进行了说明,以此保证访问控制信息的不可篡改性、可审计性和可验证性;随后,采用基于智能合约的访问控制方法实现对大数据资源由用户驱动、全程透明、动态、自动化的访问控制;最后,通过仿真实验验证了该机制的有效性,并对该研究内容进行总结与展望.     

基于逻辑程序的访问控制描述与推理

提出访问控制的逻辑描述方法,满足最小模型语义的条件(不含负逻辑),并分析访问控制逻辑程序中不动点的迭代计算方法。通过迭代计算,得到访问控制逻辑程序的最小Herbrand模型——Mp。使用基于逻辑程序的方法对访问控制策略进行了较为精确的推理。     

Algebra and logic for access control

The access control problem in computer security is fundamentally concerned with the ability of system entities to see, make use of, or alter various system resources. We provide a mathematical framework for modelling and reasoning about (distributed) systems with access control. This is based on a calculus of resources and processes together with a Hennessy–Milner-style modal logic, based on the connectives of bunched logic, for which an appropriate correspondence theorem obtains. As a consequence we get a consistent account of both operational behaviour and logical reasoning for systems with access control features. In particular, we are able to introduce a process combinator that describes, as a form of concurrent composition, the action of one agent in the role of another, and provide a logical characterization of this operator via a modality ‘says’. We give a range of examples, including analyses of co-signing, roles, and chains of trust, which illustrates the utility of our mathematical framework.     

一种基于有向图的访问控制方法的研究

提出了一种基于有向图结构的数据关系的表示方法.这种方法直观地将数据之间的包含、信任关系表达出来,可以很方便地计算出对于某个特定的数据访问者所能访问的数据的集合和具体的访问权限,从而达到表达访问控制逻辑的目的.通过这种方法,可以把访问控制逻辑从应用层下降到数据管理层,大大简化应用系统的逻辑复杂度.     

An object-oriented simulation framework for real-time control of automated flexible manufacturing systems

This paper describes an object-oriented simulation approach for the design of a flexible manufacturing system that allows the implementation of control logic during the system design phase. The object-oriented design approach is built around the formal theory of supervisory control based on Finite Automata. The formalism is used to capture inter-object relationships that are difficult to identify in the object-oriented design approach. The system resources are modeled as object classes based on the events that have to be monitored for real-time control. Real-time control issues including deadlock resolution, resource failures in various modes of operation and recovery from failures while sustaining desirable logical system properties are integrated into the logical design for simulating the supervisory controller.     

分布式环境下的访问控制

为适应分布式环境下的安全需求,提出了一种描述访问控制策略和判定访问请求的方法。采用类似于无函数的扩展逻辑程序的表示方法对安全访问策略进行描述,限定权限传播的深度,利用不同的优先次序定义了多种消解冲突的规则,并给出了类似扩展逻辑程序的回答集语义解释。结合确定性推理和可能性推理,描述了如何判定访问请求的算法。解决了3个问题：分布式授权、私有权限和冲突消解方法。     

智能规划的逻辑编码方式研究

逻辑编码方式的设计和实现是基于转换的规划方法有效处理的关键.对几种智能规划方法中的逻辑编码方式予以分析,分别介绍线性编码、基于Graphplan的编码、基于状态的编码、基于动作的编码、基于命题的编码、基于转移的编码、提升的因果编码、基于多值变元的编码、基于有向二元决策图的编码以及基于约束可满足的编码等,并结合国际规划竞赛和相关论文等的实验结论,说明上述编码方式的有效性和可行性,分析该类编码方式在其他领域的应用前景.最后,提出目前智能规划方法中逻辑编码方式研究所面临的挑战、可能的处理方法,以及与之相关的研究热点与趋势.     

基于逻辑合一的访问控制规则描述

现有的访问控制规则描述方式不易表达一类主体、客体间具有包含关系的访问控制规则。针对此问题,提出 一种基于逻辑中合一思想的算法。算法首先将访问控制请求转换为逻辑提问,同时根据逻辑回答给出相应的访问控 制请求应答;然后使用事实描述访问控制规则中的各个要素,并通过在系统运行过程中对非ground事实的变量的动 态例化实现灵活的访问控制。最后,通过一个实例及分析说明了算法的有效性。     

Fault detection and identification based on combining logic and model in a wall-climbing robot

A combined logic- and model-based approach to fault detection and identification （FDI） in a suction foot control system of a wall-climbing robot is presented in this paper. For the control system, some fault models are derived by kinematics analysis. Moreover, the logic relations of the system states are known in advance. First, a fault tree is used to analyze the system by evaluating the basic events （elementary causes）, which can lead to a root event （a particular fault）. Then, a multiple-model adaptive estimation algorithm is used to detect and identify the model-known faults. Finally, based on the system states of the robot and the results of the estimation, the model-unknown faults are also identified using logical reasoning. Experiments show that the proposed approach based on the combination of logical reasoning and model estimating is efficient in the FDI of the robot.     

基于Web的管理信息系统的安全模型设计

基于Web的管理信息系统的安全问题要从数据的访问控制和Web的访问控制两个方面来考虑。文中在数据访问控制方面采用了基于角色的安全策略，设计了数据访问控制的逻辑模型和基本方法。在Web访问控制方面，利用了．NET的Forms认征方式。最后把二者结合起来形成一个完整的安全模型。