基于信任度属性的访问控制策略合成

运用代数系统来形式化的描述、推理和演算跨域环境下基于属性的访问控制策略合成,是解决策略冲突和合成的有效途径。通过引入由上下文环境及时间衰减性动态判决的信任度属性,增加信任度投票算子,并将属性授权项扩展为由主体属性、客体属性、环境属性、信任度属性、操作属性构成的五元组,提出了基于信任度属性的策略合成代数系统。通过四个安全域中的策略合成实例分析,详细阐述了利用信任度属性值实时监控访问请求主体在授权后访问行为的安全性,并展示了策略合成更强的描述能力、灵活性和安全性。最后使用现有的策略合成表达式的代数性质来验证策略合成的结果。     

网格环境下基于属性的访问控制策略合成研究*

为了满足网格环境下资源聚合对访问控制策略合成的需求,达到建立统一的安全策略的目的,提出了一种扩展的基于属性的访问控制（ABAC）策略合成代数来实现安全策略的合成,该合成在策略表达式中引入了环境属性,并结合了一种新的策略合成算子实现访问控制策略的合成。用一个具体的策略合成案例展示了策略的合成,说明策略合成方法有良好的语义表达能力、灵活性以及可扩展性。     

基于安全进程代数的非演绎安全模型的分析与验证

就刻画安全的性质而言,基于非演绎信息流的安全模型较基于访问控制的安全模型更为确切和本质。在基于迹语义对非演绎信息流安全模型进行分析的基础上,基于安全进程代数给出非演绎模型的形式化描述,然后基于系统的安全进程代数表达式给出非演绎模型的验证算法且开发了相应的验证工具,最后通过实例说明该算法的正确性和验证工具的方便适用性。     

组合Web服务访问控制策略合成研究

针对Web服务多域环境下组合服务的访问控制策略合成问题,首先提出基于属性的Web服务访问控制策略描述框架,并结合原子属性值限制的属性描述方法,对服务访问控制策略进行了形式化表达。然后,通过分析服务组合描述文档中的控制结构,并研究访问控制策略合成算子和访问控制策略规则的合成运算,提出组合Web服务访问控制策略合成方法,实现了组合服务访问控制策略的合成。最后,结合实例给出组合Web服务的访问控制策略合成流程,验证了合成方法的实用性。     

面向WS-BPEL的访问控制策略合成研究

在Web服务组合中,外部子服务通常会定义访问控制策略以保护资源被安全的使用,同时组合脚本中也存在着复杂的逻辑控制结构,这两点因素使安全管理员在描述组合服务的访问控制策略变得非常复杂。提出一种基于条件的访问控制策略模型以及基于该模型的策略合成代数,将WS-BPEL语言中常见控制结构映射成策略合成表达式,通过合成外部子服务的访问控制策略,生成组合服务的访问控制策略。最后,设计了原型系统描述策略合成的流程。     

Tabular表达式的指称语义研究

Tabular 表达式是一种采用表格化结构组织函数或关系的形式化描述工具,在需求工程领域中具有广泛的应用,为Tabular 表达式建立形式的语义模型是非常必要的.针对Tabular 表达式通用模型,给出了Tabular 表达式的形式文法及指称语义.通过定义形式文法中各语法单元的语义指派方程,描述了Tabular 表达式的指称语义,分别对传统类型Tabular 表达式和新类型Tabular 表达式中一些典型表类型的指称语义进行了描述,并与其他几种Tabular 表达式的语义描述方法进行了比较.分析结果表明：该语义描述方法不仅准确描述了Tabular 表达式的语义,而且不再受Tabular 表达式模型和Tabular 表达式类型的限制,打破了现有方法的局限性,是一种非常有效的方法.     

基于属性访问控制的CSP模型

从可用性的角度提出一个基于属性的访问控制模型.首先介绍了属性、属性项等相关概念,在此基础之上,通过约束满足问题建立了访问控制规则的形式化模型;其次,证明了在给定属性项值域的前提下,正向规则与负向规则可以互相转化,从而提出一致性策略的概念,并分别根据肯定优先及否定优先规则合成算法,给出了一致性策略的形式化模型,研究了策略可允许访问操作集合;最后,通过实例阐述了基于属性访问控制模型的表达能力.     

基于本体的多域访问控制策略集成研究

本体是共享概念模型的形式化规范说明,是一种能在语义和知识层次上描述信息系统概念模型的建模工具,为解决多域环境中的安全互操作提供了一种新的方法.使用本体及其描述语言,对基于角色的访问控制策略进行了描述,形成一个概念和属性的公理集合（TBox）,并采用ALCN（含有个数限制和补算子的描述逻辑语言）对TBox进行形式化的描述.利用域间角色映射方法来解决多域访问控制策略的集成.使用基于规则的推理技术,定义多域访问控制中的一系列推理规则,实现访问控制领域的推理.基于前述方法实现了OntoAC系统,实验结果表明该方法是有效的.     

属性RBAC策略的OWL表示和推理

将属性作为授权约束,给出了属性扩展的RBAC模型。提出了一种基于OWL的属性RBAC策略定义和表示方法。该方法支持复杂属性表达式、属性值偏序关系、角色层次关系和约束的定义;在推理机的支持下,可以执行访问控制决策推理,属性表达式支配关系判定和策略知识一致性检测。具体应用案例说明了该方法的可行性。     

基于属性的访问控制策略模型

研究属性、属性谓词、属性名值对的抽象与描述,提出一种基于属性的访问控制策略模型,对策略、策略评估进行形式化定义。描述在设置策略合并算法和系统缺省授权下的访问控制判决过程,设计一种改进的策略管理框架并对其进行仿真测试。结果表明,该框架具有较强的可扩展性,能够为实施基于属性的访问控制提供依据。     

基于属性的访问控制策略逻辑融合框架研究

基于属性的访问控制策略合并在大规模分布式多域环境下有着重要的应用背景。从现有文献关于基于属性的访问控制策略合成的研究结论出发,提出了一种逻辑融合框架,用以描述各种策略合并场景,并用实例对其进行了应用分析。该框架不仅能支持已有工作,而且能描述动态的策略合成方法。随后引入一个推理系统,根据它可以形式地验证合并出的新策略的一致性,并给出所提策略逻辑对访问请求的一种评估方法,保障了策略融合的正确性,进一步增强了策略融合方法的适用性。     

基于策略代数系统的策略间关系分析

当前分析策略之间关系的研究多集中于访问控制策略,主要根据主体、目标和动作三元组上的重叠关系来划分策略冲突类型,存在划分标准不明确,冲突分类不完善等问题.采用策略代数系统来对策略进行描述,能表示Ponder中的授权策略(访问控制策略)和职责策略.分析了策略对应组成部分间所有可能存在的关系,包括离散、相等、包含、部分包含和交叉等五种,在这些关系的基础上指出了可能存在的冲突,并给出了相应的冲突消解方案.     

分布式应用中的访问控制规范的研究

针对分布式系统中安全服务规范给安全策略管理带来的不便,文章给出了一个针对分布式系统的访问控制策略设计和管理的访问控制模型,将此模型融入到分布式应用系统程序中,使用视图策略语言来描述访问控制策略,实现对安全访问策略行之有效的管理,并可以进行静态类型检测以保证规范的一致性。文章最后给出了分布式应用程序中执行VPL表示的访问控制策略的基础结构。     

A Multiple-Valued Algebra for Modeling MOS VLSI Circuits at Switch-Level

A multiple-valued algebra for modeling MOS VLSI circuits at switch-level is proposed in this paper,Its structure and properties are studied.This algebra can be used to transform a MOS digital circuit to a swith-level algebraic expression so as to generate the truth table for the circuit and to derive a Boolean expression for it.In the paper,methods to construct a switch-level algebraic expression for a circuit and methods to simplify expressions are given.This algebra provides a new tool for MOS VLSI circuit design and analysis.     

Automated verification of access control policies using a SAT solver

Managing access control policies in modern computer systems can be challenging and error-prone. Combining multiple disparate access policies can introduce unintended consequences. In this paper, we present a formal model for specifying access to resources, a model that encompasses the semantics of the xacml access control language. From this model we define several ordering relations on access control policies that can be used to automatically verify properties of the policies. We present a tool for automatically verifying these properties by translating these ordering relations to Boolean satisfiability problems and then applying a sat solver. Our experimental results demonstrate that automated verification of xacml policies is feasible using this approach. This work is supported by NSF grants CCF-0614002 and CCF-0716095.     

Real-time update of access control policies

Access control policies are security policies that govern access to resources. The need for real-time update of such policies while they are in effect and enforcing the changes immediately, arise in many scenarios. Consider, for example, a military environment responding to an international crisis, such as a war. In such situations, countries change strategies necessitating a change of policies. Moreover, the changes to policies must take place in real-time while the policies are in effect. In this paper we address the problem of real-time update of access control policies in the context of a database system. Access control policies, governing access to the data objects, are specified in the form of policy objects. The data objects and policy objects are accessed and modified through transactions. We consider an environment in which different kinds of transactions execute concurrently some of which may be policy update transactions. We propose algorithms for the concurrent and real-time update of security policies. The algorithms differ on the basis of the concurrency provided and the semantic knowledge used.