一种可扩展访问控制标记语言的策略优化算法

可扩展访问控制标记语言XACML得到了广泛应用。为提高XACML策略的评估效率,提出一种基于韦恩图法的XACML策略优化算法。将XACML策略规则的组成结构用集合论中的韦恩图表示,在设定合并算法优先级的基础上,借助集合间的交并关系,检测和消除策略规则间的冲突与冗余,提高策略评估效率。实验测试表明,该算法在各主流引擎下将 请求评估时间平均缩短10%～20%,同时能减少占用的存储空间,达到策略优化的目的。     

一种基于属性与或矩阵和类型分析的XACML策略查询方法

访问控制策略的描述与执行是信息系统资源保护的一种重要方式,影响到系统的业务化运行。针对目前评估效率较低的问题,研究人员提出了基于属性缓存和重排序等策略的评估方法,该方法提高了策略的评估效率,但尚未解决策略评估需要遍历所有相关规则的问题。针对此问题,在分析XACML(eRxtensible Access Control Markup Language)描述特点的基础上,利用属性与或矩阵和类型分析,提出一种基于属性与或矩阵和类型分析的XACML策略查询方法,以减少策略评估实施时的规则匹配数量。该方法修改了现有Context Handler的处理过程,增加了一个访问控制规则匹配预处理环节,在该环节中计算得出每个规则属性的区分度,利用区分度和属性与或矩阵筛选掉与当前访问控制请求无关的规则,然后对筛选后的规则集合进行匹配,提高策略评估效率。最后通过实验验证了所提方法的有效性。     

基于FSA和重排序的访问控制策略评估方案

针对访问控制策略评估效率问题,提出基于有限状态自动机(finite state automaton, FSA)和重排序的访问控制策略评估方案。以四元组的形式表示策略,构建FSA策略模型检测策略异常,消除策略中的冲突规则以及冗余规则,实现策略评估的前期优化;提出基于重排序的策略评估算法,重排序策略中的规则以及每个规则中的属性-值对(attribute-value pairs, AVP),减少评估访问请求过程中遍历的规则数和属性比较次数。实验结果表明,与传统策略评估引擎相比,该方案检测策略异常效率以及评估效率均有很大提升。     

基于多层次优化技术的XACML 策略评估引擎

给出一种采用多层次优化技术的XACML(extensible access control markup language)策略评估引擎实现方案MLOBEE(multi-level optimization based evaluation engine).策略判定评估前,对原始策略库实施规则精化,缩减策略规模并调整规则顺序;判定评估过程中,在引擎内部采用多种缓存机制,分别建立判定结果缓存、属性缓存和策略缓存,有效降低判定引擎和其他功能部件的通信损耗.通过两阶段索引实现的策略缓存,可显著降低匹配运算量并提高策略匹配准确率.仿真实验验证了MLOBEE所采用的多层次优化技术的有效性,其整体评估性能明显优于大多数同类系统.     

基于XACML的策略评估优化技术的研究

为了提高XACML策略评估逐层匹配的效率, 在规则优化方面提出按规则的请求权重对规则进行排序的思想; 同时在策略评估方面提出XACML合并算法的优先级及主体的规则索引表, 优先选择符合匹配条件的策略和规则来提高匹配速度。仿真实验验证了采取这些措施后, 缩短了PDP 进行评估的时间, 提高了评估效率。     

XACML中策略/规则组合算法优化

在访问控制领域,基于XACML的组合算法是解决策略/规则冲突的方法,当主体的请求数目达到一定规模后,为了将PDP模块进行评估的时间缩短,势必要考虑该算法的优化问题.在对XACML研究的基础上对XACML的规则组合算法进行了优化.通过模拟程序表明,使用该优化措施后,缩短了PDP进行评估的时间,改善了系统的交互性.     

基于二进制序列的属性访问控制策略检索方法

在基于属性访问控制策略中,如何快速响应检索的访问控制请求至关重要,而通过遍历策略集合每条规则中的所有属性值去匹配相应规则的检索方法是低效的。提出一种基于二进制序列的属性访问控制策略检索方法,采用二进制标志和二进制编码表示基于属性的访问控制策略和访问控制请求,通过对二进制标志的逻辑运算选择合适的分组,在组内,通过访问控制请求的二进制编码和所有规则的二进制编码的匹配来查找合适的规则,减少策略集合内规则的属性与访问控制请求属性匹配的过程,从而提高策略检索效率。在实验中从策略预处理、策略评估时间和策略检索总时间三个方面类比相似检索方法的效率,实验结果表明,提出的策略检索方法具有更高的检索效率。     

基于可信平台的一种访问控制策略框架——TXACML

根据可信平台访问控制需求,提出一个可信平台属性分类规则,定义属性评估函数,可以实现可信平台数据安全分发和访问.同时针对XACML现有的策略合成算法不能有效满足可信平台自动方策略复合需求,设计了一个基于平台可信度的策略合成算法,该算法可以使策略的优先级和可信度保持一致,实现自动方策略复合.在此基础上,进一步对XACML实施扩展,形成可信平台策略语言框架TXACML(XACML based on trusted platform).采取TXACML对一个实例给出了策略描述和策略合成过程,验证了TXACML的有效性.     

基于隐藏证书的XACML访问控制扩展模型

XACML访问控制模型在SOA体系中,属于最新最先进的访问控制模型,但它却没有涉及对敏感属性及敏感策略的保护,这限制了该标准的推广价值.针对这一问题,提出了利用隐藏证书技术来扩展XACML访问控制模型,以提供对交互双方敏感属性及策略的保护,从而实现了基于XACML访问控制模型的自动信任协商.描述了如何使用XACML标准进行敏感策略的组织方式及方法,分析了扩展模型的安全性,证明了扩展模型可以抵御各类常规的分布式攻击.     

基于XACML的用户角色自动指派

AURA(Automatic User Role Assignment)能够大幅降低RBAC的管理开销。基于属性规则的访问控制机制能提供细粒度的访问控制。本文详细介绍基于XACML的AURA扩展、AURA中的XACML的策略语言模型、基于XACML的AURA的应用实例、基于XACML的AURA中存在的问题以及基于XACML的参考实现。     

XACML Admin中的策略预处理研究

根据XACML Admin中访问策略和管理策略混合的特点,提出了一个在PDP中将策略树分割为访问策略树和管理策略树来提高在线判定性能的匹配方案.在此基础上,根据委托的逻辑含义,通过构造委托图,去除管理策略树和访问策略树中的无效节点,从而使在线判定时不考虑引起拒绝服务攻击的无效策略.同时根据目前XACML Admin中模式定义的缺陷,提出了一种改进的模式定义,此模式定义使Delegates能够与XACML核心规范中Subjects,Resources等元素的处理规则保持一致,并能够更加有效地定义管理策略.以上这些方式能够有效地改善在线判定性能和阻止针对请求判定过程的拒绝服务攻击.     

基于XACML区分服务策略控制的研究

XACML是描述访问控制的策略语言,论文首先分析了XACML的优点,并对XACML的基本概念做了介绍,然后在扩展XACML的策略基础上,提出了大型网中基于XACML的区分服务策略网络管理方案,以实现不同网络用户对网络资源访问的QoS的动态管理控制。     

Formal specification and integration of distributed security policies

We propose in this paper the Security Policy Language (SePL), which is a formal language for capturing and integrating distributed security policies. The syntax of SePL includes several operators for the integration of policies and it is endowed with a denotational semantics that is a generic semantics, i.e., which is independent of any evaluation environment. We prove the completeness of SePL with respect to set theory. Furthermore, we provide a formalization of a large subset of the eXtensible Access Control Markup Language (XACML), which is the well-known standard informal specification language of Web security policies. We also provide a semantics for XACML policy combining algorithms.     

PMI系统中访问控制策略的分析与设计

访问控制策略是PMI（授权管理基础设施）中的重要因素,它决定着PMI系统的灵活性和适应应用的能力。通过分析目前广泛存在的3种访问控制策略DAC、MAC及RBAC的优势与不足,提出了将三者有机结合、实现一种基于条件的访问控制策略。利用XACML语言对策略进行了描述,并对采用这种策略的PMI系统进行了设计和部分功能的实现。     

基于PBAC的层次式组织机构单点登录技术研究

文章提出一种基于策略访问控制模型的单点登录技术,使用以属性和规则为核心的访问策略表达资源的安全需求,一方面通过建立信任联邦实现跨域的身份认证,另一方面通过部署基于SAML标准和XACML模型的层次式属性权威机构进行域内、域间的策略评估,为分布式环境下的单点登录和授权提供了一种安全的解决方案。     

基于策略的Web服务访问控制研究

资源的访问控制是开放、异构Web服务环境必须满足的重要安全需求之一。提出了基于策略的访问控制（PBAC）模型,比较了PBAC与基于角色的访问控制（RBAC）,分析了PBAC对策略语言和策略管理架构的需求;基于扩展访问控制语言（XAC№）和基于属性的访问控制（舢五地）模型,提出了一种基于策略的访问控制方法。这种方法满足了Web服务对互操作性、管理灵活性和系统规模性的需求。最后,对语义策略语言进行了展望。