SPKI/SDSI名字证书缩减闭包算法及改进

论文简要分析了SPKI/SDSI证书系统的特点及用途,介绍了SPKI/SDSI名字证书及名字证书缩减闭包的概念。给出了SPKI/SDSI名字证书缩减闭包计算的基本算法—B3HTNRC及其改进算—B2HTNCRC,对两种算法进行了实验比较,实验结果表明在输入证书集扩展越大时改进算法B2HTNCRC比B3HTNCRC的效率要越高。     

分布式的SPKI/SDSI2.0证书链搜索算法

信任管理是一种适用于大规模分布式网络的访问控制机制,SPKI/SDSI2.0是目前信任管理体系中最成熟、最普及的一个.可目前已有的SPKI/SDSI2.0证书链搜索算法都是集中式的,而SPKI/SDSI2.0系统是一种分布式系统,证书是以分布式方式分发和存储的.针对此问题,首先给出一种合理的SPKI/SDSI2.0分布式证书存储策略,其中的证书是对象方完全可追溯的（subject-traces-all）.在此基础上,提出了一种分布式的SPKI/SDSI2.0证书链搜索算法DCCDS,它是面向目标的（goal-directed）.理论分析表明,算法具有较高的执行效率,而且可以实现对委托深度（delegation depth）的细粒度控制.     

计算网格中一种扩展的SPKI/SDSI 模型

SPKI/SDSI 是一种灵活且可扩展的分散的安全模型,它能够提供认证、保密和访问控制。然而,SPKI/SDSI 证书链并不适合大规模、高动态的环境,比如计算网格。通过观念模型基于主观逻辑对SPKI/SDSI 安全模型进行了扩展,提出了一种扩展的SPKI/SDSI 模型。该扩展模型可以灵活应用于计算网格。     

一种高效的SPKI/SDSI2.0策略分析算法

信任管理方法提供了一种新的思路,弥补了传统授权机制应用于分布式系统的不足.SPKI/SDSI2.0是目前较普及的信任管理系统,系统中的每个主体都可以发放证书.在一个特定的系统状态中,系统管理员需要知道关于系统的一些“特性”,如某一主体是否有权访问被保护资源、一个本地名有哪些成员等.当证书数量庞大时,这些问题需要借助一定的工具才能回答.但以前的算法均集中于对授权问题的讨论,没有考虑与名字相关的系统策略分析,且分析效率偏低.提出了一种基于逻辑的SPKI/SDSI2.0策略分析算法EPAAS,从本质上拓宽了策略分析的领域,利用它不仅可以分析SPKI/SDSI2.0的授权问题及名字问题,还可以将这两类问题结合起来对系统策略进行综合查询;此外,EPAAS将策略分析的时间复杂度由原先算法的O(n\\+3l)降至O(n),提高了分析效率.EPAAS用标准的Datalog程序表示SPKI/SDSI2.0的系统状态,以Datalog程序的最小Herbrand模型作为它的语义,证明了该语义的可靠性.     

基于证书的语义Web服务访问控制方法

为了实现语义Web服务环境中的访问控制机制,研究了基于证书授权的访问控制方法.在对语义Web服务的访问控制需求进行分析的基础上,提出了将简单公钥基础设施/简单分布式安全基础设施(SPKI/SDSI)证书与OWL-S本体描述集成的访问控制方法,该方法将访问控制描述与服务功能描述集成在一个统一的框架中,既便于管理又提高了用户访问Web服务的效率.     

基于证书的语义Web服务的访问控制研究

通过整合两种现有的技术：DAML-S（用机器可处理的语义描述Web服务）和SPKI/SDSI（用来指定基于授权的访问控制）,对语义网的访问控制做了一些改进,同时根据同济大学全国CAD培训网络系统,提出一个实际应用场景,并具体配置了该方法.该方法不仅仅适用于典型的基于Web服务的应用程序（Client-Server结构）,同时也适用于点对点和基于Agent的应用程序.     

利用授权证书实现分布式的访问控制

本文从授权证书的格式出发,阐述如何利用证的缩减来实现分布式的访问控制策略,分析了证书缩减算法,并给出实现模型。     

电子政务基于属性证书的访问控制模型

随着我国电子政务的发展,如何保障电子政务中的资源信息不被非法访问已成为当务之急。如何进行用户对资源和服务使用的限制,决定主体是否对客体有权限进行某种操作,即对用户进行访问控制的问题信息安全研究中的重要方面。授权来源于访问控制,即先对用户进行授权,然后根据用户具有的权限来进行访问控制。属性证书包含了一系列用户的权限信息,所以属性证书可以看作是权限信息的载体。根据属性证书中用户的权限信息可以对用户访问资源进行控制,基干角色的访问控制(RBAC)是一种新兴的访问控制技术和理念,是将用户划分成与其职能和职位相符合的角色,根据角色赋予相应操作权限,以减少授权管理的复杂性,降低管理开销和为管理员提供一个比较好的实现复杂安全政策的环境,是传统的自主访问控制和强制访问控制的升级和替代。RBAC的建模和实现技术是目前RBAC技术研究的热点和难点。NRBAC模型是一种更接近现实情况的模型。基于属性证书和电子政务中存在的特殊要求和特点,结合RBAC96、ARBAC97模型以及NRBAC模型,构造了一个适合电子政务系统使用的基于角色的安全访问控制模型eGA-NRBAC;利用该访问控制模型解决了电子政务工程中授权管理系统和授权服务系统的工程化实现问题。测试和实际使用都证明了此访问控制模型的正确性、可行性和可靠性。     

B/S系统中访问控制机制的设计与实现

针对组织机构内部B/S系统,本文参照X.509证书,设计一种轻量角色属性证书,以单个的组织机构为目标, 实现一种统一的授权服务和访问控制机制。     

基于隐藏证书的XACML访问控制扩展模型

XACML访问控制模型在SOA体系中,属于最新最先进的访问控制模型,但它却没有涉及对敏感属性及敏感策略的保护,这限制了该标准的推广价值.针对这一问题,提出了利用隐藏证书技术来扩展XACML访问控制模型,以提供对交互双方敏感属性及策略的保护,从而实现了基于XACML访问控制模型的自动信任协商.描述了如何使用XACML标准进行敏感策略的组织方式及方法,分析了扩展模型的安全性,证明了扩展模型可以抵御各类常规的分布式攻击.     

基于SPKI电子支付中的银行端访问控制

In the system of electronic payment based on SPKI, access control of bank acts as the important function of identification, protecting customer‘s privacy and ensuring payment. The paper proposes the model of bank access control, and describes the frame and the steps of the access control. Finally, the paper analyzes the characteristics of the model.     

一种新的公钥基础设施—SPKI

1 引言简单公钥基础设施(Simple Public Key Infrastructure,SPKI)是一种新的公钥证书标准。它能为分布式计算环境提供简单而精确的命名及授权体制。1999年,IETF组织将SPKI标准化。 SPKI主要用于访问控制,它的突出特点有二:分布式安全管理、使用密钥来代替以往X.509体制使用的名字。此外,在SPKI的证书里可以定义不同形式的许可权限。应该说,SPKI的全部思想都是基于公钥加密体制。所以,不管是证书的产生还是证书的使用,密钥都占主导地位。     

Understanding SPKI/SDSI using first-order logic

SPKI/SDSI is a language for expressing distributed access control policy, derived from SPKI and SDSI. We provide a first-order logic (FOL) semantics for SDSI, and show that it has several advantages over previous semantics. For example, the FOL semantics is easily extended to additional policy concepts and gives meaning to a larger class of access control and other policy analysis queries. We prove that the FOL semantics is equivalent to the string rewriting semantics used by SDSI designers, for all queries associated with the rewriting semantics. We also provide a FOL semantics for SPKI/SDSI and use it to analyze the design of SPKI/SDSI. This reveals some problems. For example, the standard proof procedure in RFC 2693 is semantically incomplete. In addition, as noted before by other authors, authorization tags in SPKI/SDSI are algorithmically problematic, making a complete proof procedure unlikely. We compare SPKI/SDSI with RT ₁ ^C , which is a language in the RTRole-based Trust-management framework that can be viewed as an extension of SDSI. The constraint feature of RT ₁ ^C , based on Constraint Datalog, provides an alternative mechanism that is expressively similar to SPKI/SDSI tags, semantically natural, and algorithmically tractable. Preliminary version of this paper appeared in Proceedings of the 16th IEEE Computer Security Foundations Workshop, July 2003. Most of this work was performed while the first author was a research associate at the Department of Computer Science, Stanford University in Stanford, CA 94305.     

利用路由器访问控制列表实现内部网络安全的研究

路由器在网络体系结构中起着非常重要的作用,本文介绍了路由器访问控制列表（ACL）的基本原理和使用方法。并列举了访问控制列表在内部网络安全方面的具体应用。     

基于SPKI的移动Agent访问控制模型

分析了目前使用认证和授权机制来保护运行环境不受移动Agent的恶意攻击的方案，提出一种使用SPKl证书进行访问控制的模型，并对模型进行了分析。     

基于访问控制策略的网络协议

传统的TCP／IP协议存在诸多的安全问题。描述了在传统的TCP／IP协议实现中增加自主访问控制和强制访问控制,从而支持处理敏感信息的计算机之间的通信,防止敏感信息的泄密,增强通信的安全性。     

用户接入控制在网络安全体系中的应用

随着信息安全技术的应用和发展,在企业的局域网中,用户设备已逐渐成为网络安全防范的源头,因此用户接入控制在构建企业网络安全体系中起到了重要的作用。本文分析了企业用户在网络安全建设中遇到的问题,详细介绍了用户接入控制技术的应用和发展情况。