基于属性的授权和访问控制研究

因开放环境的分布性、异构性和动态性，对访问控制提出了独特的安全挑战。基于属性的访问控制（ABAC）机制比基于身份的访问控制机制更能解决管理规模和系统灵活性问题，并提供细粒度的控制，已证明了对这种环境的适应性。讨论了ABAC的授权和访问控制机制、实现框架、属性管理等问题，并通过对关键技术的比较分析，提出了将来需要研究的内容，为该领域的进一步研究提供了思路。     

基于属性的跨域访问控制模型设计

本文针对基于Web服务跨域访问控制问题,首先对该问题进行了系统的分析,进而采用SAML身份认证机制和XACML访问控制策略结合ABAC的方法,提出了基于属性的跨域访问控制模型,从而实现了分布式平台的单点登录、多点认证和跨域访问。     

面向Web服务资源的两层访问控制方法

Web服务资源具有静态的Web服务接口和动态的有状态资源两个组件.针对这两个组件的不同特征为它提出一种基于属性的两层访问控制方法(Two Level Attribute-Based Access Control,2L-ABAC).2L-ABAC扩展基于属性的访问控制模型(Attribute-Based Access Control,ABAC),对这两个组件分别进行访问控制.ABAC系统的访问决定依赖于用户提供的主体属性,所以2L-ABAC采用策略发布机制告知用户所需的属性,并根据各层特征分别采用WSDL附件和元数据交换两种发布方式.除了分层设计带来的灵活性,2L-ABAC还继承了ABAC模型的特性,能够对来自其他安全域的用户进行访问控制.另外,它基于相关国际规范实现,如XACML和SAML,故具有通用性.     

Web服务中结合XACML的基于属性的访问控制模型

分析了XACML（eXtensible Access Control Markup Language,可扩展访问控制标记语言）的特点,提出了一种面向Web服务的结合XACML的基于属性的访问控制（Attribute-Based Access Control,ABAC）模型。模型采用基于用户、资源和环境属性、而不是基于用户身份的授权机制,可动态地评估访问请求,提供细粒度的访问控制;采用XACML标准,既可增加互操作性,又能适用于分布式环境,特别适合于Web服务的动态性、异构性等特点。     

基于属性的Web服务访问控制模型

传统访问控制模型都是静态的、粗粒度的,不能很好地在面向服务的环境中应用。本文提出了一种基于属性的访问控制模型（ABAC）,它结合 SAML（Security Assertion Markup Language,,安全声明标记语言）和XACML （ Extensible Access Control Markup Language,可扩展访问控制标记语言）标准,能够基于主体、客体和环境的属性来动态地、细粒度地进行授权。新的模型更加灵活,特别适用于动态的Web服务环境。     

基于属性访问控制方法中的策略定义研究

基于属性的访问控制(ABAC)是面向Web Selrvice应用的一种新的访问控制方法.可扩展访问控制标记语言XACML是一种支持该方法的重要规范,它给出了ABAC策略执行框架以及ABAC策略的定义语言.但XACML中策略定义非常繁琐复杂,对用户提出了很高要求.本文在对ABAC模型进行分析研究的基础上,分析了XACML的策略定义语言,提出了基于XACML的ABAC策略模版,并给出了基于策略模版编写ABAC策略的方法,从而在保证策略正确定义的基础上,有效简化了策略定义过程.     

结合协商机制的Web服务属性访问控制模型

针对实现有效Web服务访问控制的问题,提出一种结合协商机制的Web服务属性访问控制模型。该模型基于安全断言标记语言和可扩展访问控制标识语言,利用主体属性和上下文属性的组合限制条件,提供细粒度的访问控制。通过加入协商机制,服务请求者可以与服务提供者相互沟通,在访问请求中动态地调整参数信息以获得访问授权。     

基于属性证书的Web Services访问控制模型

Web Services的安全性已成为Web Services广泛应用的主要障碍,Web Services需要解决的安全问题包括：机密性,完整性,抗抵赖性,身份认证,授权和访问控制等。该文针对Web Services的授权和访问控制中存在的问题,提出了一种基于属性证书的Web Services授权机制并分析了利用属性证书实现Web Services角色访问控制的特点。     

基于XACML的Web服务安全访问控制模型

Web服务已成为新一代电子商务的框架,其安全问题是不可忽视的问题,需要一种灵活高效的访问控制来保护.通过分析可扩展访问控制标记语言(XACML)和授权管理基础设施(PMI),给出了一种适合于Web服务安全的访问控制系统模型.该系统模型基于属性证书和策略集,用XACML作为描述访问控制决策的语言,适用于Web服务的动态性、异构性等特点.     

基于信任度的跨域安全访问控制模型研究*

针对多域环境下基于属性的访问控制模型(ABAC)存在的敏感属性泄露等问题,提出了基于信任度的跨域安全访问控制模型(CD-TBAC)。该模型将属性管理系统与域决策系统结合,对属性进行敏感度划分,并引入基于时间衰减性的动态信任度度量机制。通过判别信任度和敏感度之间的关系决定是否提交敏感属性,并结合实时的信任度与主体的某些属性确定角色,最终根据访问控制策略确定主体权限,实现域内外的安全访问。实验和性能分析表明,该模型在效率上完全接近于ABAC,并具备较高的安全性,能防止敏感属性的泄露、实现匿名访问和抗重放攻击等。     

Web服务中身份认证与访问控制模型的研究

Web服务分布式、异构的本质。使得对服务请求者进行身份认证和授权变得复杂,针对这些问题提出了一个基于SAML,XACML,RBAC等关键技术的身份认证与访问控制模型。该模型采用SAML辅件技术实现Web服务的单点登录;用XACML实现RBAC模型,简化授权管理,同时达到对资源的细粒度访问控制的目标;用扩展的SAML语法支持XACML信息的安全有效传输。     

CRBAC: Imposing multi-grained constraints on the RBAC model in the multi-application environment

Interactions between resources as well as services are one of the fundamental characteristics in the distributed multi-application environments. In such environments, attribute-based access control (ABAC) mechanisms are gaining in popularity while the role-based access control (RBAC) mechanism is widely accepted as a general mechanism for authorization management. This paper proposes a new access control model, CRBAC, which aims to combine the advantages of RBAC and ABAC, and integrates all kinds of constraints into the RBAC model. Unlike other work in this area, which only incorporates one or a few particular attribute constraints into RBAC, this paper analyses and abstracts the generic properties of the attribute constraints imposed on authorization systems. Based on these analyses and generalization, two constraints templates are presented, called authorization mapping constraint template and behaviour constraint template. The former template is able to automate the user-role and role-permission mapping, while the latter is used to restrict the behaviours of the authorization entities. The attribute constraints are classified into these two templates. Moreover, the state mechanism is introduced to build up the constraints among the statuses of the entities, and reflect the outcomes of the authorization control as well. Based on the presented templates and the state mechanism, the execution model is developed. A use case is proposed to show the authorization process of our proposed model. The extensive analyses are conducted to show its multi-grained constraints by comparing with other models.     

面向Web服务的交互访问控制

针对传统访问控制策略的不足,提出面向Web服务的交互式访问控制策略模式,为适应Web服务间的信息交互访问安全,设计一种基于SAML认证授权框架以实现协同用户与服务商之间交互访问的匹配机制。以Web服务的访问控制过程为例,分析Web服务的交互式访问控制协议的实现过程,结果证明,该协议能为Web服务提供更细粒度的访问控制。     

使用控制支持的动态Web服务访问控制模型研究*

提出了使用控制支持的动态Web服务访问控制模型(WS-DAUCON)。该模型提供了足够的灵活性,能够根据分布式开放网络环境中的属性信息,基于authorization、obligation和condition三种决定策略来检查访问控制决策,实施动态的细粒度Web服务访问控制;同时保留了传统RBAC模型的优点。最后给出了WS-DAUCON的实施框架。     

Web服务中身份认证与访问控制模型的研究

Web服务的分布式与异构性,使得对服务请求者的身份认证和授权复杂化。针对这些问题提出了一个基于SAML、XACML、RBAC等关键技术的身份认证与访问控制模型。该模型采用SAML辅件技术实现Web服务的单点登录;用XACML实现RBAC模型,简化授权管理,同时达到对资源的细粒度访问控制的目标;用扩展的SAML语法保证XACML信息的安全有效传输。     

组合Web服务业务流程访问控制技术研究综述

业务流程访问控制是保证组合Web服务增值安全应用的关键技术,着重论述了组合Web服务业务流程访问控制技术的研究现状及问题。首先对组合Web服务业务流程安全需求进行了分析,然后从组合Web服务业务流程访问控制模型、业务流程运行时访问授权约束、业务流程协同访问授权的一致性检验3个方面分析了业务流程访问控制核心技术的研究进展。最后,结合已有的研究成果,指出了目前研究的挑战以及未来的发展趋势。     

基于属性的支持策略本体推理的访问控制方法研究

基于属性的访问控制模型(ABAC)特别适用于大规模分布式网络。然而,由于网络环境的异构性以及策略控制的复杂性,其访问控制策略集往往庞大且缺乏统一语义,策略管理也因此变得复杂和易于出错。针对以上问题,使用本体一致性推理对现有的基于XACML的ABAC授权框架进行扩展:首先,对几种主要的访问控制模型在分布式环境下的性能进行量化分析;其次,通过对本体知识库的一致性检测来判断策略的一致性;最后,设计一个实验方案来验证该方法的有效性和正确性。