基于属性的跨域访问方法研究

针对基于IRBAC2000模型的跨域访问过程中所面临的动态性和细粒度问题．文章提出了一个基于属性同步的跨域访问控制框架,在此框架下,研究了一种基于属性同步的跨域访问控制方法,该方法将主体属性分成动态属性和静态属性,采用三种信令对跨域过程中的动态属性进行同步更新,从而更动态,更细粒度的对跨域的用户进行实时授权,并在跨域访问过程中采用推拉方法实现请求域和资源域属性的同步,将请求域主体的属性变化及时、主动地在资源域反应,实现了授权规则的快速匹配。该方法改进了IRBAC2000跨域访问的不足。     

面向多租户的属性标签分层方案

Saa S模式中租户与服务商之间一直存在信任问题,将服务商与租户分开管理,借助标签跨域访问则存在效率瓶颈和标签安全的问题。利用属性特征结合标签,设计出一个针对多租户跨域访问的方法,将标签根据属性分类管理,再把跨域访问的权限赋予各属性标签,实现平台内通过属性标签的跨域访问。最后,通过实验和分析验证了该属性标签保护方法的高效性。     

开放网络环境中基于属性的通用访问控制框架

针对传统访问控制模型在新一代可信互联网环境应用中存在用户角色赋值效率不高、跨域访问控制实现困难等局限性,提出了基于属性的通用访问控制框架。该框架对用户、资源、操作和上下文四类对象的属性信息进行统一的描述和处理,简化了传统RBAC及其他访问控制系统复杂的权限判定方式,从而增强了访问控制系统的通用性和灵活性;同时,对于跨域的访问应用了基于属性证书的验证方式并给出了相应的策略评估方案和评估算法,能够针对不同应用域中用户的访问需求动态实施资源管理和访问控制;另外,框架中引入的运行上下文对象机制,进一步提升了该框架对复杂、动态互联网环境的适应能力。     

基于信任度的跨域安全访问控制模型研究*

针对多域环境下基于属性的访问控制模型(ABAC)存在的敏感属性泄露等问题,提出了基于信任度的跨域安全访问控制模型(CD-TBAC)。该模型将属性管理系统与域决策系统结合,对属性进行敏感度划分,并引入基于时间衰减性的动态信任度度量机制。通过判别信任度和敏感度之间的关系决定是否提交敏感属性,并结合实时的信任度与主体的某些属性确定角色,最终根据访问控制策略确定主体权限,实现域内外的安全访问。实验和性能分析表明,该模型在效率上完全接近于ABAC,并具备较高的安全性,能防止敏感属性的泄露、实现匿名访问和抗重放攻击等。     

面向移动终端的云计算跨域访问委托模型

为实现移动节点跨域访问过程中的云资源保护,针对云环境和移动终端特点,借鉴已有的基于委托的RBAC访问控制技术,提出了一种面向移动终端的跨域访问委托模型、委托机制,有效解决了移动终端所属域的动态多变问题.域管理节点维护的动态路由表,实现了移动节点的准确定位.模型给出了角色合成方法,结合量化角色技术,避免了映射过程中权限的隐蔽提升问题.委托申请频率阈值,避免了恶意节点频繁申请带来的资源耗尽风险.分析结果表明,模型具有较好的实用性和安全性,为实现现有跨域访问控制模型向移动终端扩展提供了新思路.     

基于IRBAC的跨域角色映射方法

在资源共享越来越密切的今天,跨域授权访问变得越来越重要, IRBAC2000模型通过动态角色转换来实现域间的授权访问,但是该模型在动态角色映射时存在最小权限、职责分离和域穿越等问题.提出一个矩阵结构的跨域映射方式来改进IRBAC2000,研究了该方式的表现形式,分析了上述三个问题的改进措施,并用一个实例说明该改进方式在管理和实现方面的优点.     

基于双向防御的跨安全域访问控制方法研究

实现逻辑隔离的不同网络安全域之间的信息共享与业务协作是一个重要而紧迫的课题。本文提出一种基于双向防御的跨安全域访问控制方法,该方法基于网络安全域已有的信任体系建立跨域信任关系,在访问请求发起方和目标所在域同时实施基于授权策略的访问控制,通过角色映射以代理方式访问目标资源,从而实现了跨域访问过程中网络安全域边界的双向防御,保障了各安全域的边界安全以及信息共享与业务协作的安全运行。     

基于PKI/PMI的多域单点登录研究

本文提出了一种基于公钥基础设施PKI和授权管理基础设施PMI的多域单点登录模型,该模型使用公钥证书进行身份认证,通过属性证书支持基于角色的访问控制。并采用分布式认证方法,支持用户跨域访问应用服务器,有效实现了多域环境下的单点登录。最后,讨论了与原有应用系统的无缝融合技术。     

Windows域信任关系在企业管理中的应用研究

信任关系是在Windows的域或林之间建立的关系,它可以使一个域(或林)中的用户由另一个域(或林)中的域控制器来进行验证,实现同一个林中的跨域访问和不同林之间的跨域访问。信任关系分为林中的信任关系和林之间的信任关系两种类型。在企业管理中可以通过创建合适的信任关系,简化企业的日常操作,为企业不同部门之间的资源互访提供便利。     

基于属性的跨域访问控制模型设计

本文针对基于Web服务跨域访问控制问题,首先对该问题进行了系统的分析,进而采用SAML身份认证机制和XACML访问控制策略结合ABAC的方法,提出了基于属性的跨域访问控制模型,从而实现了分布式平台的单点登录、多点认证和跨域访问。     

基于双层角色映射的跨域授权管理模型

针对传统跨域授权管理模型角色设置方法单一,以及有可能出现隐蔽提升、职责分离冲突等问题,提出一种基于双层角色结构的跨域授权管理模型。通过在管理域内设置双层角色,使得角色的设置与管理更加符合现实需求;采用单向角色映射的方式杜绝映射环路;引入属性、条件等动态因素,实现了权限的动态调整。采用动态描述逻辑刻画了模型中的概念、关系及管理动作。对模型的安全性分析表明,该模型满足自治性和安全性原则。     

风电机组跨域安全访问技术研究

为提高风电机组远程访问的安全性,基于风电机组常用的监控与数据采集系统,提出风电机组的跨域安全访问技术。该技术基于MD-RBAC模型实现各种有效性约束的访问控制函数,在此基础上设计跨域安全访问管理机制,采用DevFx实现基于B/S结构的跨域远程访问系统。     

新的基于角色的跨信任域授权管理模型

多信任域间的安全访问是一项重要的研究内容。结合基于角色访问控制机制（RBAC）的优势及现有的跨域认证技术构建了一种适用于大规模分布式网络环境的跨信任域授权管理CTDPM（Crossing the Trusted-domain Privilege Management）模型。模型中提出角色推荐和单向角色映射策略,支持分布式环境下任意两个信任域之间的安全访问。运用集合论和谓词逻辑对CTDPM模型进行了系统的形式化描述,提出了一套合理的授权与安全规则,并进行了特性分析,最后给出该模型在访问控制系统中的安全应用。     

基于等级的电子政务云跨域访问控制技术

针对电子政务云跨域访问中用户资源共享访问控制细粒度不足的安全问题,提出一种基于用户等级的跨域访问控制方案。该方案采用了云计算典型访问控制机制——身份和访问控制管理(IAM),实现了基于用户等级的断言属性认证,消除了用户在资源共享中由于异构环境带来的阻碍,提供一种细粒度的跨域访问控制机制。基于Shibboleth和OpenStack的keystone安全组件,搭建了云计算跨域访问系统,通过测试对比用户的域外和域内token,证明了方案的可行性。     

一种跨域网络资源的安全互操作模型

网络资源需要在安全策略控制下共享与互操作。针对多异构安全域域间资源互操作的安全问题,提出了一种基于RBAC安全策略的跨域网络资源的安全互操作模型。首先引入域间角色的概念,并定义跨域资源共享访问的要求;其次在跨域操作准则的基础上,提出异构域间资源安全互操作模型和访问算法;最后以实例场境对模型和算法进行了应用分析。结果表明,该方法针对性强,权限控制有效,为实现多域资源共享和互操作的安全保障提供了一种可行的途径。     

海洋环境云平台访问控制系统研究

海洋环境云平台是一个多域多级别的云系统,包含的资源安全级别多,资源归属复杂,海洋云平台的用户来自于不同的研究机构,用户类型多。基于以上需求本文提出多级跨域角色访问控制模型,利用角色映射机制解决跨域跨级的访问控制问题。跨域角色访问控制模型不但能够保证不同域之间用户访问资源的控制,同时域内的角色映射可以将前端用户与服务端用户进行分离,不用为每一位前端用户在云平台上创建一个对应的用户,能够有效地降低平台用户的管理难度。本文搭建了海洋环境信息云平台访问控制系统,并对系统的安全性和效率进行了验证。     

云环境下跨域RBAC模型中的风险研究

从云环境下跨域资源访问的安全需求出发,结合现有系统采用访问控制模型的现状,在RBAC模型的基础上,引入风险管理机制,将风险游标的概念扩充到访问发起域中,增强了跨域访问的安全性.在交互的双方中引入时效性约束,将访问时间与风险等级挂钩,从而实现细粒度基于风险的跨域访问控制.同时为域中每个节点设置跨域访问次数阈值,限定节点申请跨域访问的频率,避免了集中恶意行为的发生.通过设置标识位的方法,限制管理节点对历史记录的访问,实现对历史记录的隐私保护.     

一种基于XACML的混合云跨域资源访问控制方案

混合云计算环境下,服务资源组合灵活、迁移频繁,资源之间的访问授权不易建立与维护。采用传统的访问控制机制对跨域资源进行授权,存在性能瓶颈与共谋攻击等问题。在研究混合云架构的基础上,提出一种基于XACML属性协商机制的混合云跨域资源访问控制方案。采用XACML架构作为跨域资源间授权访问模型,为细粒度的资源授权访问提供支持。在该模型基础上,通过属性协商策略推理引擎对协商属性进行扩展,提高协商效率。采用树状结构的XML语言描述协商策略,便于进行属性授权推理。针对协商推理过程中产生的属性暴露树结构,设计协商策略剪枝算法。最后,通过实验验证方案的可行性和高效性。     

跨域访问控制与边界防御方法研究*

为保障跨域访问过程中的信息网络安全,在深入分析其所面临安全风险的基础上,提出了一种跨域访问控制与边界防御模型,该模型将跨域访问过程划分为域内和跨域两个阶段,同时结合相关安全技术进行策略决策和策略实施,保障了信息传输的保密性、完整性和可用性,从而有效地解决了跨域访问过程中的访问控制和边界防御问题。     

面向边缘计算的属性加密方案

传统云环境下的属性加密方案在判定用户访问权限时通常仅依据年龄和职业等用户常规属性,而忽视了访问时间和位置的约束问题。为较好满足边缘计算的实时性和移动性需求,提出一种支持时间与位置约束的多授权外包属性加密方案。通过将时间域与位置域信息同时引入属性加密过程,实现更细粒度的访问控制。采用多授权机构共同管理属性信息,解决单授权机构的性能瓶颈问题,满足用户跨域访问需求。针对边缘计算中移动终端资源受限问题,将大部分解密计算外包至边缘节点,减轻移动终端设备负担。分析结果表明,在边缘计算环境下,该方案以较低的计算和存储开销实现了具有时间和位置约束的访问控制,并且可有效保障用户数据安全。