继承和优先约束驱动的柔性授权机制研究

针对权限系统中存在角色授权策略单一和授权冲突的问题,设计IPC_URBAC模型,在RBAC模型的基础上增加继承约束的用户直接授权机制和优先约束的用户角色分配机制,提出基于个体和优先的授权冲突解决策略,并给出用户权限和角色权限的求解算法。运用IPC_URBAC,构造二进制授权掩码进行复杂权限设置,应用Web Service完成细粒度权限检查,达到权限与业务的剥离,实现一种与业务无关的柔性授权系统。     

工作流系统中基于任务状态的转授权模型

为了解决工作流系统中多个用户协作完成某个任务时的权限分配问题,提出了工作流系统中用户-用户间基于任务状态的转授权模型,用任务处于某个状态的时间段作为转授权有效期的限制,将任务的部分权限作为转授权对象,在任务的各个状态下为不同的用户分配不同的权限.给出了模型的形式化定义,并提出了模型中转授权约束规则、冲突消解办法和转授权的撤销,最后举例说明该模型在实际工作流系统中的应用.模型能在不增加系统管理员负担的前提下,较好地解决工作流系统中多个用户协作完成某个任务时的授权问题.     

应用角色访问控制的工作流动态授权模型

形式化地描述了角色、用户、权限、任务单元、授权策略、授权约束等实体及其相互间的关系，提出将授权约束分为需求角色约束、需求用户约束、拒绝角色约束及拒绝用户约束，并在此基础上建立了授权约束的冲突检测规则．实现了授权流与工作流的同步，并通过授权约束的冲突检测确保了工作流的有效执行．文中模型具有全面性与实用性较强的特点．     

基于属性和RBAC的混合扩展访问控制模型

针对单纯的RBAC模型在动态授权、细粒度授权等方面存在的不足,将属性与RBAC相结合并保持RBAC以角色为中心的核心思想,提出了两者结合的混合扩展访问控制模型HARBAC。模型支持基于属性的用户-角色分配、角色-权限分配、角色激活、会话角色权限缩减和权限继承等动态访问控制功能。对模型的元素、关系、约束和规则等进行了形式化描述。通过引入权限过滤策略对会话角色的有效权限进行进一步控制,分析研究了基于属性的会话权限缩减方法。应用实例表明HARBAC模型可有效实现动态授权和细粒度授权。HARBAC模型可与传统RBAC无缝集成,并在遵循其最小特权和职责分离等安全原则的基础上,有效降低了管理复杂度,支持灵活、动态、可扩展的细粒度访问控制。     

RBAC及XACML在制造网格访问控制中的应用

研究符合制造网格特点的访问控制规范,引入“角色”及“授权服务”设定用户的访问策略,在用户访问具体资源时再根据资源拥有者设置特定的权限来确定用户的访问权限,以实现制造网格总体访问策略和用户自主访问策略的协同,为制造网格平台提供符合制造业特点的安全功能和服务。     

一种分布环境下面向用户的授权模型

提出了一种面向用户的分布式授权系统的通用模型。它以用户为中心管理对象,在统一的信任平台上支持多个分布的、基于不同授权模型的授权点,通过授权管理,各个节点既可以独立地支持各自的上层应用,也可以相互关联共同支持一个上层应用。最后给出了这种模型的具体应用模式。     

基于授权步数和角色差度的转授权模型

转授权技术能解决分布式环境下的用户授权问题,但在多步转授过程中可能引发循环授权和权限扩散。研究任务-角色访问控制(TRBAC)模型,提出基于授权步数和角色差度的工作流转授权(DR-TRBAC)模型,根据同一任务的转授关系构建转授权树,通过限定授权步数和遍历转授权树解决循环授权问题,设置转授用户间最大角色差度防止权限的扩散。应用实例证明了DR-TRBAC模型的实用性。     

基于RBAC的工作流管理系统授权约束方法

针对工作流管理系统动态授权的特性,在基于角色的访问控制(RBAC)模型基础上,提出一种权限约束支持的RBAC模型,利用Datalog逻辑语言描述约束策略,借助Datalog推理机实现一个“任务角色”分配的授权算法,解决工作流管理系统动态授权约束的问题。     

ITTDAF:不依赖父权限信息传递的去中心化授权框架

为了解决现有去中心化授权协议在支持传递权限时需要传递父权限信息从而容易导致权限信息泄露的问题以及单个用户信息泄露会威胁到其他用户权限的机密性的问题,本文提出了基于检索树结构和可信平台模块的去中心化授权框架ITTDAF,其核心思想是用户在授予其他用户权限时,需要将授权信息告知提供相关资源的实体,由资源实体基于授权信息生成检索树结构,得知权限的传递关系。当用户在向资源实体请求资源时只提供自己拥有的权限信息即可证明权限有效性,并不需要用户得知父权限的相关信息。避免了用户的权限信息泄露对其他用户的权限信息机密性的破坏,同时降低了权限验证所需传输的数据量并减少权限验证所需要的时间。所有信息通过可信平台模块进行签名,以保证数据的来源的唯一性并实现权限与设备的绑定,使得权限信息不会在非用户设备上得到执行。相较于比对方案,在相同条件下本文所提出的方案在描述权限所需数据量上缩小44.2%,权限验证所需时间减少51.2%,在拥有更高安全性的同时,也有着更好的可用性。     

基于欧拉图的授权扩散拓扑构建与授权撤销

在分散式自主授权模式中,接受授权的用户可以将转授给他的权限再次转授给其他人,经过多步转授的权限扩散与不完全的委托撤销可能导致隐性授权冲突.在以往的授权模型中,模型设计的重点在于如何授权,而对于授权撤销考虑甚少.由于转授权路径生成的随意性,增加了遍历路径完成授权回收的难度.针对授权路径的生成和转授权回收进行研究,引入欧拉图对授权路径构建进行约束,在此基础上给出了授权路径构建算法与转授权路径遍历回收方法,通过有目的的授权路径构建,简化转授权路径遍历过程,解决转授权路径遍历不完全导致的授权撤销不完整问题,防止权限扩散并消除隐性授权冲突.     

基于RBAC权限管理模型的改进与应用

在分析现有权限管理系统权限的基础上,给出了新的授权模式,A用户在其自己的可授权的权限集合内可以直接对B用户授权,并且可设定所授权限的时效,B用户可以根据A用户规定时效内拥有A用户的权限。该方案采用静态权限分配与动态权限授权相结合,很好的解决了传统权限管理的僵化。改进后的方案在实际的项目中得到了应用,并取的很好的效果。     

基于CLM的访问控制策略研究

在工作流中应用访问控制时,数据在工作流中流动,执行操作的用户在改变,用户的权限也在改变,这与数据处理的上下文环境相关。在CLM基础上,从动态的完成工作流的授权,重新授权和权限的调整三个方面讨论了工作流的动态授权和访问控制策略。     

一种基于表达式的工作流授权模型

提出了一种动态的工作流授权模型,通过表达式描述任务的触发机制和约束。与基于角色的其它模型不同,在此模型中角色仅是用户的属性之一,通过给用户定义更多的属性和基于这些属性的函数可以很容易地扩展模型。通过表达式可以描述用户和角色的权限、任务状态转换约束、任务实例数量约束、任务间的依赖关系、职责分离、时间约束、组织机构约束。约束表达式的灵活性给模型带来强大的功能和适应性。这个模型支持含有多起点、多终点、单选、多选、与聚合、或聚合、多聚合和循环的复杂工作流。     

带时间约束的访问控制模型的研究与应用

基于角色的访问控制已经广泛应用于管理信息系统中,但其只能通过角色来实现用户和权限的关联,当系统有临时授权用户的需求时操作不便,且用户角色关联关系缺乏灵活性,不能随时间动态变化。本文在研究已有访问控制策略基础上,建立了用户权限直接关联关系,并提出了时间约束因子,将其引入用户角色指派与用户权限指派中,建立了带时间约束的访问控制(TRAC,Time-Restricted Access Control)模型。在档案管理系统的实际应用表明,该模型能很好的实现用户权限随时间的动态变化,提高系统访问控制策略的灵活性与可配置性。     

授权管理基础设施技术在企业权限管理中的应用

PMI（授权管理基础设施）技术是一种新型的信息保护基础设施,它的目标是向应用系统提供相关的授权服务管理,实现与实际应用处理模式相对应的、与具体应用系统的开发和管理无关的访问控制机制。讨论了在分布式环境中利用PMI技术完成权限管理,及其相对于现有的嵌入于应用系统中的授权管理的优越性,并论述了实现的可能性,提出了实现的途径和方案。     

支持用户权限受限继承的工作流授权模型

提出了一种支持用户权限受限继承的工作流授权模型（CUBA）,在该模型中,工作流系统的用户权限不仅可以来源于角色,而且还可以来源于其他用户,因此大大提高了授权的灵活性。提出了权限受限继承的定义,研究了其管理机制,介绍了其设计与实现。成果已经在某企业中得到了应用,并取得了良好的效果。     

基于用户-角色-任务的多约束访问控制模型

传统的访问控制模型采用手动的授权方式, 应用在目前混合型组织企业中, 造成权限授权复杂、准确度低. 因此, 提出一种基于用户-角色-任务的多约束访问控制模型(C-URTBAC), 该模型采用用户分级管理、权限在主体和客体间的传播性思想, 实现了半自动化的授权方式, 提高授权效率和准确度; 同时细化了约束分类, 实现了细粒度化的权限管理. 最后将该模型引用到某汽车零部件公司的PLM系统中, 验证了该模型的实用性.     

基于认证可信度的用户权限控制技术研究

认证可信度体现了用户身份的可信程度。本文基于用户认证可信度实施用户登录限制、用户角色获取限制及角色强制访问控制策略权限限制,提出了基于认证可信度的用户权限控制技术。将认证可信度与用户访问系统结合,要求用户访问系统必须具有相应的认证可信度,具有重要身份的用户必须通过重要的身份认证机制的认证。在角色定权中结合认证可信度,根据用户认证可信度确定用户可以激活的角色,确定角色被激活后的访问控制权限,并参与到各强制访问控制策略实施中,真正实现认证与访问授权的有机统一,解决权限的不当获取。最后指出了进一步研究的内容。     

基于知识发现的风险最小化授权模型

访问控制技术是网络信息系统安全的核心技术之一。针对开放式网络下基于信任访问控制问题中的授权需求,提出了基于知识发现的风险最小化授权(信任-权限)模型,对模型元素、关系、约束和规则、授权策略进行了形式化定义。RMAM-KD模型引入信任和风险的概念,对权限进行细粒度划分,将交互中涉及到的实体属性及其信任值和风险值作为授权判断的重要参考依据,并加入时间约束限制,能够更好地支持动态的授权机制。最后,给出了RMAM-KD模型授权的应用实例及安全性分析,表明RMAM-KD模型能够有效地保证对客体资源的安全访问。     

基于雾节点的分布式属性基加密方案

为解决云存储中对用户访问数据权限划分笼统、细粒度化控制访问权限受限以及单授权机构中存在的单点失效问题,提出基于雾节点的分布式密文策略属性基加密方案。将数据的部分解密运算外包给雾节点,减少终端用户的计算开销,并由不同的属性授权机构为用户生成属性密钥,以适用于细粒度的访问控制要求,使用全局身份将属于特定用户的各种属性进行“捆绑”,防止各属性机构间的共谋攻击,同时引入权重属性简化访问结构,节省系统的存储空间。实验结果表明,基于判定性q-parallel BDHE问题证明了该方案的安全性,与基于区块链的多授权机构访问控制方案和mHealth中可追踪多授权机构基于属性的访问控制方案相比,该方案终端用户在解密阶段具有更小的计算开销。