一个基于视图的数据访问模型

多用户共享一个数据库必然存在一些安全隐患,须加以特定的控制措施以防止非法访问。提出一个基于视图的数据访问模型(VBAC),根据用户名创建与之联系的视图(视图成为该用户访问属于他的数据的惟一窗口),回收所有用户的权限,并将视图的访问权限授予给与之对应的用户,当一个用户登录系统,将他与对应的视图绑定起来,用户的数据访问通过视图间接完成,一旦回收视图的授权,与之对应的用户将不能对数据库进行任何存取。通过授权的数据视图,将用户对数据的操纵限定在特定的行和列,在用户和数据库之间建立信息安全防火墙。在Microsoft SQL Server 2000下测试了该模型的有效性。     

一种基于活动序列的协同设计访问控制模型

为了确保在多用户协同设计环境中对文档及视图访问权限的动态分配与回收、提出了基于活动序列的访问控制模型,采用赋色Petri网描述并实现了模型中活动序列依赖关系约束、角色构造、分配与回收,权限冲突检测等功能。该模型将共享的文档和视图空间按照活动序列划分,把角色分配、回收与活动序列相关联,解决了使用单用户设计软件协同设计中授权用户对访问对象具有持久权限的问题。最后,以协作角色申请过程为例,说明了模型是如何实现访问权限动态分配与回收,以此说明该模型能够适应协同设计中权限随活动变化的访问控制需求。     

基于规则面向用户的动态视图的实现

PostgreSQL是一种对象关系型数据库管理系统.利用PostgreSQL的规则系统,实现了一种面向用户的动态视图建立的方法.该方法利用PostgreSQL的系统表、系统函数,通过创建视图的插入、更新、删除规则,动态的创建会话用户的视图.用户通过访问接口LIBPQ连接到数据库,授权访问和操作自己的视图.在数据库一级对用户数据进行了隔离.     

协作权限动态管理的赋色Petri网模型与验证

针对多用户环境中协作权限动态分配与回收,及可靠性验证问题,提出基于活动、角色的协作权限动态管理机制,采用赋色Petri网建立形式化模型并分析.该模型将共享的协作文档和视图空间按照活动序列划分,角色的分配、回收与活动相关联,解决了传统访问控制中授权用户对访问对象具有持久权限的问题.最后,基于状态空间的分析表明,该模型能够实现活动依赖关系,活动角色绑定可达性及协作权限申请中死锁避免等约束条件的验证,能够满足协同设计中变化频繁的协作权限访问控制需求.     

访问授权任务依赖关系及其Petri网分析

1 引言访问授权是信息系统安全最重要的措施之一。支持访问授权职责分离原则是评价访问授权模型的重要技术指标。但是,现有的访问授权模型仅支持用户级授权职责分离,即不允许同一用户同时拥有某些访问权限(权限静态互斥),或者不允许同一用户在一次用户访问会话(进程)中激活其所拥有的某些访问权限(权限动态互斥),而对访问授权任务本身存在的互斥关系在目前的相关文献中讨论很少。然而,授权     

分级的行列级权限系统的设计和实现

为实现权限系统中用户授权的灵活性和数据级的权限控制,在传统权限访问控制模型的基础上,设计了一种基于内存数据库的分级的行列级权限控制模型。通过分级授权实现授权的灵活性和可继承性,通过分级行列级权限实现数据级权限控制,通过内存数据库和预排序遍历树算法实现数据的快速查询。开发了相应的软件系统,与传统权限模型进行了比较,结果表明了该模型的可行性和高效性。     

基于有限状态机的用户权限隔离模型

针对操作系统中的权限问题,提出了基于有限状态机(FSM)的用户权限隔离模型,将用户的授权访问行为刻画为一个有限状态机,任意用户的有限状态机都只能识别该用户的合法操作序列;同时,模型证明在用户权限交集的部分,即用户访问发生共享的点,容易出现权限窃取或者非法提升等安全问题。最终,利用有限状态机实现了对用户权限隔离的有效识别与判定。     

PostgreSQL中基于ACL的数据访问控制技术

数据库系统允许用户共享数据,但必须通过访问控制保证数据安全,防止数据的篡改、泄漏或丢失.PostgreSQL借助ACL(Access Control List)技术达到控制访问请求和信息保护的目的.该系统中的数据库对象都有一个ACL,只有出现在ACL中并且具有所需权限的用户才能够访问该对象.PostgreSQL将对象的ACL按抽象数据类型加以维护并用于访问控制,实现方法简洁,易于增强和扩展.它还通过用户组、ACL压缩等技术进一步优化数据访问控制的性能.同时对扩展列级授权给出建议.     

基于时限的角色访问控制委托模型

访问权限的委托限制是一种重要的安全策略,它的基本思想是用户将自己所具有的部分或者全部权限转授给其他用户,让接受授权的用户代表发出授权的用户执行某些任务.基于角色的委托授权模型将角色作为委托的主体.目前为止它的两个基本模型RBDM0和RDM2000都没有有效地解决时限问题,事实上时限是授权的重要组成部分,本文在上述两个模型的基础上引入有效时间和角色激活的概念,描述了与之相对应的带时限的委托模型并给出了相应的委托判断规则.     

一种RBAC的改进方案在文件共享系统中的实现

基于高校对文件共享系统“多级共享机制、多级角色权限,并且可以针对特定用户群共享数据”的需求,针对传统RBAC模型进行了简化和改进：即除了RBAC模型的角色授权外,增加了数据对象对于用户的直接授权,使用户所拥有的权限变成用户所属角色的功能权限和用户所获数据对象查看权限之并集。进而,结合“三层架构”分层的思想,采用。 NET及数据库等技术加以实现。在理论层面和实现层面保证了文件共享系统的安全性。