CCERT信息服务的访问控制模型及其实现

该模型中的属性证书所认证的是用户的属性信息， 而 &$’"( 公 钥证书所认证的是用户名。用属性信息代替用户名， 可以使分 布式系统的访问控制更便于管理， 访问模式更简便易行。属性 值的设置需要根据具体应用具体设计， 文章第三部分将具体介 绍分层的属性结构的设计方法。签发授权位（ 只有 # N2G2C842 ） 比特， 标记此证书的持有者是否被授权可以签发属性证书（ 为 为 " 则相反） 。这种授权机制使证书的签发 # 代表有签发授权， 更加灵活。
#
引言
(()*+ （ ()*P)+ (ACI4:89 )C89281@; *8/IA1/8 +85C）
访问控制的安全性。 第 二 部 分 在 分 析 基 于 ,$-". 公 钥 证 书 的 访 问 控 制 模 型 的 然后 基础上， 介绍了 (()*+ 分布式信息服务的访问控制模型， 给出了属性证书的格式和基于属性证书的访问控制模式。 第三 部分给出 (()*+ 信息服务的访问控制模型的实现，包括系统 中属性证书的设计， 基于属性证书的各个服务器具体的访问控 制模式， 以及属性证书的发行、 存储和取消方式等。
!$#
属性证书及其格式
文 章 在 &$’"( 证 书 格 式 -./ 的 基 础 上 ， 提出了一种属性证书
的格式。 属性证书不同于公钥证书， 世界通信组织（ 给属性 0,1） 证书下的定义是： 对用户的属性和其他信息， 用发行此证书的 证书权威的私钥进行数字签名而形成的证书 -’/。
))*+, 信息服务访问控制模型中属性证书的模式如下： )234565784299:;*<1*=)* > 4?@)2345657842 @5CD84E32FGCH354IJ @5CD84E32K8GE2 M23@5HD @2358G=EJ?23 @5CD84E32 5@@E23 M8G5N54O 84435?E42P 84435?E42 N2G2C842 @E?Q274RE?G57S2O5D6H L
是中国教育科研网络计算机紧急响应小组的简称。 它旨在维护 网络安全， 处理网络突发事件。(()*+ 的信息服务系统是分布 式的系统， 服务内容主要包括网络安全知识的普及、 入侵事件 的处理和备案。为了防止非授权的访问， 保证系统和资源的完 整性， 需要采用安全而有效的访问控制机制。 传统的访问控制模型是以访问控制矩阵为基础的。 其中最 为常用的有自主式和强制式两种 Q#R。 但是， 这两种模型都不适用 于 (()*+ 分布式的信息服务系统。因为自主式访问控制模型 要求分布式系统中每个子系统的管理员， 必须对该系统中每个 被访问对象， 列举出可访问的用户及其拥有的权限。这会使得 每个子系统都不得不维护自己的访问控制列表， 各个访问模块 各自为营， 使整个系统的统一管理非常困难。而强制式访问控 制则是由整个系统的管理员给每个用户和每个可访问对象一 个安全级别， 然后用安全级别来进行访问控制。这种做法虽然 有利于整个系统的集中管理， 但是缺乏灵活性。因为只有子系 统的管理员， 才能制定出适合该子系统的访问控制模式， 而整 个系统的管理员， 不可能制定出适合每个子系统的统一的访问 控制模式。 目 前 一 些 系 统 所 采 用 的 基 于 ,$-". 公 钥 证 书 的 访 问 制 模 型 Q!R， 是自主式访问控制模型的一种。 这种模型虽然用公钥算法 保证了认证的安全性， 但是它的缺点是访问权限的建立和更改 都比较复杂。 该 文 就 (()*+ 分 布 式 的 信 息 服 务 系 统 的 特 点 给 出 了 这个模型的特点是 ： 利用属 (()*+ 信息服务的访问控制模型， 性证书， 便于系统的集中管理； 在属性证书的基础上， 各个子系 统可以制定自己的访问控制模式， 具有很好的灵活性； 利用属 性证书认证用户的属性信息， 用公钥算法和随机数技术保证了
图#
分布式系统模型
目 前 一 些 系 统 主 要 采 用 基 于 ,$-". 公 钥 证 书 的 模 型 Q!R 。 公钥等信息， 用证书权威的私钥 ,$-". 公 钥 证 书 是 对 用 户 名 、
-’
!""#$% 计算机工程与应用
进行数字签名而形成的证书。 它认证的是用户名。 在基于 系统管理员负责设计用户名的命名 &$’"( 公钥证书的模型中， 空间。 本地服务器的管理员需要建立并维护用户名组成的访问 控制列表。这种模型的缺点是： 第一， 在开放的网络上， 系统有 哪些用户是难以预测的， 因此要建立用户名不重复的命名空间 比较困难。第二， 每个本地服务器的管理员需要维护庞大的由 用户名组成的访问控制列表。第三， 如果某一个用户不再具有 访问资格， 那么需要取消他的证书， 并改变所有相关的访问控 制列表， 所以访问权限的更改比较复杂。 为了克服以上缺点，在 ))*+, 信息服务的访问控制模型 中引入了属性证书， 并且在属性证书的基础上建立了相应的访 问控制模型， 使系统的访问控制既便于集中管理， 又有较好的 灵活性。 在这个模型中， 系统管理员负责设计用户的属性类型、 属性证书内容和属性证书发放流程。 本地服务器管理员在属性 证书的基础上， 设计具体的访问控制模式。 与基于 &$’"( 公钥证书的访问控制模型相比较， 这个访问 控制模型的特点是： 第一， 系统管理员只需要设计属性类型、 属 性证书内容和属性证书发放流程。在具体应用中， 访问用户的 属性类型是基本固定的， 所以属性类型的设计比用户名空间的 设计更为方便。第二， 本地服务器的管理员在属性证书的基础 上设计具体的访问模式， 只需要建立和维护访问属性的控制列 表， 这比用户名组成的访问控制列表更简单， 且便于维护。第 三， 当某用户不再具有访问权时， 只需要取消其属性证书， 而不 需要更改访问控制列表。
FE4I2D457842N UF)V !84435?E42UF)V "F)P>F#BF!B … BFDL ! K235652NU@5CD84E32U+B;SVBRSUF)VV#F772@@FE4IH35W2N K8G5NUF)V!F)$)+P。
如果满足以下条件， 那么访问操作被允许： 条件 式 U#V表示， 一， 属性证书 F) 被证实。条件二， 属性证书中的属性 84435?E42 （ 在访问控制的属性列表 F)P 中。F)P 中列举可访问的属 F) ） 性值 F# ， …， 用户当时的签名为真。验证条件 F! ， FD 。条件三， 三的具体过程为： 首先， 本地服务器传给用户随机数 + ， 用户用 它的私钥给随机数签名， 形 成 @5CD84E32 （ ， 传回给服务 +， ;S ） 器。然后， 服务器根据用户属性证书中 用 户 的 公 钥 RS （ 验 F) ） 证用户的签名为真。 这种随机数技术用来保证用户的签名为当 时的签名， 而不是假冒者重复播放用户的签名。这个条件用来 证明用户确实是证书的合法持有者。 在条件一中， 属 性 证 书 F) 被 证 实 ， 即 FE4I2D457842NUF)V， 证明证书 由三个条件组成： 用 属 性 证 书 权 威 的 公 钥 RS （ F)F ） 这个条件用来证明证书确实 F) 中 的 签 名 @5CD84E32UF)V 为 真 ， 是属性证书权威签发的； 用户的证书未过期。用户的证书不在 证书取消列表中， 即证书未被取消。 这是基于属性证书的一种基本的访问模式。 在这种模式的 基础上，为了适应 ))*+, 灵活反应的特点， ))*+, 分 布 式 信 息访问控制模型中还构造了授权模式和密钥模式。 授权模式：属性证书在一般情况下由属性证书权威签发。 但在一些紧急情况下， 也可以由系统中具有某种属性的人员进 行签发， 即这种属性具有签发授权， 对应的属性证书的签发授 权位（ 为 #。 用户用授权签发的属性证书进行访问控制 N2G2C842 ） 模式如式（ 。 !） （ #） 其中， FE4I2D457842NUF)V:K2356OU@5CD84E32UF)VBRSUF)FVV !
关键词 属性证书 访问控制 分布式系统
%&&’(( !)*+,)- .)/’- )0 +1’ 2*0),34+5)* 6’,75&’ )0 !!"#$
85* 954*:;5*: <5 95*: （ +/012345 610789/0:;， <80=012 #"""&’）
>?/:95@:： +38 5@@8// @A1:9AB CAD8B AE :38 F1EA9C5:0A1 G8970@8 AE (()*+ 0/ 5 18H 5::90?4:8 @89:0E0@:5:8 ?5/8D 5@@8// @A1:9AB CAD8B AE D0/:90?4:8D /;/:8C$+39A423 :38 515B;/8/ AE :38 5@@8// @A1:9AB CAD8B ?5/8D A1 :38 ,$-". I4?B0@ J8; @89:0E0@5:8K+30/ I5I89 01:9AD4@8/ 51 5@@8// @A1:9AB CAD8B ?5/8D A1 :38 5::90?4:8 @89:0E0@5:8 5@@A9D012 :A :38 E85:498/ AE (()*+$L851H30B8 F: 0BB4/:95:8/ :38 985B0M5:0A1 AE :38 CAD8B$ >@@8// (A1:9AB， O0/:90?4:8D G;/:8C N8;HA9D/： >::90?4:8 (89:0E0@5:8 ，
基于，不同于 &$’"( 证书格式的有三项：属性域长度（ 84T 、 属性值（ 和签发授权位（ 。属性域长 84435?E42 ） N2G2C842 ） 435?E42P） 度（ 表明属性值 84435?E42 所用的字节数。在不同的应 84435?E42P） 用中， 属性值的取值范围不同， 所以属性域的长度也有所不同， 用属性域长度 84435?E42P 这一项可增加属性证的灵活性又不失 其规范性。属性值（ 表明了用户在该系统中的属性， 而 84435?E42 ） 在 &$’"( 公钥证书中相对应的一项是用户名（ 。所以 ， ;E?Q274）