访问控制策略的分类方法研究

２１年 １ ０ １ ２月
年给出了 Ｔ Ａ Ｂ Ｃ策略的概念基础 ， 最后在 １９ ９７ 年明确提出了 Ｔ Ａ Ｂ Ｃ策略 。Ｔ Ａ Ｂ Ｃ策略是从应 用和企业层角度来解决安全问题 ， 以面 向任务的 观点 ， 从任务（ 活动） 的角度来建立安全策略和实 现安全机制 ， 在任务处理 的过程 中提供动态实时 的安全管理。Ｔ Ａ Ｂ Ｃ首先要考虑的是如何在工作 流环境中对信息进行保护。在工作流环境中 ， 数 据的处理与上一执行步骤的处理紧密相关 ， 相应 的访 问控制也应如此 ， 因而 Ｔ Ａ Ｂ Ｃ是一种基于上 下文的访 问控制策略 ， 同时也是一种基 于实例 的 访问控 制 策 略。Ｃ Ｕ Ｏ ＲＳ等 结 合 Ｒ Ａ Ｏ ＬＵ Ｉ Ｂ Ｃ和 ＴＡ Ｂ Ｃ策略， 出了基 于角色和任务 的访问控制 提 策略 （ Ｔ—Ｒ Ａ ）１ Ｂ Ｃ 。随后 ， Ｈ等对 Ｔ—Ｒ Ａ Ｏ ＢＣ 策略逐步完善， 并进行了深入研究 。陈伟鹤等
３ 主动访问控பைடு நூலகம்制策略
３ １ 基 于任 务 的访 问控 制 策略 ．
为 了解决随着任务的执行而进行动态授权 的 安全保护问题 ，Ｈ Ｍ Ｓ Ｔ Ｏ Ａ 等在 １９ 年首次提出了 ９３ 基 于任 务 的访 问控 制 （ Ｂ Ｃ） 想 ， 于 １９ ＴＡ 思 并 ９４
８０ ８
武汉理工大学学报 ・ 信息与管理工程版
新， 可将访问控制策略分为 ： ①被动访问控制。主 体权限在访问控制过程 中不能发生动态更新 ； ② 主动访问控制。考虑到操作 的上下文 ， 根据访 问 控制上下文环 境的动态变化采用 动态授权。如 Ｕ Ｏ （ ｓ ｅ ｏｔ １策略 ， Ｃ Ｎ Ｕ ａ ｎ ｏ） ｇＣ ｒ 在整个访 问控制过程 中， 主体的权限根据主体、 客体 ， 以及系统属性 的 更新 而发 生动 态变 化 。
访 问控 制过 程 中 ， 主体 权 限是 否 能 够 发 生 动态 更
能从低安全级流向高安全级 ， 任何违反非循环信 息流的行为都是被禁止的。Ｍ Ｃ系统 中的主 、 Ａ 客 体都被分配了一个固定的安全属性。安全属性 由 策略管理员强制分配 ， 主体不能改变 自身或其他 主、 客体的安全属性。在实施访问控制时， 系统通 过对访 问主体和受控对象的安全属性的级别进行 比较 ， 从而决定访 问主体能否访问该受控对象。 Ｍ Ｃ保障 了信息 的机密性 ， Ａ 却对完 整性有所 忽 视 。然而网络环境对信息完整性需求较高 ， 使得 ＭＡ Ｃ难 以被 较 好 地 应 用 到 当 今 网络 中。此 外 ， Ｍ Ｃ对系统的授权管理 比较僵硬 ， Ａ 缺乏灵活性 ，
理员 或系 统设定 。
访问控制。它主要指能够支持分布式授权以及权 限管理的访 问控制策略 ， 如基于角色映射 的多域
互操作策略。 访 问控制技术经过近 ４ ０年的蓬勃发展 ， 不断
收稿 日期：０ １— ６—０ ． ２１ ０ ６
作者简介： 鲁剑锋 （９２ ， ， １８ 一）男 湖北嘉 鱼人 ， 浙江师范大学数理与信息工程学 院博士．
ＲＡ Ｂ Ｃ策略 的基本 思想是 通 过 引入 角 色 这一 中介 ， 将权限直接指派给角色而不是用户， 用户通 过角色指派获取对客体的操作权限 ， 实现用户与
量的规则使得 自主控制中对象所有者可以对其他 主体进行授权 。 Ｊ Ｄ Ｃ策略对用户提供 了灵活的数据访 问方 Ａ 式， 使得 Ｄ Ｃ广 泛应 用在 商业 和 工业 环 境 中。 Ａ Ｌ ｕ、ｎ ｉ ｘ Ｕ ｉ Ｗｉ ｏ ｓＴ等操作系统都 提供 了 ｎ ｘ和 ｎ ｗＮ ｄ 自主访问控制 的功能。然而 Ｄ Ｃ根据主体 的身 Ａ 份和授权来决定访问模式 ， 信息在移动过程 中主 体 可 能会将 访 问权 限 传递 给 其 他 主体 ， 访 问权 使 限关系发生改变。由于权 限可 以任意传递 ， 一旦 访 问权限被传递 出去将难 以控制 ， 无法阻挡特洛 伊 木 马 的攻 击 ， 系 统 带来 严 重 的 安全 问题 。另 给 外， 如果主 、 客体数量过于庞大 ， 采用 Ｄ Ｃ策略将 Ａ 带 来极 大 的系统 开 销 ， 因此其 很 少 被 应 用 到 当今 大型访问控制系统 中。 ２２ 强制访问控制策略 ． Ｍ Ｃ是一种基于格 的访问控制（ Ｂ Ｃ 或多 Ａ ＬＡ ） 级安全策略 。Ｍ Ｃ的本质是通过无法 回避 的 Ｊ Ａ 存取限制来阻止直接或间接的非法入侵 。它的两 个关键规则是 ： 不向上读和不向下写 ， 即信息流只
随着访问控制系统规模 的扩大以及复杂程度
的提高 ， 传统的将权限直接指派给主体 的方法效 率低下 ， 越来越多 的策略通过 中间实体 间接实现
主体与权限之间的指派关 系。因而， 可以依据主 体与权限之间的指派关系， 将访 问控制策略分为 ：
制策略等。随着 网络和信息技术的发展 ， 网络安 全问题 日 益凸显 ， 问控制策 略的思想和方法迅 访
的研究 。研究人员在早期通常采用 Ｉ Ｓ Ｏ标准制定 访问控制分类方法 ， 将访问控制策略分为 ： 自主 ① 访问控制 （ Ａ ） Ｄ Ｃ 。主体可 以 自主地将拥有 的对
客体 的访 问权 限授予 其他 主体 。② 强制访 问控 制
（Ａ ） Ｍ Ｃ 。依据主体 和客体 的安全 等级来决定 主 体是否拥有对客体的访问权限。主体和客体都具 有固定的安全等级 ， 这些安全等级只能 由策略管
①直接访 问控制。通过主体与权限的直接关联实 现访问控制 ； ②间接访 问控制。主体与客体并不
直接关联 ， 而是通过 中间实体来 间接实现主体与
客体之间的关联。直接访 问控制策略适用于主体 和客体规模较小 的应用环境 ， Ａ Ｄ Ｃ和 Ｍ Ｃ都属 Ａ
于直接访问控制策略。间接访 问控制策略则具有
Ｄｅ ． ０１ ｅ２ １
文章编号 ：０ ７—１４ ２ １ ）６— ８ ８— ５ １０ ４ Ｘ（０ １ ０ ０７ ０
文献标志码 ： Ａ
访 问控 制 策 略 的分 类 方 法研 究
鲁 剑锋 刘华文 王 多强。 ， ，
（． １ 浙江师范大学 数理与信息工程学院 ， 浙江 金华 ３ １０ ；． ２ ０４ ２ 华中科技大学 计算机科学 与技术学院 ， 湖北 武汉 ４ ０ ７ ） ３ ０ ４
权 限的逻辑分离。推动 Ｒ Ａ Ｂ Ｃ发展的动力是在简 化安全 策 略管理 的 同时 ， 允许 灵 活 地 定义 安 全 策 略。这 一 点 使 得 在 过 去 的几 年 中， 论 是 对 无 ＲＡ Ｂ Ｃ理论 研 究 还 是 实 际 应 用 都 有 了很 大 的 发
展 。 目前 ， Ｂ Ｃ 已被广 泛应 用 到各 个 领域 ， 括 ＲＡ 包 操 作 系统 、 据库 管理 系 统 、Ｋ （ｕｌ ｅ ｆ － 数 Ｐ Ｉｐｂｉ ｋｙｉｒ ｃ ｎａ ｓｕｔｒ） 工作 流管理 系统 和 Ｗｅ ｔ ｃｕｅ 、 ｒ ｂ服务 等 。
应用领域较狭窄 ， 通常只应用于对安全性需求非 常高的领域 ， 如军方信息系统。 ２ ３ 基 于角 色的访 问控 制策 略 ．
基 于角色 的访 问 控制 这 一 概 念 最 早 由 Ｆ Ｒ Ｅ—
２ 被动访 问控制策略
２ １ 自主访 问控制 策略 ．
Ｒ ＩＬ Ａ Ｏ Ｏ等于 １９ ９２年提 出 。１９ ９６年 ，Ａ Ｄ Ｕ ＳＮ Ｈ 等按照策略的复杂程度 ， Ｒ Ａ 将 Ｂ Ｃ策略分为 ４ ， 类 即基 于角 色 的访 问控 制 策 略 （ Ｂ Ｃ ） 具 有 角 色 Ｒ Ａ０ 、 层次 的访 问控 制 策 略 （ Ｂ Ｃ ） 具 有 约 束 的 ＲＡ １、
一
定的弹性 ， 能够适应主体和客体规模较大的应 随着分布式应用技术 的广泛使用 ， 布式 系 分
用 环境 ， 如基 于角 色 的访 问控 制 （ Ｂ ） Ｒ ＡＣ 。
１ 访 问控制策略的分类方法
由于访 问控 制类 型与访 问控 制 目的和应 用范 围密 切相关 ， 理 的分 类 将 有 助 于访 问控 制 策 略 合
方式 。１７ ９２年 ， Ｒ Ｈ Ｍ 和 Ｄ Ｎ ＩＧ建 立 了大 ＧＡ Ａ Ｅ ＮＮ
略 。２０ 年 Ｆ Ｒ ＡＯ Ｏ等对 Ｒ Ａ Ｊ ０１ Ｅ Ｒ ＩＬ Ｂ Ｃ策略的各 种描述方法进行了总结 ， 并结合 Ｒ Ａ Ｂ Ｃ的管理策 略 ， 出 了 ＮＳ Ｂ Ｃ的标 准草案 ｊ 提 ＩＴＲ Ａ 。该 标 准综 合了该 领 域 众 多 研 究 者 的研 究 成 果 ， 述 了 描 ＲＡ Ｂ Ｃ系统最 基 本 的特 征 ， 旨在 提 供 一 个 权 威 可 用的 Ｒ Ａ Ｂ Ｃ参考 规 范 ， Ｒ Ａ 为 Ｂ Ｃ的进 一 步研 究 指 明 了方 向。２０ ０４年 ， Ｎ Ｉ 出 的 Ｒ Ａ Ａ Ｓ提 Ｂ Ｃ标 准 对 ＲＡ Ｂ Ｃ策略及其管理策略中的函数等进行了规范 说 明 。
ＲＡ Ｂ Ｃ策 略 （ Ｂ Ｃ ） Ｒ Ａ ２ 和统一 角色层 次 和约束 的访 问 控 制 策 略 （ Ｂ Ｃ ） 统 称 为 Ｒ Ａ 的参 考 策 ＲＡ３， ＢＣ
Ｄ Ｃ是 根 据 自主访 问 控 制 思 想 建 立 的 一 种 Ａ
策略， 允许合法用户以用户或用户组 的身份访问 策略规定的客体 ， 同时阻止非授权用户或用户组 的访问， 某些用户甚 至还可 以自主地把 自己所拥 有的对某 客体 的操作 权限授予 其他用户。Ｄ Ｃ Ａ 最早出现在 ２ ０世纪 ７ Ｏ年代初期的分时系统 中， 由 Ｌ Ｍ Ｓ Ｎ针对当时多用户计算机系统 的数据 Ａ ＰＯ 保护而提出＿ ， ２ 是多用户环境中的一种访问控制 Ｊ
基金项 目： 国家 自 然科学基金资助项 目（０ ７ ２ ５ ； ６８ ３ ２ ） 浙江师范大学省级重 中之重学科 开放基金资助项 目（ Ｓ Ｚ Ｚ Ｘ ０ ） Ｚ Ｄ Ｚ Ｚ Ｋ ５
第３ ３卷 第 ６ 期
鲁剑锋 ， ： 问控制策略 的分类方法研究 等 访
８９ ７
涌现出新的访问控制策略 ， 传统的分类方法早已 不能体现出其研究现状和最新研究成果。在传统 的访问控制系统中， 主体 的权限往往一经授权便 可无 限次使用 ， 以适应 网络环境 的动态变化。 难 而网络环境 的一个显著特点就是动态性和不确定 性， 因而在 访 问控 制 系统 中能 够根 据 上 下 文环 境 的动态 变化 进行 动态授 权就 显得格 外 重要 。依据
速扩散到各个信息系统领域 ， 的访问控制策略 新 不断涌现出来 ， 传统 的分类方法 已经不能体现 出 最 新 的研究成 果 。笔者 首先从 访 问控制 策略 研究 的发展进程出发 ， 回顾几种传统的分类方法 ， 指出 其不足之处 ， 并引出一种新的分类方法 。随后 ， 按 照该分类方法， 介绍几种具有代表性的访问控制 策略 ， 分析各 自的优缺点和适应环境。
第３ 卷 第６ ３ 期
２１ 年 １ 月 ０ ２ １
武 汉 理 工 大 学 学 报 ・ 息 与 管 理 工 程 版 信
Ｊ Ｕ Ｎ ＬＯ Ｔ ＩＦ Ｒ Ａ ＩＮ＆Ｍ Ｎ Ｇ Ｍ Ｎ Ｎ ＩＥ ＲＮ ） Ｏ Ｒ Ａ Ｆ ＷＵ （ Ｏ Ｍ ＴＯ Ｎ Ａ Ａ Ｅ Ｅ ＴＥ ＧＮ Ｅ ＩＧ
Ｖｏ． ３ Ｎｏ ６ １３ ．
中 图 分 类 号 ：Ｐ ９ ． ８ Ｔ ３３ ０ Ｄ Ｉ１ ．９ ３ｊｉ ｎ １０ Ｏ ：０ ３６ ／． ｓ．０ ７—１４ ．０ １０ ．０ ｓ ４ Ｘ ２ １ ．６０ ８
访问控制是保 证网络安全的核心技术之一 ， 它允许被授权的主体对某些客体进行访问 ， 同时 拒绝向非授权 的主体提供 服务… 。根据应 用背 景的不同， 访问控制可以有不同的实现策略， 自 如 主访 问控制、 强制访 问控制和基于角色的访 问控
统的规模呈几何级数增长。在分布式环境 中， 访 问控制是保证分布式系统之间进行安全互操作的
关键 问题之 一 。早期 的访 问控制策 略无 法满 足互
操作需求 ， 这时涌现出一批适应 于分布式环境下 的访问控制策略。依据访问控制策略对分布式管 理的支持程度 ， 可将访问控制策略分为： ①集 中式 访问控制。该策略的授权与权限管理都集中在一 个控制中心上完成 ， 不支持分布式授权 ； ②分布式
摘
要： 访问控制是 网络安全防范和保 护的主要策 略 ， 回顾了几种访问控制策略的分类方 法 ， 出了一种新 的 提
分 类方 法 ， 问控制策略划分为被动和主动类 型 ， 将访 分别介绍了几种有代表性的访问控制策略 ， 比分析 了各 对
自的特点及适用环境 。 关键词 ： 网络安全 ； 问控制策略 ； 访 被动访问控制 ； 主动访问控制