擴展了信任與隱私的ABAC模型研究

　　摘要：基于屬性的訪問控制模型(ABAC)特別適用于大規(guī)模分布式網(wǎng)絡(luò)。然而，由于其訪問控制決策依賴于屬性的暴露，又沒有有效的敏感屬性保護機制，使得訪問主體的敏感屬性存在非法暴露的風(fēng)險。本文提出了一種擴展了信任與隱私的ABAC模型，它包含了信任與隱私這兩個特殊屬性，并使訪問控制決策敏感于跨組織的協(xié)作上下文，以解決ABAC模型本身不含敏感屬性保護機制的問題。設(shè)計了一種促使管理者在危機管理系統(tǒng)中做出更優(yōu)決策的圖形化原型工具，并驗證本文方法的有效性。

　　編者按：ABAC模型(基于屬性的訪問控制模型)是業(yè)界專為物聯(lián)網(wǎng)這類分布式環(huán)境定制的，用于解決動態(tài)分布式環(huán)境下的訪問控制問題，此模型基礎(chǔ)上進行擴展以提供對被訪問者的隱私保護機制，防止訪問過程中隱私的非法暴露。文中解決了物聯(lián)網(wǎng)的一個應(yīng)用實例(協(xié)作危機管理)中可靠的訪問控制問題，將此方法推廣到物聯(lián)網(wǎng)層面上也是有效的。

　　引言

　　近年來，隨著大規(guī)模分布式網(wǎng)絡(luò)的廣泛使用，網(wǎng)絡(luò)上出現(xiàn)了大量安全性要求很高的關(guān)鍵服務(wù)，如協(xié)作危機管理，而這些服務(wù)都必須有足夠的安全手段來防止非授權(quán)的訪問。訪問控制AC是企業(yè)信息安全關(guān)注的重心^[1]。而諸如基于角色的訪問控制^[2]等傳統(tǒng)模型不適用于這類分布式環(huán)境中，其原因在于潛在用戶眾多并且大多數(shù)是事先不可知的，此外，其策略表達力、靈活性、可擴展性都不能滿足協(xié)作危機管理的需要。正因如此，文獻^[3]提出了基于屬性的訪問控制模型ABAC( Attribute-Based Access Control)。ABAC與XACML(eXtensible Access Control Makeup Language)標準密切相關(guān)，雖然這種基于屬性的方法有更好的靈活性、更細的訪問控制粒度和良好的跨域訪問控制機制，但其訪問決策過程依賴于主體、客體和環(huán)境屬性的暴露，而ABAC模型本身不具備有效的隱私保護機制，這可能導(dǎo)致在訪問控制策略決策階段訪問主體敏感信息的非法暴露。為了解決上述問題，本文在基本的ABAC模型中擴展信任與隱私兩個要素，以支持協(xié)作危機管理中安全的訪問控制。

　　1 擴展了信任與隱私的ABAC模型介紹

　　本文所用基本模型的策略決策是基于各訪問實體屬性的ABAC模型。由于屬性作為訪問控制粒度的細致性與通用性，幾乎所有現(xiàn)有的AC模型都可以在此模型基礎(chǔ)上約減得到。

　　對比于現(xiàn)存的ABAC機制，本文提出的擴展模型包含協(xié)作上下文以及對主體集與客體集的信任及敏感屬性保護。本文通過在協(xié)作環(huán)境下加入信任與隱私這兩個關(guān)鍵要素，來實現(xiàn)上述的觀點。其目的是將這樣一個通用模型作為協(xié)作危機管理AC授權(quán)框架。本文首次將信任、隱私與上下文三個概念結(jié)合到ABAC模型中并同時服務(wù)于AC的主客體。

　　圖1表述了本文提出的擴展模型的元素關(guān)系，該模型包含的基本元素有主體(用戶的集合)、客體(資源的集合)、上下文、屬性(主體屬性AttributeS與客體屬性AttributeO)、操作、許可、許可分配函數(shù)、信任(主體信任TrustS與客體信任TrustO)及隱私(主體隱私PrivacyS與客體隱私PrivacyO)。

　　圖2是關(guān)于用戶請求的AC的一個實例。通過該實例說明，當主體試圖訪問客體屬性并做出某種操作時，本文模型在通用工作流中是怎樣運作的。在對該操作進行授權(quán)或拒絕之前，該用戶請求通過該模型被截獲，通過評價主客體之間的訪問目的的兼容性來保證客體隱私，在特定上下文中通過使用主體與客體的屬性來決定ABAC規(guī)則的評估結(jié)果。