（计算机应用技术专业论文）基于pki的数字认证中权限管理的研究与设计.pdf

华北电力大学硕士学位论文摘要 摘要 随着i n t e r n e t 的不断发展，网络资源共享的加强，网络安全问题已日益突 出，而身份认证和权限管理又是网络应用安全的两个重要内容，它们已逐渐成为 了当前信息安全领域中的研究热点。 在p k i 数字认证的基础上，本文深入研究了基于角色的访问控制( r o l e b a s e da c c e s sc o n t r 0 1 ) 理论，结合安全c o o k i e 技术和缓存技术，提出了一种 在w e b 环境下的高效安全机制，并通过实验验证了该机制的可行性和有效性；针 对r b a c 模型，提出了一种引入时间约束的实现框架，并对其进行了具体描述： 在对w e bs e r v i c e 技术和l d a p 协议研究的基础上，提出了一种新型的基于w e b s e r v i c e 目录服务模式并建立数学模型加以验证。 关键字：角色访问控制，安全c o o k i e ，网络服务，l d a p ，p k i a b s t r a c t w i t ht h ed e v e l o p m e n to fi n t e r n e ta n dt h ei m p r o v e m e n to fn e t w o r kr e s o u r c e s h a r i n g ，n e t w o r ks e c u r i t yb e c o m e sm o r ea n dm o r ei m p o r t a n t i d e n t i t ya u t h e n t i c a t i o n a n dp r i v i l e g em a n a g e m e n ta r et w ov i t a la s p e c t so fn e t w o r ka p p l i c a t i o ns e c u r i t y ，a n d t h e ya r eb e c o m i n gt h er e s e a r c hh o t p o t si nt h ei n f o r m a t i o ns e c u r i t ya r e a b a s e do np u b l i ck e yi n f r a s t r u c t u r ed i g i t a la u t h e n t i c a t i o n ，t h i st h e s i si n d e p t h s t u d i e so fr o l e b a s e da c c e s sc o n t r o lt h e o r y ，p u t sf o r w a r da ne f f e c t i v es e c u r i t y m e c h a n i s mi nw e bs e t t i n gc o m b i n e dw i t ht e c h n o l o g i e so fs e c u r ec o o k i e sa n dc a c h e ， a n dt e s t i f i e si t sf e a s i b i l i t ya n dv a l i d i t yb ye x p e r i m e n t s c o n t r a p o s i n gr b a cm o d e l ，a l l i m p l e m e n tf r a m e w o r ko ft i m ec o n s t r a i n ti sp u tf o r w a r dt h e n ，a n di sd e s c r i b e di n d e t a i l s b a s e do nt h er e s e a r c ho fw e bs e r v i c ea n dl d a p p r o t o c o l ，an e wd i r e c t o r y s e r v i c em o d e lb a s e do nw e bs e r v i c ei sp u tf o r w a r da n di ti st e s t i f i e db ym a t h e m a t i c a l m o d e l s d o n gb i n ( c o m p u t e ra p p l i e dt e c h n o l o g y ) d i r e c t e db yp r o f w a n gb a o y i z h a n gs h a o m i n k e yw o r d s ：r o l e - b a s e da c c e s sc o n t r o l ，s e c u r ec o o k i e ，w e bs e r v i c e ，l d a p , p k i 声明 本人郑重声明：此处所提交的硕士学位论文基于p k i 的数字认证中权限管理的 研究与设计，是本人在华北电力大学攻读硕士学位期间，在导师指导下进行的研究 工作和取得的研究成果。据本人所知，除了文中特别加以标注和致谢之处外，论文中 不包含其他人已经发表或撰写过的研究成果，也不包含为获得华北电力大学或其他教 育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献 均已在论文中作了明确的说明并表示了谢意。 学位论文作者签名： 查塞垂l 日 期：丝些：堕：迎 关于学位论文使用授权的说明 本人完全了解华北电力大学有关保留、使用学位论文的规定，即：学校有权保 管、并向有关部门送交学位论文的原件与复印件；学校可以采用影印、缩印或其它 复制手段复制并保存学位论文；学校可允许学位论文被查阅或借阅；学校可以学 术交流为目的，复制赠送和交换学位论文；同意学校可以用不同方式在不同媒体上发 表、传播学位论文的全部或部分内容。 ( 涉密的学位论文在解密后遵守此规定) 作者签名：越 日 期：。逊! 丛如 导师签名： 日期： 缝诟蕊 。西、h 协 华北电力大学硕士学位论文 1 1 研究工作的背景 1 1 i 数字认证的研究现状 第一章绪论 目前，在数字认证方面的工作，国外取得较大进展开始于1 99 7 年x 5 0 9v 3 标 准的颁布和金融行业i t u x 9 系列标准的制定。这方面的工作总结发表在由i s o i i t u 制定并颁布的2 0 0 0 版的x 5 0 9v 4 中。在这一新的标准化工作里，有几个概念被提 了出来并得到广泛认可。其中较为重要的就是称为属性证书( a t t r i b u t e c e r t i f i c a t e ) 的新型证书类型。此外，许多别的国际化标准组织也在努力使数字 认证的用法清晰化，并扩展其用途。现在已经有越来越多的应用开始使用基于数字 认证的技术。 在国内，为了加强我国p k i i p m i 相关标准规范的研制工作，全国信息安全标准 化委员会于2 0 0 2 年7 月正式成立了p k i p m i 工作组( 即信安标委第四工作组，简 称w g 4 工作组) 。该工作组主要负责我国p k i p m i 标准体系的研究和p k i p m i 相关 标准的研制。工作组成立以来，重点就国外p k i p m i 标准现状、国内p k i p m i 标准 体系等课题进行了研究。在标准规范研制方面，工作组分别研究制定了基于x 5 0 9 的国内证书格式规范以及p k i 证书管理协议规范等标准规范。 在p k i 得到较大规模应用以后，人们认识到需要超越当前p k i 提供的身份验证 和机密性进而步人授权领域，提供信息环境的权限管理将成为下一主要目标。建立 在p k i 基础上的权限管理，由于属性证书的引入，已经将授权管理推到了研究应用 前沿，成为近年p k i 的研究热点。目前的授权管理系统仅仅还处在示范工程阶段， 虽然个别公司已经初步实现，但许多技术细节还不成熟，有待进一步深入研究。 1 1 2 权限管理的研究现状 权限管理是实施允许被授权的主体对某些客体的访问，同时拒绝向非授权的主 体提供服务的策略。这里主体( s u b j e c t ) 可以是人，也可以是任何主动发出访问 请求的智能体，包括程序、进程、服务等；客体( o b j e c t ) 包括所有受访问控制保 护的资源，在不同应用背景下可以有相当广泛的定义，比如在操作系统中可以是一 段内存空间，在数据库里可以是一个表中的记录，在w e b 上可以是一个页面。访问 的方式取决于客体的类型，一般是对客体的一种操作，比如请求内存空间，修改表 中记录，浏览页面等。 通过对主体的授权，计算机系统可以在一个合法的范围内被使用，从而保证了 华北电力大学硕士学位论文 客体被正确合理的访问，同时也维护了被授权主体的利益。这是权限管理的目的 同时也是一个安全系统所必须具备的特性。 1 2 研究工作的意义 随着i n t e r n e t 的普及，网络应用尤其是电子商务和电子政务开始成为重要的网 上活动，网络安全因其在网络应用中的重要性，日益成为一个不容忽视的问题。人们 需要在网络中为用户提供数字认证信息( 即身份鉴别和权限信息) ，以保证网络交互 的安全。p k i ( p u b l i ck e yi n f r a s t r u c t u r e s 公钥基础设施) 以密码学为理论基础， 提供身份鉴别、机密性、完整性和不可否认性服务，成为网络应用中信任和授权的 源泉。p k i 以身份证书为载体，同时记录用户的身份信息和权限信息。然而在p k i 的实际应用中，人们发现身份和权限有很多不同的属性，尤其在有效期上，权限由 于不同的环境会经常变化而身份则相对固定。将二者绑定在一个证书上不仅不利于 对身份和权限的有效管理，而且需要频繁更新证书，给签证机关带来很大的工作量。 鉴于x 5 0 9 v 3 为基础的p k i 系统中上述身份持久性与用户权限短暂性之间的矛盾日 益显著，需要找到一种新的方法来解决这个问题。在2 0 0 0 年x 5 0 9 v 4 中提出了属性 证书的概念，它分离了x 5 0 9 v 3 标准中p k i 的授权管理功能，提供更为严格、方便和 高效的访问控制机制。 在过去几年中，对用户能力和权限的管理已经吸引了许多注意力。许多权限管 理系统纷纷出现，但是几乎所有这些系统实现的都是专用方案。每种方案在开发设 计授权用户属性种类、基础设施的运作机制等方面都各不相同，因此为在各厂商或 不同企业之间共享的用户能力而提供的支持都是不足的。尽管在x 5 0 9 v 4 中提出了 属性证书的概念，但其尚在不断发展变化之中。因此，尽管基于非对称密码体系的 p k i 技术，在实现身份认证、数据保密性等方面能发挥很好的作用，但还需要在应 用中有很好的权限管理策略。 本文在对基于p k i 的数字认证和权限管理理论深入研究的基础上，重点研究了 r b a c 模型，并对其在w e b 上的应用进行了详细地阐述；而且在时间维上进行了约束 扩展，对于权限管理模型的应用和发展起到了一定地推动作用。 1 3 研究工作的内容和组织结构 本文的研究工作体现在以下几个方面： 1 研究了p k i 数字认证理论和属性证书，着重分析了利用属性证书实现权限管理 的模型； 2 研究了权限管理理论中的r b a c 模型及其授权约束在时间特性扩展的描述，提 出了一个具有时间约束机制的r b a c 模型的实现框架； 2 华北电力大学硕士学位论文 3 研究了基于w e b 的r b a c 模型的相关内容，在深入研究了安全c o o k i e 和缓存机 制的基础上，提出了一种基于w e b 的r b a c 高效安全机制，并通过实际日志数 据对该机制进行了验证； 4 研究了数字认证中的l d a p 服务器的工作方式和存储模式，提出了一种新的w e b s e r v i c e 存储模式，同时建立了两种模型的数学模型，通过计算数学模型性能 指标，证明了改进模型的优势。 本文共分六章，内容安排如下：第一章是绪论，主要介绍课题背景及意义；第二章 主要介绍p k i 理论；第三章介绍了基于w e b 的r b a c 高效安全机制；第四章介绍了l d a p 服务器和在利用w e bs e r v i c e 实现新的目录服务模型；第五章介绍了引入时间约束的 r b a c 模型的相关理论和实现框架；第六章介绍了本研究得出的结论。 华北电力大学硕士学位论文 第二章基于p k i ( p u b l i ck e yi n f r a s t r u c t u r e ) 的数字认证 自从有通信活动以来，安全问题一直受到人们的重视，所以人类发明了封条、 签字、密码锁等安全措施和机制来增强通信的安全性。进入互联网时代之后，由于 信息在几乎不受保护的情形下在网络间传输，从而使用户对网络产生极强的不信任 感，相关信息安全技术因此孕育而生。p k i ( p u b l i ck e yi n f r a s t r u c t u r e ，公钥基 础设施) 就是广为使用的信息安全技术之一。 2 1p k i 体系简介 p k i 的安全性源于它采用了密码学技术，其基本原理是通过应用数论难题的求 解来达到信息加密目的。目前在p k i 领域广泛采用的r s a 算法，它采用了数论中 的因子分解理论产生公开发行的加密公钥和个人保管的解密私钥，并通过一系列应 用机制保证了用户在i n t e r n e t 上的信息安全交互。 2 1 1p k i 体系的概念 p k i 是一个用公钥概念与技术来实现和提供安全服务的具有普遍性的安全基础 设施“1 。该体系在统一的安全认证标准和规范基础上提供在线身份认证，是c a 认 证、数字证书、数字签名以及相关安全应用组件模块的集合。作为一种技术体系， p k i 可以作为支持认证、完整性、机密性和不可否认性的技术基础，从技术上解决 网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障。 但p k i 绝不仅仅涉及到技术层面的问题，还涉及到电子政务、电子商务以及国家 信息化的整体发展战略等多层面问题。p k i 作为国家信息化的基础设施，是相关技 术、应用、组织、规范和法律法规的总和，是一个宏观体系，其本身就体现了强大 的国家实力。p k i 的核心是要解决信息网络空间中的信任问题，确定信息网络空间 中各种经济、军事和管理行为主体( 包括组织和个人) 身份的惟一性、真实性和合 法性，保护信息网络空间中各种主体的安全利益。作为公认的保障网络社会安全的 最佳体系，在我国，p k i 建设在几年前就已开始启动，截至目前，金融、政府、电 信等部门已经建立了3 0 多家c a 认证中心。如何推广p k i 应用，加强系统之间、 部门之间、国家之间p k i 体系的互通互联，已经成为目前p k i 建设亟待解决的重 要问题。 2 1 2p k i 体系的结构 为解决i n t e r n e t 的安全问题，世界各国对其进行了多年的研究，初步形成了 4 华北电力大学硕士学位论文 一套完整的i n t e r n e t 安全解决方案，即目前被广泛采用的p k i 体系结构”，p k i 体系结构采用证书管理公钥，通过第三方的可信机构c a ，把用户的公钥和用户的 其他标识信息( 如名称、e m a i l 、身份证号等) 捆绑在一起，在应用过程中，p k i 体系结构把公钥密码和对称密码结合起来，在i n t e r n e t 上实现密钥的自动管理， 保证网上数据的机密性、完整性。 从广义上讲，所有提供公钥加密和数字签名服务的系统，都可叫做p k i 系统， p k i 的主要目的是通过自动管理密钥和证书，为用户建立起一个安全的网络运行环 境，使用户可以在多种应用环境下方便的使用加密和数字签名技术，从而保证网上 数据的机密性、完整性、有效性。其 中，数据的机密性是指数据在传输过 程中，不能被非授权者监听；数据的 完整性是指数据在传输过程中不能 被非法篡改；数据的有效性是指数据 不能被否认。一个有效的p k i 系统 必须是安全的和透明的，用户在获得 加密和数字签名服务时，不需要详细 地了解p k i 是怎样管理证书和密钥 的，一个典型、应用接口完整、有效 的p k i 应用系统至少应具有以下部 分，如图2 1 所示： 权威认证机构ca p i ( 1 应用( 安全邮件，电子商务vpn ) 竹 安全策略 土j lj 【_ 权 证 证 鹊 书威 数 各 应 认撤 用证 字 份 销 接机 证 及 处 口构 书恢 理 c 库复 系 a 系 统 统 1r 软件硬件( 网络设备、加密设备等) 图2 ip k i 体系组成框架 c a 是p k i 的核心，主要职责是颁发证书、验证用户身份的真实性。一般情况 下，证书必须由一个可信任的第三方权威机构一一c a 认证中心实施数字签名以后 才能发布。而获得证书的用户通过对c a 的签名进行验证，从而确定了公钥的有效 性。 数字证书库 数字证书库是证书集中存贮的地方，用户可以从此处获得其他用户可用的证书 和公钥信息。数字证书库一般是基于l d a p 或是基于x 5 0 0 系列的，也可以基于其 他平台。 证书备份及恢复系统 密钥可能会由于一些原因而使密钥的所有者无法访问。密钥的丢失将导致那些 被密钥加过密的数据无法恢复。为避免这种情况的出现，就需要p k i 提供密钥备 份与恢复的机制。 证书撤销处理系统 华北电力大学硕士学位论文 c a 签发证书把用户的身份和密钥绑定在一起。那么，当用户的身份改变或密 钥遭到破坏时，就必须存在一种机制来撤销这种认可。 p k i 应用接口系统 一个完整的p k i 必须提供良好的应用接口系统，以便各种应用都能够以安全、 一致、可信的方式与p k i 交互，确保所建立起来的网络环境的可信性，降低管理和 维护的成本。 安全策略 安全策略建立和定义了一个组织信息安全方面的指导方针，同时也定义了密码 系统使用的处理方法和原则。它包括一个组织如何处理密钥和有价值的信息，以及 根据风险的级别定义安全控制的级别等。 2 2p m i 的概念和理论 i s o i e c 和a n s ix 9 在1 99 7 年提出的x 5 0 9 版本3 ( x 5 0 9 v 3 ) 中提出了属性 证书( a c ) 的概念，之后又在2 0 0 0 年推出的x 5 0 9 20 0 0 ( x 5 0 9 v 4 ) 中利用属性证 书定义了p m i ( p r i v i l e g em a n a g e m e n ti n f r a s t r u c t u r e ) 模型，利用这些模型， 开发人员可以将p k i 和p m i 集成在一起，为开放系统提供与应用相关的身份认证、 授权、加解密、电子签名等一系列安全服务。 2 2 1p m i 的概念 p m i 构成的授权管理平台，以身份鉴别体系为基础，向应用系统提供全面统一 的访问控制和授权管理服务。p m i 使用属性证书表示和容纳权限信息，通过管理证 书的生命周期实现对权限生命周期的管理。属性证书的申请、签发、注销、验证流 程对应着权限的申请、发放、撤销、使用和验证的过程。而且采用属性证书进行权 限管理的方式使得权限管理不必依赖于某个具体的应用，更有利于权限的安全分布 式应用。美国国家标准学会a n s i ，i t ux 5 0 9 ，i e t fp k i x 将p m i 定义为属性证书、 属性权威、主体、可信第三方和属性证书库的集合体。 i e t f 的标准草案中指出p m i 包括五个主要组成部分： 属性权威( a u t h o r i t yo fa t t r i b u t e ，简称a a ) ：是属性证书的发放机构，发放 和撤销a c 。a a 也可以通过在a c 的扩展项中使用很短的证书有效期实现a c 的撤销； a c 的用户( u s e r ) ：解析和处理a c 的人； a c 的验证者( v e r i f i e r ) ：检查a c 的有效性，并返回结果； 客户机( c l i e n t ) ：进行操作请求，提出授权检查； 证书c r l 数据库( r e p o s i t o r y ) ：存储和获取证书和证书作废列表的数据库。 p m i 的目的是向用户和应用系统提供授权服务管理，提供用户身份到应用授权 6 华北电力大学硕士学位论文 的映射功能，提供与实际应用处理模式相应的、与具体应用系统开发和管理无关的 授权和访问控制机制，简化具体应用系统的开发和维护。 2 2 2p m 的模型 这里重点介绍i t u 推荐的几种p m i 模型： 2 2 2 1 通用模型 通用的特权管理模型”3 包括三个实体，如图2 2 所示：特权声明者( p r i v i l e g e a s s e r t e r ，简称p a ，也有时被称为p r i v i l e g eh o l d e r ) ，特权验证者( p r i v i l e g e v e r i f i e r ，简称p v ) ，客体或对象( o b j e c t ) 。 豳2 ，2p m 通用模型 客体是被保护的资源，例如一个访问控制应用程序。 特权声明者是持有特定特权和在特定使用环境中声明特权的实体。 特权验证者是根据用户声明的特权和系统当前的特权策略对用户是否享有某 一服务做出判断的实体。p v 和所有a a 之间不是一定有某种联系。仅当p a 持有多个 a a 颁发的属性证书时，p v 才需要与这些a a 联系并接收由不同a a 颁发的证书。a a 之间不需要是相互继承的关系。 还有两个重要的概念就是环境变量和对象方法。环境变量是特权验证者做出通 过失败决策所需的参数( 如访问时间) 。对象方法是对象自身固有的可执行操作。 例如文件系统中的文件对象，具有“读”、“写”和“执行”等对象方法。 下面简要介绍一下i s o 访问控制框架“”，并与p m i 的通用模型进行对比。 i s o10 1 8 1 3 访问控制模型如图2 3 所示主要有四个部分组成：初始者，目标， 访问控制实施函数( a e f ) ，访问控制决策函数( a d f ) 。 华北电力大学硕士学位论文 图2 3 i s o 访问控制框架 发起人提交访问控制请求。访问控制请求说明对目标执行的操作。a e f 向a d f 提交决策请求。决策请求询问是否授权或否定某个特定的访问请求。a d f 做出决定 后，再将访问请求转给目标资源。 通用的特权管理模型与标准的访问控制框架的对应关系可以概括如下：特权声 明者相当于访问控制框架中的初始者；特权验证者相当于访问决策函数；对象方法 相当于访问控制框架中的目标；环境变量相当于访问控制框架中的外部信息；特权 策略相当于访问控制策略和访问控制策略规则。 2 2 2 2 控制模型 控制模型”l 描述的是如何对敏感的对象方法进行访问控制。模型如图2 4 所示 由五个部分组成：特权声明者，特权验证者，对象方法，特权策略和环境变量。特 权声明者持有特权；对象方法具有敏感度。特权验证者能够根据特权策略对特权声 明者的对象方法实施访问控制。特权和敏感度都可能有多个参数。特权声明者可能 是用公钥证书或可执行对象进行标识的实体。 环境变量 特权策略 特权声明者 对象 方法 图2 , 4 控制模型不意图 2 2 2 _ 3 委托模型 在一些环境中，需要委托特权，不过这是可选功能项并非所有环境都需要。如 图2 5 所示委托模型”| 由四个部分组成：s o a ，p v ，a a 和p a 。 当不需要实施委托时，s o a 就是将权限分配给持有者的证书颁发者。 在一些情况下，s o a 授予特权持有者担任a a 的角色，并允许其通过证书给其他 实体委托特权。s o a 可能会对委托强加约束( 例如，限制命名空间和路径长度) 。关 于委托的一项原则是：a a 不能授权自身所没有的特权；委托者可以限制较低级别 r 华北电力大学硕士学位论文 a a 的权限。a a 是否有权对其他a a 授权取决于颁发给该a a 的属性证书基本限制扩 展域中a u t h o r i t y 字段的布尔值和有关路径长度值。在委托存在的情况下，特权验 证者信任s o a 是分配资源全局的权威。s o a 授予持有者特权，这些持有者又可能继 续给其他实体委托特权。如果特权持有者的证书不是由某个s o a 颁发的，特权验证 者必须查询从特权委托者到s o a 的证书委托路径( d e l e g a t i o np a t ho 有效的路径 必须检查路径上的a a 是否有资格委托特权，而且被授权委托这些特权。只有a a 能 够委托特权，终端实体不能委托特权。 者 特权声明者 图2 5 委托模型示意图 2 2 2 4 角色模型 通过角色分配证书为个体分配一个或多个角色”。通过角色规范证书为角色分 配特权。这不同于通过属性证书为个体分配特权。这种分配方式的好处是更新角色 的特权并不会影响为个体分配角色的证书。 角色分配证书可以是属性证书或是公钥证书。如果角色分配证书是属性证书， “角色”属性包括在证书属性中。如果角色分配证书是公钥证书，“角色”属性包 括在s u b j e c t d i r e c t o r y a t t r i b u t e s 扩展项中。这时，包含在公钥证书中的特权是 直接分配给证书主体的特权，而不是分配给角色的特权。 角色规范证书可以是属性证书，但不能是公钥证书。如果不使用角色规范证书， 可以通过其他办法为角色分配特权( 如由特权验证者进行本地配置) 。特权声明者 在向特权验证者证明自己持有某个特权角色时，可以出示特权分配证书。特权验证 者要通过某种途径验证与声明的角色相关的特权，来做出“通过失败”的决策， 这就是角色规范证书的用途。 特权分配可以用p m i 的角色分配证书来完成，也可以通过其他方式如本地配置 来实现。如果在子角色规范证书中声明角色的特权，就需要建立角色分配证书与角 色规范证书之间的连接机制。角色规范证书不能委托给其他实体。颁发角色分配证 书的实体与颁发角色规范证书的实体一定是分离的。它们的管理如作废、唤醒等， 也通常是分离的。同一证书可能既是角色分配证书又是直接将特权分配给个体的证 华北电力大学硕士学位论文 书。 2 3x 5 0 9 属性证书 尽管公钥证书可以很好地提供认证、数据完整性和数据保密性等网络安全服 务，并且很好地解决了网络环境下的身份识别及安全传输等问题。然而在许多应用 中，公钥证书还不足以( 或是实现很复杂) 提供授权服务。因为在这些应用中，客 体的身份考虑得相对较少，更多地考虑的是用户的属性( 组织关系、角色或其它访 问权限) 。在许多情况下，如果从管理方便、灵活、安全及互操作性等方面综合考 虑，应该把这类属性信息从身份信息中分离出来，并像公钥证书那样保护起来，单 独进行管理。属性证书就是在这样的背景下产生的“。 属性证书a c 是由p m i 的授权机构源点s o a 或授权服务机构a a 签发的包含某持 有者属性集和一些与持有者相关的信息的数据结构。由于这些属性集能够用于定义 系统中用户的权限，因此作为一种授权机制的属性证书可看作是权限信息的载体。 属性权威机构的数字签名保证了客体与其特权属性相互绑定的有效性和合法性。 由于属性证书建立在基于公钥证书身份认证的基础上，所以对于它的使用必须 与公钥证书结合进行，由它y f - _ 者分别提供用户身份认证和特权属性授予服务。显 然，属性证书最重要的应用在访问控制方面。由于不再是基于用户身份，取而代之 的是基于用户的特权属性来决定其对某一资源或服务是否拥有访问权。正是因为属 性证书的安全性和可行性，使得它可以应用在很多的领域，如w e b 页面的访问控制、 电子商务中的访问控制以及在线服务的访问控制等。 2 3 1 属性证书基本元素 x 5 0 9 v 4 ( 2 0 0 0 ) 标准给出了属性证书v 2 版的完整表达。其a s n 1 的语法表示 如下所示。 a t t r i b u t e c e r t i f i c a t e ：= s i g n e d a t t r i b u t e c e t t i f i c a t e l n f o ) a t t r i b u t e c e r t i f i c a t e l n f o ：= s e q u e n c e ( v e r s i o n a t t c e r t v e r s i o n ， h o l d e r h o l d e r ， i s s u e r a t t c e r t l s s u e r ， s i g n a t u r ea l g o r i t h m l d e n t i f i e r ， s e r i a l n u m b e r c e r t i f i c a t e s e r i a l n u m b e r ， a t t r c e r t v a l i d i t y p e r i o d a t t c e r t v a l i d i t y p e r i o d ， a t t r i b u t e s s q u e n c e o fa t t r i b u t e ， i s s u e r u n i q u e l du n i q u e l d e n t i f i e ro p t i o n a l ， 1 0 华北电力大学硕士学位论文 e x t e n s i o n se x t e n s i o n s o p i i i o n a l l 可以看出，属性证书包括的基本信息共九项，与公钥证书十分相似。下面就属 性证书( x 5 0 9 v 2 ) 各字段域的a s n 1 语法和意义作一简单阐述。 ( 1 ) 版本号( v e r s i o n ) 一个整数值，用于区分属性证书不同的版本。0 标识版本1 。 ( 2 ) 证书持有者( h o l d e r ) 属性证书持有者标识符( 必须是x 5 0 0 中规定的、可区分的、唯一标识该持有 者的主体名) 。其a s n 1 语法标识如下： h o l d e r ：= s e q u e n c e ( b a s e c e r t i f i c a t e l d 0 】 i s s u e r s e r i a l o p t i o n a l ， e n t i t y n a m e 【1 g e n e r a l n a m e so p t i o n a l ， o b j e c t d i g e s t l n f o 【2 】 o b j e c t d i g e s t l n f o o p t i o n a l i s s u e r s e r i a l ：= s e q u e n c e ( i s s u e r g e n e r a l n a m e ， s e r i a l c e r t i f i c a t e s e r i a l n u m b e r , i s s u e r u i d u n i q u e l d e n t i f i e r o p t i o n a l o b j e c t d i g e s t l n f o ：= s e q u e n c e ( d i g e s t e d o b j e c t t y p ee n u m b e r a t e d ( p u b l i c k e y( 0 ) ， p u b l i c k e y c e r t( 1 ) ， o t h e r o b j e c t t y p e s( 2 )l ， o t h e r o b j e c t t y p e i d o b j e c ti d e n t i f i e r o p t i o n a l ， d i g e s t a l g o r i t h m a l g o r i t h m l d e n t i f i e r , o b j e c t d i g e s t b i ts t r i n g ( 3 ) 证书颁发者( i s s u e r ) 属性证书颁发者标识符( 必须是x 5 0 0 中规定的可区分的、唯一标识该权威的 主体名) 。其a n s 1 语法表示如下： a t t c e t t j s s u e r ：= s e q u e n c ef i s s u e r n a m e 1 0 g e n e r a l n a m e s o p t i o n a l ， b a s e c e r t i f i c a t e l d 【1 】 i s s u e r s e r i a lo p t i o n a l ， o b j e c t d i g e s t l n f o【2 】 o b j e c t d i g e s t l n f o o p t i o n a l l ( 4 ) 签名算法标识符( s i g n a t u r e ) 对该属性证书签名所使用的算法标识符，用于说明证书的颁发机构s o a 或a a 签发证书所使用的数字签名算法及相关参数。其a s n 1 语法标识如下： a l g o r i t h m i d e n t i f i e r ：= s e q u e n c e ( 1 1 华北电力大学硕士学位论文 a l g o r i t h m a l g o r i t h m & i d ( s u p p o r t e d a l g o r i t h m s ) ， p a r a m e t e r s a l g o r i t h m & t y p e ( s u p p o r t e d a l g o r i t h m s ) o p t i o n a l ) ) s u p p o r t e d a l g o r i t h m sa l g o r i t h m ：= ( ( 5 ) 证书序列号( s e r i a l n u m b e r ) 一个整数值，由证书签发者产生的每一个属性证书所对应的唯一标识符。 ( 6 ) 证书有效期( a t t r c e r t v a l i d i t y p e r i o d ) 该域包撬两个值：n o t b e f o r e t i m e 和n o t a f t e r t i m e 。其中n o t b e f o r e t i m e 指的 是属性证书有效的开始日期，n o t a f t e r t i m e 指的是属性证书有效的终止日期。特权 持有者的属性证书只有处在这两个时间段之间时才有效。其a s n 1 语法表示如下： a t t c e r t v a l i d i t y p e r i o d ：= s e q u e n c e 【 n o t b e f o r e t i m e g e n e r a l i z e d t i m e ， n o t a f t e r t i m eg e n e r a l i e d t i m e 】 ( 7 ) 属性值( a t t r i b u t e s ) 属性值序列，用于标识属性证书持有者所具有的特权属性。其具体表现为一系 列角色域，每一角色域又由r o l e a u 七h o r i t y ( 角色权威) 和r o l e n a m e ( 角色名) 组 成。其a s n 1 语法表示如下： r o l ea t t r i b u t e ：= w i t hs y n t a x r o l e s y n t a x ， di d - a t - r o l e， r o l e s y n t a x ：= s e q u e n c e r o l e a u t h o r i t y 0 g e n e r a l n a m e s o p t i o n a l ， r o l e n a m e 1 g e n e r a l n a m e s ( 8 ) 颁发者标识符( i s s u e r u n i q u e l d ) 签发属性证书的证书颁发机构s o a 或a a 的唯一标识符d n 。 ( 9 ) 证书扩展域( e x t e n s i o n s ) 属性证书的扩展域是非常重要的字段，它由多个扩展域选项组成，不同的选项 适用于不同性质的属性证书，从而使证书的用途更加广泛，从另一方面丰富了属性 证书的功能。角色规范证书r s c 、角色分配证书r a c 以及属性描述符证书( a t t r i b u t e d e s c r i p t o rc e r t i f i c a t e ) 都是分别通过对扩展域的定义而构建出来的。 2 3 2 属性证书扩展 x 5 0 9 v 3 和后来的x 5 0 9 v 4 标准对以前的证书结构作了重大调整，最重要的改 变之一就是增加了证书的扩展域。这些标准的扩展域给证书的使用带来了巨大的灵 活性和使用性，使得各厂商可以按照自身的需要来定义x 5 0 9 证书的内容而不影响 相互间的操作。 一个标准的扩展域通常包括三个部分：扩展对象标识符o i d ( o b j e c t 1 2 华北电力大学硕士学位论文 i d e n t i f i e r ) ，“关键性”( c r i t i c a l ) 标志和该扩展域a s n 1 语法结构的d e r 编码。 整个扩展域的a s n 1 语法如下所示。 e x t e n s i o n s ：= s e q u e n c eo fe x t e n s i o n e x t e n s i o n ：= s e q u e n c e ( e x t n l d e x t e n s i o n & i d ( e x t e n s i o n s e t ) ， c r i t i c a lb o o l e a nd e f a u l tf a l s e ， e x t n v a l u eo c t e ts t r i n g e x t e n s i o n s e t e x t e n s i o n ：= ( 其中对象标识符o l d 通常用一串被小数点分隔的整数来表示，就像人们熟悉的 i p 地址一样。o l d 是层次结构的，它们由国际权威组织来分发以保证其唯一性。“关 键性”标志用一布尔值确定。就s o a 或a a 而言，关于任一扩展域的使用方式有三 种选择。其一就是在证书内不使用某一扩展域；其二就是使用该扩展域但将其标为 “非关键”；其三就是使用该扩展域且将其标为“关键”。值得注意的是，被标注为 “关键”的扩展域必须为特权验证者所理解且作出相应处理；而被标注为“非关键” 的扩展项，如果验证者不清楚的话可以忽略此项，继续处理原属性证书。 为更好的进行特权管理，x 5 0 9 v 4 标准在属性证书内定义了众多功能各异的扩 展项。这些扩展域对于消除属性证书应用的模棱两可性以及增加使用的方便性都具 有十分重要的作用。 x 5 0 9 属性证书的扩展主要用于承载关于证书所标识特权的额外信息，大致可 以分为五类”： 基本特权管理包含与特权声明相关的信息 特权撤销用于标识特权撤销状态信息所在位置 授权机构源点包含与授权机构源点相关的信息 角色用于标识相关角色规范证书的存在位置 授权包含对授权行为的附加限制 2 3 2 i 基本特权管理扩展 基本特权管理扩展常用于对持有者特权进行基本的控制。例如特权可以使用的 时问、特权适用的范围、颁发者用于向使用证书的特权声明者或特权验证者显示的 一些注意事项以及特权应用时必须遵循的策略。 时间限制 时间限制的a s n 1 语法表示为： t i m e s p e c i f i c a t i o ne x t e n s i o n ：= 【 s y n t a x t i m e s p e c i f i c a t i o n l3 华北电力大学硕士学位论文 i n d e n t i f i e db y i d c e t i m e s p e c i f i c a t i o n 时间限制扩展与用于限制特权能够行使的时间段。例如，对一个目标资源只能 在周一到周五的上午8 ：3 0 到中午1 2 ：0 0 之间使用。这一扩展可以用于一些公司主 管对下属员工进行临时授权。 如果这一扩展处在充当a a 的角色分配证书中，那么它仅对包含在该a a 证书内 声明的特权有效，而不会对a a 颁发证书的时间有任何影响。 在x 5 0 9 v 4 标准中，这一扩展被建议必须标记为“关键”扩展，即如果包含该 扩展的证书不能为特权验证者理解，将立即被拒绝。 目标信息 目标信息的a s n 1 语法标识为： t a r g e t i n g l n f o r m a t i o ne x t e n s i o n ：= s y n t a x s e q u e n c es i z e ( 1 。m a x ) o ft a r g e t s i d e n t i f i e db y i d c e t a r g e r i n f o r m a t i o n t a r g e t s ：= s e q u e n c es i z e ( 1 m a x lo ft a r g e t t a r g e t ：= c h o i c e ( t a r g e t n a m e 【0 】g e n e r a l n a m e s ， t a r g e t g r o