（计算机应用技术专业论文）基于ucon的空间访问控制模型的研究与应用.pdf

江苏大学硕士学位论文 摘要 空间数据库和基于移动用户位置的信息服务正得到日益广泛的应 用，对访问控制模型也具有特殊要求：用户地理位置的变化通常会引 起用户权限的变化。因此，空间信息在访问控制模型中是一个关键的 上下文参数。然而，传统的访问控制模型( 如强制访问控制、自主访 问控制、基于角色的访问控制) 都是典型的非上下文敏感的，它们需 要复杂而又静态的认证基础设施。因此，不能够适应空间数据库的访 问控制要求。 为了满足上述要求，需要提出一种支持空间特性的访问控制模 型。能在用户位置发生变化的过程中实时的对系统中主体、客体的属 性进行不断的更新。授权的持续性以及属性的可变性是面向使用的访 问控制模型的主要特征，因此面向使用的访问控制模型是最合适的选 择。在空问环境下，用户的访问请求以及对于资源的访问受到用户当 前所在空间区域的制约。只有用户当前所处的空间位置在其所规定的 空间域范围内才能被授予对客体的操作权限或者对资源进行继续访 问。系统在进行访问控制授权决策时必须根据客体和用户的空间位置 来授予取消权限或者终止用户正在进行的访问。但是将现有的面向 使用的访问控制模型应用到空间数据的访问控制时，必须对其进行改 进，增加对空间数据安全特性的支持。以满足空间数据库中用户权限 与其所处空间位置之间的映射关系。 本文以带空间特性的空间数据库管理系统为平台，研究支持空间 江苏大学硕士学位论文 特性的面向使用的访问控制模型的特性，以加强面向使用的访问控制 模型对空问特性的描述能力，丰富和完善空间数据库安全理论，为军 事、银行、证券等信息敏感行业建立更为严密的信息安全防护体系奠 定理论基础。 关键i ：百- - - u s a g ec o n t r o l ，空间数据库，访问控制模型，基于位置服务 江苏大学硕士学位论文 a b s t r a c t s e c u r i n ga c c e s st od a t ai nl o c a t i o n - b a s e ds e r v i c e sa n dm o b i l ea p p l i c a t i o n sp o s ei n t e r e s t i n g s e c u r i t yr e q u i r e m e n t sa g a i n s ts p a t i a l l ya w a r ea c c e s sc o n t r o ls y s t e m s a n da l s oh a sas p e c i a l r e q u e s t ：t h ep e r m i to fu s e r sr i g h ti sd e c i d e db yt h eu s e r sg e o g r a p h i c a ll o c a t i o n t h e r e f o r e ，t h es p a t i a li n f o r m a t i o ni nt h ea c c e s sc o n t r o lm o d e li sak e yp a r a m e t e ro f t h e c o n t e x t h o w e v e r , t r a d i t i o n a l a c c e s sc o n t r o l m o d e l s ，a l e t y p i c a l o f n o n - c o n t e x t s e n s i t i v e ，s u c ha sm a n d a t o r ya c c e s sc o n t r o l ，d i s c r e t i o n a r ya c c e s s c o n t r o l ，r o l e - b a s e da c c e s sc o n t r o l ，a n dt h e yn e e dc o m p l e xa n dr e q u i r e dc e r t i f i c a t i o n s t a t i ci n f r a s t r u c t u r e t h e r e f o r e ，d on o tb ea b l et om e e tt h er e q u i r e m e n t so fs p a t i a l d a t a b a s e i no r d e rt om e e tt h ea b o v er e q u i r e m e n t s ，a na c c e s sc o n t r o lm o d e li sn e d d u s e r l o c a t i o ni nt h ep r o c e s so fc h a n g ei nr e a l - t i m er e q u i r e df o rt h es y s t e m ，t h eo b j e c to f o n g o i n gp r o p e r t yu p d a t e s a n dt h ec o n t i n u e da u t h o r i z eo ft h ep r o p e r t yi st h em a i n f e a t u r e so ft h eu c o nm o d e l ，s of o rt h eu s eo ft h ea c c e s sc o n t r o lm o d e li st h em o s t s u i t a b l ec h o i c e i nt h es p a c ee n v i r o n m e n t ，t h eu s e r sa c c e s sr e q u e s t ，a sw e l la sa c c e s s t or e s o u r c e sb yu s e r so ft h es p a c er e g i o nw h e r et h ec u r r e n tc o n s t r a i n t s o n l yw h e nt h e u s e r sc u r r e n tl o c a t i o ni nt h e i rs p a c ed o m a i ni no r d e rt ob eg r a n t e dp e r m i s s i o nt o o p e r a t eo nt h eo b j e c to rt h er e s o u r c e st oc o n t i n u eh i sv i s i t a u t h o r i z e da c c e s sc o n t r o l s y s t e mi nd e c i s i o n m a k i n gm u s tb eb a s e do nt h eo b j e c ta n dt h el o c a t i o no ft h eu s e r s s p a c et og r a n t c a n c e l l a t i o no fu s e rp r i v i l e g e so rt h et e r m i n a t i o no ft h eo n g o i n gv i s i t h o w e v e r , t h ee x i s t i n gu c o nm o d e la p p l i e dt os p a t i a ld a t aa c c e s sc o n t r o lm u s tb e i m p r o v e d ，i n c r e a s e ds e c u r i t yf e a t u r e so fs p a t i a ld a t as u p p o r t i no r d e rt oa d a p tt ot h e s p a t i a ld a t a b a s e i nw h i c hu s e rr i g h t sa n dt h e i rs p a t i a l r e l a t i o n s h i pb e t w e e nt h e m a p p i n g i nt h i sp a p e r , s p a t i a ld a t a b a s em a n a g e m e n ts y s t e ma sap l a t f o r mt os t u d yt h e s p a t i a lc h a r a c t e r i s t i c s o fs u p p o r tf o ra c c e s sc o n t r o lm o d e lu s e di ng e o u c o n f e a t u r e st oe n h a n c et h ep r o p e r t i e so fs p a c eu c o nm o d e ld e s c r i p t i o no ft h ea b i l i t yt o e n r i c ha n di m p r o v et h es a f e t yo ft h et h e o r yo fs p a t i a ld a t a b a s ef o rt h em i l i t a r y , r i 江苏大学硕士学位论丈 b a n k i n g ，s e c u r i t i e sa n do t h e ri n f o r m a t i o n s e n s i t i v ei n d u s t r ys e tu pam o r er i g o r o u s s y s t e mo fi n f o r m a t i o ns e c u r i t yp r o t e c t i o nt ol a yat h e o r e t i c a lb a s i s k e y w o r d s ：u s a g ec o n t r o l ，g e od b m s , a c c e s sc o n t r o lm o d e l ，l o c a t i o n b a s e d s e r v i c e s i v 学位论文版权使用授权书 本学位论文作者完全了解学校有关保留、使用学位论文的规定，同意学校 保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借 阅。本人授权江苏大学可以将本学位论文的全部内容或部分内容编入有关数据库 进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。 本学位论文属于 保密口，在年解密后适用本授权书。 不保密函 豕鹚哗 指导教师签名：缓。声 弘，产钿7 日 独创性申明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独立进行研究 工作所取得的成果。除文中已经注明引用的内容以外，本论文不包含任何其他个 人或集体己经发表或撰写过的作品成果。对本文的研究做出重要贡献的个人和集 体，均己在文中以明确方式标明。本人完全意识到本声明的法律结果由本人承担。 学位论文作者签名：狱膨缪 啪妙产“7 日 江苏大学硕士学位论文 第一章绪论 伴随着信息化革命的深入发展，新的科学技术的发展同新世纪的脚步发展形 影不离。在当今强劲发展的互联网世界，无线技术与定位技术相互结合，共同发 展，使现在的应用程序能够处理移动的对象的位置数据，比如车辆、无线设备的 用户、海上运输等。也有其他的一些空间对象应用程序依靠无线定位技术来取样 一些连续的、多维的变量信息。这类应用程序都建立在大量空间对象信息收集的 基础之上，于是空间数据库就产生了。空间数据库用来管理大量动态数据对象， 空间数据库在现在出现的大量处理动态对象的应用程序中占据的作用越来越重 要( 比如，交通控制、气象监测、移动计算等) 。空间数据库是最近数据库研究的 一个重点，它作为地理信息系统( g e o g r a p h yi n f o r m a t i o ns y s t e m ，g i s ) 的核心， 是g i s 发展的技术支柱。同时空问数据库也是数据库技术的一个前沿课题，它突 破了传统数据库主要基于文字、数字信息的应用，可以用于存贮和分析大量的具 有复杂结构的信息。目前，市场上已经出现了成熟地能够处理空间地理信息的对 象型数据库，但是针对对象型空间数据库的产品仍然比较少见，是当前研究的热 点。 1 1 本文选题依据及意义 国际上对数据库安全研究起步较早，积累了丰富的理论经验。早期b e l l ， b i b a ，l a p a d u l a 和d e n n i n g 等人对信息安全进行大量的基础研究，提出多种系统 安全模型，并在多个系统中得以实现。美国国防部于1 9 8 5 年公布了世界上第一 个计算机系统安全评估标准t c s e c ( n - 信计算机安全评估标准1 ，之后又公布了 t d i ( n - 信数据库管理系统解释) ，这也是目前国际上比较通用的标准。我国也于 1 9 9 9 年制定了计算机信息系统安全保护等级准则( g b1 7 8 5 9 1 9 9 9 、，目前我 国安全数据库的研究均是参照这些标准进行研制的。为解决国内广泛使用的c 级数据库管理系统的安全问题，一些数据库安全研究人员通过应用程序实施对数 据库访问控制，这是一个开发成本低、见效快的切实可行的方案。但是不能从根 本上解决数据库系统的安全问题。 江苏大学硕士学位论文 当前数据库安全的研究主要围绕着关系数据库系统的访问控制模型展开，主 要集中在自主访问控带1 ( d i s c r e t i o n a r ya c c e s sc o n t r o l ，d a c ) ，强制访问控制 ( m a n d a t o r y a c c e s sc o n t m l ，m a c ) 及基于角色访问控f l ；l j ( r o l e b a s e d a c e s sc o n t r o l ， r b a c ) 4 - 5 。对空间数据库系统访问控制技术研究比较匮乏。 空间数据库存放的是海量的拓扑、位置和属性数据，对于空间数据库的访问， 既要保证合法授权的用户对空间数据库的操作，又要能保证拒绝非法用户的访 问；既要能保证事务处理的完整性，又要能提供异常事务处理机制，还要提供长 事务处理机制；既要能保证数据存储的物理安全性，又要能保证数据传输的机密 性。而访问控制模型又是数据库安全的核心技术，因此对于空间数据库访问控制 模型的研究就有特别重要的意义。 为了满足空间数据库的特殊要求，需要提出一种支持空间能力的访问 控制模型【1 7 艺0 1 。不但能够根据用户发出服务请求时的位置来提供不同服务的访 问控制模型，而且还能确保用户所处的位置以及权限的不同来授予不同的权利来 访问不同安全级的信息。传统的访问控制已经远远不能满足这个需求【7 ，2 1 一，虽 然目前出现了许多支持空间和基于位置的访问控制能力或限制的上下文感知的 访问控制模型【7 1 4 刎，但它们并不能满足上述的所有需求，并且没有形式化关键 组件给出系统清晰而又精确的定义。授权的持续性以及属性的可变性是u c o n 主要特征，因此面向使用的访问控制模型是最合适的选择。 1 2 空间访问控制技术研究现状 在空间访问控制模型的研究方面，f r o d e 等人于2 0 0 1 年为无线通讯网开发了 带有空间特性的角色访问控制模型( s p a t i a lr o l e b a s ea c c e s sc o n t r o l ，s r b a c ) 1 5 1 ， 该模型非常简单，它在空间角色概念的基础上扩展了r b a c 模型。当用户在给定 的位置上时，相应的空问角色被自动激活。s r b a c 仅仅简单地提出了带有空问 特性的职责分离约束，但没有对带有空间特性的角色授权约束和会话状态变化规 律进行讨论。e l i s a 等【2 】人于2 0 0 1 年在r b a c 基础模型之上提出了基于用户物理组 织的空间感知r b a c 模型( g e o g r a p h yr o l e - b a s ea c c e s sc o n t r o l ，g e o r b a c ) ，对角 色进行了空间扩展，角色包含一定的空间覆盖区域，并且只在其空间覆盖区域内 有效。用户的当前物理位置只有被包含在某角色的有效覆盖区域内时用户才能激 2 江苏大学硕士学位论文 活该角色。系统把物理位置对应于点、线以及多边形区域这三种逻辑结构，根据 用户所定义的逻辑位置对用户进行授权。h a i 等【7 】人于2 0 0 4 年提出了基于用户的 时间、空问位置的访问控制模型( l o c a t i o n t e m p o r a la u t h o r i z a t i o nm o d e l ，l t a m ) ， 解决了当前用户请求进入处于该位置的区域权限的问题，但是该模型没有考虑访 问过程中用户物理位置改变时对于其权限的影响。2 0 0 2 年j a e h o n gp a r k 等人提出 了面向使用的访问控制模型( u c o n ) ，u c o n 模型提出了持续授权、属性的持续 更新以及属性的事后更新等方法，通过权限的持续授权解决了用户物理位置的变 化与权限更新之间的对应关系，但是该模型没有对主体客体属性以及权限进行空 间特性扩展，不符合时空数据库在实际应用中的实际安全要求。 1 3 本文主要工作 本文主要是针对传统的面向使用的访问控制模型( u s a g ec o n t r o l ，u c o n ) 在空 间数据库系统中的不足，对其进行空间特性的扩展，给出了带有空间特性的面向 使用的访问控制模型( g e o g r a p h yu s a g ec o n t r o l ，g e o u c o n ) 来保证具有空间特 性的位置感知应用程序的安全，本文的主要工作包括以下几个方面： 1 、本文系统全面的分析了传统访问控制方法，在此基础上指出了传统访问 控制在基于空间位置授权系统中存在的不足。 2 、详细介绍了下一代访问控制技术面向使用的访问控制模型，并给出 了该模型的优缺点以及需要进一步完善的地方。 3 、针对基于空间位置授权系统的特殊需求并结合u c o n 模型的最新特性以 及空间访问控制模型在实际应用中的需要，将u c o n 模型在空间授权特性方面 进行扩展，提出了带有空间授权特性的g e o u c o n 模型。并在分析了空间对象 区域特征后，结合空间授权规则条件的必要性、无冲突性，以及空间授权规则集 的可满足性、不同授权规则之间的关联性要求，将空间对象区域特征授权规则分 为空间区域授权范围规则、空i 、日j 区域授权基数规则和空间区域职责分离规则，并 且给出了各种规则的形式化描述。 4 、对特定区域内g e o u c o n 系统中使用过程中的所有动作以及由于使用过 程序列累加导致的授权的传播( 例如系统状态的改变造成的授权许可) 进行描述， 采用图灵机的停机问题来证明无空间作用域限制的g e o u c o n 系统的安全性是 3 江苏大学硕士学位论文 不可判定的，然后对系统内主体属性的作用域进行限制并证明了添加主体属性作 用域的g e o u c o n 系统的安全性是可判定的。然后根据实际的应用情况，给出 了基于g e o - e c a ( g e o g r a p h ye v e n t c o n d i t i o n a c t i o n ) 的空间约束规则的触发方 式。 本文创新点如下： 1 、提出了带有空间授权特性的g e o u c o n 模型，并结合空间对象区域授权 规则提出了空间区域授权范围规则、空间区域授权基数规则和空问区域职责分离 规则，并且给出了各种规则的形式化描述。 2 、对g e o u c o n 模型内属性的空间作用域进行限制，采用图灵机的停机问 题证明了添加主体属性作用域的g e o u c o n 系统的安全性，并给出了基于 g e o e c a 的空间约束规则的触发方式。 1 4 本文组织结构 全文由6 章构成，章节内容如下： 第一章：介绍课题的研究背景和意义以及国内外研究概况，并给出本课题的 主要研究工作。 第二章：详细阐述了面向使用的访问控制模型，介绍了u c o n 模型与r b a c 模型的区别，并指出了u c o n 模型的优缺点以及需要进一步完善的工作。 第三章：根据u c o n 模型的优点以及空间数据库系统的需求提出了一种新的 访问控制模型g e o u c o n 模型，根据空间对象区域特征，本文给出了模型内的 三类授权规则，并给出了完整的形式化定义。 第四章：综合考虑了空间区域内使用过程的所有作用以及由于使用过程序列 累加导致的授权的传播对系统造成的影响，讨论了g e o u c o n 系统中的安全性。 并提出了空间约束规则的触发方式g e o e c a 。 第五章：原型系统的实现。介绍了开发的原型系统的体系结构和实现过程， 重点讨论了原型系统中的两个安全模块的功能和结构。 第六章：总结全文并对未来工作进行展望。 4 江苏大学硕士学位论文 第二章u c o n 访问控制模型 2 1u c o n 模型概述 2 0 0 2 年，g e o r g em 大学著名的信息安全专家r a v is a n d h u 教授和j a e h o n g p a r k 博士首次提出使用控制( u c o 的概斜1 5 ，1 7 1 。u c o n 对传统的存取控制进行 了扩展，定义了授权( a u t h o r i z a t i o n ) 、职责( o b l 追a t i o n ) 和条件( c o n d i t i o n ) 三个决定 性因素，同时提出了访问控制的连续性( c o n t i n u i t y ) 和可变性( m u t a b i l i t y ) 两个重要 概念f 2 1 】。u c o n 结合了传统的访问控制、信任管理以及数字版权管理，用系统 的方式提供了一个保护数字资源的统一标准的框架，为下一代访问控制机制提供 了新的思路，下面简要介绍一下u c o n 模型。 2 1 1u c o n 模型的新特性 u c o n 模型引入了两种新的重要特征：“连续性 和“可变性 。在传统的访 问控制中，授权决策是在访问操作执行之前进行判断的，而在现代访问控制中， 有相对长期持续的资源使用或立即撤消资源使用权限的应用要求，这些都需要在 资源的使用过程( o n g o i n g ) q b 对访问请求进行实时监控，这一特征称为“连续性。 例如，工作流管理系统中某项审批业务流程，审批的文件可以看作资源，但可能 因为领导出差，长期得不到审批，在这过程中就需要对资源进行实时监控，但不 是在被访问之后，只能在访问之前和访问过程中。 在传统的访问控制中，属性只能通过管理行为才能被修改。然而，在许多实 际应用中，这些属性不得不因为主体的行为而被修改。例如，包含支付的工作流 管理系统中一个主体的账户余额必须随着主体的支取或者存入而改变，这种改变 也必将影响到主体的下一次或本次的访问权限检测。这种属性的可变性在传统的 访问控制中很少被讨论。对于可变属性的更新可能发生在使用资源之前，可能发 生在使用的过程中，也可能发生在资源使用完成之后。在u c o n 模型中一般将 属性分为两类：不变属性( 管理控制属性) 和可变属性( 系统控制属性) 1 4 ，不变 属性必须由管理员通过管理行为进行确定或修改，也就是说不能在系统的运行过 程中自动的改变，例如：用户的安全证书、工作组等属性。而可变属性是在系统 5 江苏大学硕士学位论文 权限决策f j 、中或者是后改变属性值，并对本次或是下次的权限决策起重要依据 作用。连续性控制和可变属性如图2 - 1 所示。连续性控制和可变属性使得基于历 史的授权决策更容易实施。 连续抖 可变 2 2u c o n 模型 ( o n g o i n g j 图2 - 1 连续性控制和可变属性 2 2 1u c o n 模型的组成部分 一、主体和主体属性 1 、主体( s u b j e c t ) 是可以对客体拥有某些使用权限的实体，简记为s 。主体的 含义很广泛，可以是用户所在的组织( 用户组) 、用户本身，也可以是用户使用的 计算机终端、卡机、手持终端( 无线) 等，甚至可以是应用服务程序或进程。 2 、主体属性( s u b j e c t a t t r i b u t e ) 是访问决策过程使用的属性，标识了主体能力 和特征，是权限决策过程中的重要参数，记为a t i ( s ) 。针对不同的应用环境对 主体属性的不同要求，在传统的访问控制环境中要求主体的属性中有唯一标识该 主体的关键字( 例如：用户名、帐号等) ，这就要求主体必须通过注册后才能登录 系统，而在开放式环境中往往也允许主体以匿名的身份依据具体的访问规则使用 系统资源。常见的主体属性有：身份、用户组、角色、成员关系、a c l 列表和 安全级别等。其中用户组是满足特定条件的主体的集合，角色是对客体操作权利 的集合，是实际岗位的体现。两者都存在着继承关系，都是主体的重要属性。 二、客体和客体属性 1 、客体( o b j e c t ) ：是按权限集合的规定接受主体访问的被动的实体，简记为 6 江苏大学硕士学位论文 o 。客体可以是工作流系统中用到的信息、文件、记录等集合体，也可以是网络 中的硬件设备，无线通信中的终端等。按照客体的来源可以把客体分为：原始客 体和派生客体，派生客体是原始客体在被主体使用过程中产生的客体，比如每个 文件被访问的日志文件等，这两类客体都是u c o n 模型管理控制的对象。 2 、客体属性( o b j e c t a t t r i b u t e s ) ：是标识客体的重要信息，记为瑚m o ) 。客 体属性包括客体的安全标签、所有关系、类别和访问控制列表等。在包含支付项 目的工作流管理系统中，价格列表也是重要的客体属性，例如：电子图书的价格 属性，该属性可能会规定读这本书需要支付5 元，支付2 0 元才具有打印权限。 3 、权限：权限( r i 曲哟是主体可以对客体访问的动作集，简记为r 。这一集合定 义了主体对客体的作用行为和客体对主体的条件约束。权限可以有很多种分类， 例如工作流管理系统中按着权限的用途分为使用权限，委托权限和管理权限等。 4 、 授权：授权( a u t h o r i z a t i o n ) 是传统访问控制模型中唯一的权限决策因素，也 是u c o n 模型中重要组成部分，简记为a 。授权是基于主、客体的属性，以及 所请求的权利进行的( 如读或写等权限) 并依据权限规则集进行的权限判断操作。 与以前的模型不同，u c o n 模型清楚认识到每个访问都有有限的期限，因此可以 符合工作流管理系统动态化需求根据不同的控制规则在访问之前或是访问过程 中进行授权判断操作。此外，执行授权谓词可能会引起主、客体可变属性值的修 改，进而将对本次或其它的访问决策产生影响。例如：用户在订购完一种产品后 其信用卡上的金额会相应减少，这一结果将是用户本次或以后使用该卡进行电子 交易的权限判断的重要依据，使得工作流中授权状态得以改变。 5 、义务：义务( o b l i g a t i o n ) 是主体必须在访问之前或访问过程中执行的功能 谓词，记为b 。义务谓词可以在访问之前执行( p r c b ) 也可以在访问过程( o i m ) 中执 行，p r e b 是在访问请求执行前主体必须满足某种条件，例如：用户首先需要提 供合同信息或个人信息才允许访问公司的技术资料，o n b 是在权限行使的过程中 必须持续性满足或是周期性满足的条件，例如：要求用户( 上级部门) 必须阅读完 下级部门的申请后，上级部门才能做出审批，否则不阅读的审批是不符实际的， 也是不允许的。所以，用户履行何种义务不是由系统管理员预先静态设置的，而 是根据主客体的属性动态确定的，义务的履行也可能更新主体的可变属性，同时 这些更新能影响现在或将来的使用决策。 7 江苏大学硕士学位论文 6 、条件：条件( c o n d i t i o n ) 是面向条件或是面向系统的决策因素，记为c 。通 过条件评估、以前的硬件环境或与系统有关的限制以决定是否满足用户清求。例 如：用户必须在规定的终端、规定的时间段使用服务，也可以对网络流量进行一 定的限制等。客体属性可以用来判断用户需要满足何种条件，比如：在网络拥塞 的情况下需要特定i d 才能进入系统。但条件的评估并不改变任何主体或客体的 属性，这一点与授权和义务规则不同。 2 2 2u c o n 核心模型_ a b c 模型 根据三个决定性因素授权、证书、条件以及连续性、易变性，下面给出面向 使用的访问控制的核心模型：a b c 模型。a b c 模型假设在目标客体上存在一个 使用请求。决策可以发生在请求权利执行之前、之间、之后。如果使用是不变的， 而且对于决定过程没有修正的必要那么就记为0 。如果使用是易变的，而且修 正是必须的，既可以在使用之前、之中又可以在之后进行修正，就分别记为1 ， 2 ，3 。根据这些标准，给出了使用控制核心模型1 6 种基本模型【1 3 】。 表2 - 1 使用控制核心模型 0 ( i m m u t a b l e )l ( p r e - u p d a t e )2 ( o n g o i n g - u p d a t e )3 ( p o s t - u p d a t e ) p r e a yyny o n ayyyy p r e b yyny o n byyyy p r e c ynnn o n cynnn 表2 - 1 显示了所有可能的模型的详细情况，如果不能够实现，那么就将其标 记为n ，如果决定因素是p r e ，更新只能在权利执行之f j 或者之后，那么如 果没有实时的决定则实时修正就不能进行。实时修正只能用在将来需求上，因此 修正可以在使用结束后进行。如果决定性因素是“正在进行”，那么更新就有可 能发生在使用之前、中间或者之后。对于条件模型，条件评估不能修正属性，他 只能简单的检查环境或者系统状态。具体的模型组合情况如图2 2 图所示： 8 江苏大学硕士学位论文 u c o n l i c o n b ( k o h a n z a t _ a r = ! e o s l i g a t i 搿毽 蛊 图2 - 2u c o n 模型组合 2 3 授权核心模型a b c 模型定义 锵 a n c o 模型是被研究对象的本质特征或运动特点的概括与抽象。选择合理的逻辑描 述工具是模型研究的重要一环。自2 0 世纪8 0 年代以来，建模方法的研究得到了 较快的发展，先后出现并完善了多种逻辑描述工具，其中数理逻辑是比较基础的 建模工具，此外，比较常用的有有限自动机( f s m ) ，p e t r i 网等。 数理逻辑又称符号逻辑，是用数学方法去研究思维形式的结构及其规律的科 一 学。所谓数学方法就是用一套表意符号( 即人工符号语言) 表达思维的形式结构和 规律，从而把对思维的研究转变为对符号的研究。这样就能摆脱自然语言的局限， 消除歧义，构成象算术或代数那样的严格精确的演算。集合谓词论是数理逻辑的 一个重要的分支，采用集合定义系统模型的各项元索，通过考察模型的内部结构 和逻辑关系，进而对模型进行全面、准确地了解，为模型的进一步完善与实现奠 定了良好的理论基础。本章以集合谓词论为主要描述工具对模型进行系统分析。 2 3 1u c o n p 佗a 预先授权模型 u c o n r r e a 模型在使用决定处理过程中使用了预先授权。在u c o n i ，佗a 模型中 授权决定在使用允许前做出授权模型。根据变量由三个具体的模型组成： u c o n 即a o 模型、u c o n r r e a l 模型、u c o n p 讹模型。其中u c o n p r e a l 是一个带有 任意预先更新谓词的预先授权模型。一个预先更新包括更新在使用开始前修改属 9 姚喇锄 江苏大学硕士学位论文 性的函数。u c o n p 糟a 2 是一个带有任意以后更新谓词的预先授权模型，使用更新 函数来修改使用结束后的某些属性。 定义2 - 1 u c o n p t e a l ) 模型有如下部分组成： q s ，o , r , a 玎( s ) , p r e a 分别代表主体，客体，权力，主体属性，客体属性以及 预先授权； q p r e ac _ a i t ( s ) x a t t ( o ) x r ，p r e a 函数就是利用主体客体属性、权利来进行 授权的一个操作； q a l l o w e d ( s ，0 固j p 趔似鳓4 刀飞0 ) 固许n - iv s 数，根据s 、d 的属性来判 定是否进行授权r 的操作。授权对于使用控制决定的可靠性检查发生在使用 之前，在访问发生之前、中问、之后都没有属性的更新； 定义2 2u c j 模型有如下部分组成： 0 s ，o , r , a t t ( s ) , p r e a 分别代表主体，客体，权力，主体属性，客体属性，以 及预先授权； q p r e a c _ a i t ( s ) x a i t ( o ) x r ，p r e a 函数就是利用主体客体属性、权利来进 行授权的一个操作； q p r e u p d a t e ( s o ) - - ( s o = 阳u 阳础力，授权对于使用控制决定的可靠性检查 发生在使用之前，在这个访问发生之前有一个或者更多的主体、客体属性进 行更新。其中s o e a t t ( s ) u a t t ( o ) ，s o 为更新后的属性集合，) 础配为更 新之中新添加的属性集合； t p r e u p d a t e ( a i t ( s ) ) , p r e u p d a t e ( a t t ( o ) ) 对s 跟0 的属性进行预更新； t a l l o w e d ( s ，o , r ) j p r e a ( a 鳓4 丌( 0 ) ，r ) 许可函数，根据s 跟o 的属性来判 定是否进行授权尺操作； 定义2 - 3u c 模型有如下部分组成： 0 s ，o , r a t t ( s ) ，a t t ( o ) , p r e a 分别代表主体，客体，权力，主体属性，客体 属性，以及预先授权； q p r e a c _ a t t ( s ) x a t t ( o ) r ，p r e a 函数就是利用主体客体属性、权利来进 行授权的一个操作； a l l o w e d ( s ，o , r ) j p r e a ( a 鳓4 硒d ) 皿) 许可函数，根据s 跟o 的属性来判 1 0 江苏大学硕士学位论文 定是否进行授权操作； q o n u p d a t e ( s o ) 专= 如u 阳。厅训，授权对于使用控制决定的可靠性检 查发生在使用之前，在这个访问发生过程中有一个或者更多的主体、客体属 性进行更新。其中s o a t t ( s ) u a 乃r ( o ) ，s o 为更新后的属性集合，阳加啦妇 为更新后新添加的属性集合； o o n u p d a t e ( a 1 7 ( s ) ) ，o n u p d a t e ( a 硒d ) ) 对s 跟0 的属性进行持续更新； 以上三种模型是u c o n 核心授权模型中的a u t h o r i z a t i o n 模型。 2 3 2u c o n 0 n a 使用中授权模型 在u c o n 模型中，使用请求不需要任何预先决定就可以允许。然而授权决 定需要在使用权力的操作中连续的或者重复的做出决定。如果某些请求变的不满 足，那么当前已经允许的使用权力就会取消，对它的操作就会停止。使用中授权 很少在访问控制领域中讨论到。在u c o n 中，有四个具体的模型：u c o n 。n a o 模 型、u c o 模型、u c o n o n a 2 模型。u c o n 。n a 0 是一个不变的使用中授权模型， 在其中不需要更新函数。u c o n o n a o 是一个无预先更新函数的进行中授权模型。 u c o n o “a 和u c o n o n a 2 是分别包含了进行中更新函数和以后更新函数的模型。 定义2 - 4 职口模型有如下部分组成： 0 s ，o 水a t r ( s ) ，a t t ( o ) , p r e a 分别代表主体，客体，权力，主体属性，客体 属性，以及预先授权； o o n a c _ a t t ( s ) x a i t ( o ) x r 持续授权函数，用来进行访问过程中的持续授权； a l l o w e d ( s ，d 鼻) jt r u e 授权许可函数； q s t o p p e d ( s ，d 固 - , o n a ( a r r ( s ) , a r r ( o ) , r ) 授权终止函数； 定义2 5u c o n o n a j 模型有如下部分组成： 0 s ，o 月a t t ( s ) 4 硪d ) ，p r e a 分别代表主体，客体，权力，主体属性，客体 属性，以及预先授权； q p r e u p d a t e ( s o ) - ( s o = s o u 觋陀训，持续授权过程中在这个访问发生之 前有一个或者更多的主体、客体属性进行更新。其中s o e a i t ( s ) u a r r ( o ) ， s o 为更新后的属性集合，觋陀懒肥为更新之中新添加的属性集合； q p r e u p d a t e ( a 阿( s ) ) , p r e u p d a t e ( a t t ( o ) ) 对s 跟0 的属性进行预更新； 江苏大学硕士学位论文 o a l l o w e d ( s ，d 水) j t r u e 许可函数； o s t o p p e d ( s ，d 皿) 乍- , o n a ( a 乃4 z 及0 ) ，r ) 授权终止函数； 定义2 - 6w 例、施模型有如下部分组成： o o n u p d a t e ( s o ) 一= s o u s o 伽训，持续授权过程中在这个访问发生过 程中有一个或者更多的主体、客体属性进行更新。其中s o e a i t ( s ) u a t t ( o ) ， s o 为更新后的属性集合，如硼魄妇为更新之中新添加的属性集合； o o n u p d a t e ( a t t ( s ) ) ，o n u p d a t e ( a t t ( o ) ) 对s 跟d 的属性进行持续更新； q a l l o w e d ( s , o , 鼬j t r u e 许可函数； o s t o p p e d ( s ，d 皿) 仁- , o n a ( a t t ( s ) c t t t ( o ) j i ) 授权终止函数； 定义2 7u c o n o 椰模型有如下部分组成： o a l l o w e d ( s ，o , r ) jt r u e 许可函数； o s t o p p e d ( s ，d 水) c = - , o n a ( a t t ( s ) , a t t ( o ) , r ) 授权终止函数； o p o s t u p d a t e ( s o ) j = s o u 鼠k 蚴砌力，在这个访问发生之后有一个或者 更多的主体、客体属性进行更新。其中s o e a t t ( s ) u a i t ( o ) ，s o 为更新后的 属性集合，s q 蝴纪为更新之中新添加的属性集合； o p o s t u p d a t e ( a z 西) 炉舭力飞g ) ) 在访问完毕之后对s 跟d 的属性进行更 新； 2 3 3u c o n p 佗b 预先职责模型 u c o n p r e b 引入了预先职责，职责在请求发生的时候或在允许访问前被执行。 p r e b 是一种历史函数，它检查某些职责是否执行，给使用决定返回真或者假( t r u e o rf a l s e ) 。假设一个用户在下载一个公司的白皮书时必须要提供他的名字和 e m a i l 地址，或者一个用户必须同意协议来获取对一个w e b 入口的访问。这罩， 用户必须要在访问允许前完成要求的动作。u c o n p 化b 模型有2 步组成，第一步 是根据请求的使用选择职责元素。这个选择可以使用到主体或者客体的属性。第 二个步就是检查选择的职责元素，是否存在任何错误信息的提交( 例如，非法的 e m a i l ) 。在u c o n p 他b 中，请求可能需要完成多元组预先职责元素。p r e b 谓词是 用来p r e f u l f f i i e d 来检查所请求的预先职责元素( p f e o b l ) 是否完成，返回t r u e 或 者f l a s e 。 江苏大学硕士学位论文 定义2 8u c 模型有如下部分组成： o s ，o 只, a t t ( s ) ，a 职d ) 和u c o n p r e a 相比没有变化； o o b s ，o b o ，o b 分别代表职责主体、职责客体以及职责动作； o p r e b 和p r e o b l 分别代表预先职责谓词和预先职责元素； o p r e o b lc _ o b s x o b o x o b ； o p r e f u l f i l i e d ：o b s x o b o x o b 一 t u r e , f l a s e ； l g e m d 砚：s d 尺_ 2 p 加纠，在请求中选择预先职责的函数； o p r e b ( s , d ，r ) = 八嘲，n 蛔嘲鲥c