基于属性的访问控制(abac)的跨域访问控制面向服务的体系结构(soa)-毕设论文

1、疥北徉/学理工学院毕业设计外文资料翻译专 业：通信工程姓 名：学 号： 11L0751156夕卜文出处：2012 In ter nati onal Conference OnComputer Science And Service System附 件：1.外文资料翻译译文；2.外文原文。指导教师评语：签名： 2015附件1:外文资料翻译译文基于属性的访问控制(ABAC )的跨域访问控制面向服务的体系结构(SOA)摘要传统的基于角色的访问控制模型 (RBAC)不能满足面向服务的需求架构(SOA) 的分布和开放，基于属性的访问控制(ABAC)更多细粒度访问控制，更适合 SOA是敞开 的环境。本文提

2、出了一种ABAC-based跨域访问控制系统中，安全域的与主题、对象属 性、权力的环境属性访问决策的基础，消除集成基于 SOA框架的约束RBAC，某种程 度上提高了可伸缩性和可变更性的系统，解决了跨域访问控制的问题。关键字：SOA，基于属性的访问控制(ABAC)，访问控制1.整体介绍面向服务的体系结构(SOA)是一种组织方法和使用分布式资源的灵活性组织和管理 资源的分布不同的管理领域1 - 2。越来越高的对信息集成的需求，松散耦合的、开放 的SOA从业务和吸引了越来越多的关注学术界3。但是SOA的发展也面临着许多问 题，比如安全保障，以及如何整合环境检测服务和原始数据4。它在特定的SOA安全系

3、统，开放性，跨域访问安全性呈现给我们的是一个巨大的挑战。基于角色的访问控制(RBAC)是在一个更合适的独立的安全域，不适合跨域访问。 基于主体统一服务认证系统7，使用不同的方法来处理访问跨域访问， 它解决了这个问 题在跨域访问企业信息集成一定程度上，但它的基于角色的想法不能最后一个方法实现 SOA的开放性和信息集成。为了解决上述问题，本文提出了一种基于属性的访问控制(ABAC)的跨域访问控制系统，该系统应用的思想属性的访问控制跨域访问控制。该系统消除过程中的缺陷基于 角色的访问控制应用于SOA的作用。2.基于属性的访问控制(ABAC)基于属性的访问控制模型(ABAC)包括两个方面：政策模型，定

4、义了 ABAC策略和应 用的体系结构模型web服务访问控制政策。我们首先解释概念的属性。A. 属性定义ABAC模型可以定义权限基于而已对任何安全相关的特征，称为属性。访问控制的 目的，我们关心的是三种类型的属性：? 主题属性。一个主题是一个实体(如。一个用户，应用程序或过程)，采取行动的资 源。每个主题有关联的属性定义主体的身份和特征。这样的属性可能包含主体的标识符 名称、组织、职位等等。一个主题的作用，当然，也可以被视为一个属性。? 资源属性。资源是一个实体(例如，一个web服务，数据结构，或系统组件)是作用 于一个主题。与主题、资源属性，可以利用访问吗控制决策。 Microsoft Wor

5、d文档的例 子，可能属性，如标题、主题，日期，和作者。往往是资源属性提取的尤其各种web服务元数据的属性可能相关的访问控制的目的，如所有权、服务分类、甚至质量服务(QoS)属性。? 环境属性是到目前为止在大多数的访问控制策略的忽视。这些属性描述的操作、技 术，甚至情境的环境或上下文信息访问。例如，属性等当前的日期和时间、当前病毒/黑客活动，和网络的安全级别？(互联网对比内联网)，没有相关联的特定主题和资源，但可 能也是如此相关应用的访冋控制策略。把角色和身份的特征校长，ABAC完全包含的功能IBAC和RBAC方法。此外，其 考虑的能力额外的资源属性，如敏感信息使它能够解决MAC需求很容易。因此

6、，我们相信，ABAC的自然融合现有的访问控制模型和超越他们的功能。语义上更加丰富和政 策表示更多的表达，可以更细粒度的列线图，因为它可以基于任何组合的主题，资源和 环境属性。B . ABAC政策制定在这里我们正式定义(基本)ABAC策略模型:(1) S、R和E是主题，资源和环境，分别；(2) SAk(1 k K)，RAm(1 m M)和EAa(1 n N)的预定义的属性是主题、资源、分别和环境；ATTR(s) , ATTR(r)，和ATTR(e)为主题的年代，资源分配关系，和环境，分别为 ：ATTR(s) SA1 X SA2 x-x SAkATTR(r) SA1 X SA2 x-x SAmAT

7、TR(e) SA1 X SA2 x-x SAn我们也使用这个函数赋值符号个人属性。例如：角色(s)=服务使用者”服务商(r)= XYZ公司当前时间(e)= 01-23-2005 (4)在最一般的形式，一个政策决定的规则年代主题是否可以在一个特定的访问资源r环境e，的布尔函数s，r，e属性：Rule:can_access(s ， r，e) Jf (ATTR(s)、ATTR(r)、 ATTR(e)鉴于年代的所有属性分配，r，和e,如果函数评价正确，然后访问资源授予；否则，访 问被拒绝。政策规则或政策存储可能由一个基础策略规则，涉及许多学科和资源在一个安全域。 访问控制决策过程在本质上相当于适用政策

8、的评估规则在商店的政策。现在我们可以展示不同的政策规则制定使用属性。一般人最简单的使用形式的策略规则涉及主题、资源、和环境属性是相互独立的。在通常这种情况下，策略规则匹配/资源/主题环境属性常量值。例如，一个规则与角色规定“用户管理人员可能访问批准 购买网络服务”能够写成：这个示例还说明传统 RBAC的规则可以通过对 ABAC模型很容易。然而，ABAC 模型的建模丰富的访问控制语义。例如，执行资源可能只是由其所有者访问，我们可以 有一个规则如下：R2: can_access (s ， r， e) J (UserID(s) = ResourceOwner(r)更有趣的例子将在未来部分。给属性赋值

9、，评价政策规则可能归结为一阶的评价逻辑(或其简单的变体)表达式，和现有的算法(如。正向链接)可以方便地应用。然而，这超出了本文的讨论范围实际实现的 政策评估。在这个基本的定义，我们也假设属性是单值，决策是基于只有吗一个规则。模型可 以扩展为支持更灵活并结合特性，比如多值属性算法对多个规则。3. 系统架构基于角色的访问控制是一种常用的访问控制政策，但是，没有一个安全域包含另一 个安全的身份验证信息域。和定义角色信息是非常复杂的RBAC的另一个领域。与RBAC，ABAC模型可以定义基于任何安全相关的权限特点，称为属性。的治疗 作用和主体的身份特征，ABAC完全包括IBAC和RBAC的功能方法。因此

10、，我们相信 ABAC是很自然的融合现有的访问控制模型和超越它们的功能。政策表示语义丰富、更 具表现力，更细粒度的内部ABAC因为它可以基于任何组合的主题，资源和环境属性8ABAC-based跨域访问控制系统体系结构如下图 1所示。本文提出了一种基于属性交叉安全 ABAC适用于域访问控制系统、交叉安全域访问控 制、系统盾牌安全域的物理存在，确保开放 SOA系统的松耦合。如图1所示，该系统主要由四个功能模块。消息处理模块这个模块有两个部分：客户端模块和服务器端消息处理模块，客户端模块加密登录信 息和解密令牌，服务器端解密模块登录信息和加密令牌。认证和令牌管理模块身份验证分析登录请求，获取用户的身份

11、信息和基于验证用户的身份用户信息数据库。 令牌管理模块为用户提供的身份令牌，并验证用户的身份令牌进行身份验证，它也提取 相关用户根据信息用户信息数据库令牌。3）访问控制模块基于属性的访问控制模块的核心系统包含策略执行点，政策决策点，政策当局权威和属 性。? 属性当局（AA）负责创建和管理对象的属性，资源和环境，分别。作为一个逻辑实体， 一个AA不一定存储属性本身（如。，AA主题可以选择检索组织目录中），但是它负责绑 定属性一个实体的利益，起着重要的作用配置和发现的属性。 ice-r匚和J7i I module图1所示：ABAC-basec跨域访问控制系统体系结构? 策略执行点(PEP)负责请求

12、授权决策和执行。在本质上，它是访问控制存在的意义 之间必须能够拦截服务请求信息使用者和提供者。虽然图描绘了鼓舞士气的一个点，它 可能是物理上分布在整个网络。它的最重要的是安全工程考虑PEP的实现是系统必须的设计，PEP不能绕过为了调用一个受保护的资源。?策略决策点(PDP)负责评估适用的政策和使授权决策(允许或拒绝)。PDP在政策执行引擎本质。当一个政策引用一个主题、资源或环境属性不存在的请求时，它联系适当 的AA检索属性值(年代)。? 政策权威(PA)创建并管理访问控制策略。政策可能由决定用于访问规则、条件和其 他约束的资源4)服务管理模块该模块由两个模块组成：服务注册和查询服务。所有服务的

13、安全体系结构必须统一登 记才能找到服务方便。服务信息管理模块提取资源服务响应用户的请求。4、访问控制过程在访问资源之前，您必须首先登录到系统，系统使用单点登录机制，通过一个身份认证，用户可以无缝的访问从不同的安全域服务。当用户需要安全域访问另一个服务，它将发生一个十字架安全域服务的访问。 典型cross-security域服务调用过 程：1）登录后，用户提出了一个访问请求。2）验证用户身份验证模块，发送的用户的信息和访问请求的访问控制模块。3）根据用户信息和资源的 URL分别的请求访问，访问控制模块获取属性供决策属性的 权力和资源的图书馆。4）策略决策点允许或拒绝访问基于该算法和策略库。5、实

14、施A.认证代理的实现为了让服务的认证和授权系统能够在分布式和协同工作异构的环境中，系统使用安 全断言标记语言，可以通过安全域的安全令牌传递标准。SAML的基本目的是提供一个协议提供跨域认证和授权信息，SAML是目前被广泛接受和应用。使用SAML令牌的过程，单点登录令牌，你可以开放性，通用性，和实施 跨安全域中的其他系统不可能。我们通常有两个基本模型的基于 SAML单点：拉模式和推模式。系统选择拉模型， 这将保持一个令牌或声明被称为源站点来减少处理目标站点上的负担。B. 这个消息安全传输在本文中，我们使用基于SSL的HTTPS安全连接接收用户信息和用户信息比较计 算MD5摘要值的用户在数据库中的

15、用户认证信息的信息，这使得攻击者无法获得用户 认证信息的监测，同时，避免了用户密码以明文存储在服务器端，保证了用户身份认证 的传输和存储安全信息。在系统的认证令牌存储形式在客户端的文件，认证服务器，令牌存储在数据库中， 这些标记都是加密的开放性的 SAML安全等级的AES算法，攻击者可以不解锁的内容， 并通过认证令牌传递HTTPS连接，以确保他们的安全在传输。C. 决策服务的实现该系统由XACML的访问策略的定义，XACML是完全基于XML的标准, 访问控制政策也完全由XML标签组成，主体属性和环境属性都包含属性在安全领域，其基本结构如下：vSubjectMatch Matchld=. vAttri