基于风险的跨域访问控制研究

基于风险的跨域访问控制研究

1基于rbac模型的跨域互操作云计算是网格计算、分布计算和并行计算的产物，它是传统计算机与网络技术的结合，如网格计算。云计算的分布特征使云存储和计算能够影响特定自治区域的资源。随着云计算环境的影响，云存储和云计算的安全性变得越来越重要。云计算环境下的不同云应用程序属于不同的安全管理区域，每个安全区域管理本地资源和用户。当用户访问不同的资源时，每个区域都有自己的访问控制策略。在资源共享和保护方面，需要制定一个公共、双方都同意的访问控制策略。因此，云访问策略的组合已成为大多数实际的多域合作研究内容之一。在大多数情况下，开发人员和管理者不完全放弃现有的权限管理和访问控制体制，而是在批准开放和系统转型的成本之间保持平衡和考虑。由于rbac模型在现有系统中的广泛应用，解决rbac环境下的跨地互联操作问题具有理论和现实双重意义。基于云环境复杂多变的特点,跨域访问中的互操作规则必须能够同步适应环境的动态变化.通过在RBAC模型基础上,引入风险这一动态量化评估机制,增加了角色转换的辅助约束条件,互操作过程的安全性明显提升.同时,根据风险值的变化,动态调整用户的映射角色,从而提高了互操作中访问控制的灵活性.2基于域间角色映射的域间角色映射文献给出了一种基于风险的多自治域的互操作模型.定义了域间角色映射的可满足性和最大互操作性等,证明了寻找最大互操作性的子集是NP完全问题,但是没有给出具体的域间角色映射算法.该模型引入了风险模型,从定性和定量两个角度进行了风险评估,提出了风险等级和风险游标的概念.文献阐述了一种具体的域间角色映射方案.针对外域请求和现有角色权限不能完全匹配以及域间角色映射过程中权限的隐蔽提升问题,该方案建立两种域间链接方式,分别是外域角色到本域角色的链接和外域角色到本域权限的链接.这种混合映射方案很好地解决了权限隐蔽提升和映射中产生冲突的问题.本文将以上述两篇文献为基础,给出一种更细粒度、更灵活的云环境下的风险管理方案.在工程实现方面,文献设计并实现了一个基于XACML的通用分布式访问控制决策中间件,对分布式环境下的访问控制决策过程进行了封装,对外面向各种应用提供通用的决策服务.同时支持匿名资源访问控制,实现了对策略的缓存和对用户安全属性的两级缓存.但是,该设计方案没有引入风险机制,不适应云环境动态多变的特点,理论模型在安全性和灵活性上存在一定的缺陷.3险游标的概念与工作流程不失一般性的假设,云中任意两个不同的自治域X和Y,域X的用户向域Y发起跨域访问请求.传统的基于风险的跨自治域RBAC模型,仅仅将风险管理用于域Y,本文将风险管理的概念引入域X,增加了一级在请求发起域中对节点的筛选,减少了部分成功概率低的请求,进而减少系统开销.同时,在域X和域Y中引入时效性约束.避免了无限制的访问请求,并将用户的请求时间作为计算风险值的参考因素,实现了细粒度的风险控制.模型的整体框架如图1所示.假设自治域均采用RBAC96模型,表示为一个八元组(U,R,P,S,URA,PRA,RH,CON).其中,U代表用户集合,R为角色集合,P⊆OBJ×ACC为权限集合,表示客体(OBJ)上操作(ACC),S为会话集合,URA⊆U×R为用户(U)到角色(R)的映射关系,PRA⊆R×P为角色到权限的映射关系,RH⊆R×R是角色集合上的一个偏序关系,用≥表示,记RH*为RH的自反与传递闭包.CON为约束的集合.风险等级集合和风险游标的概念参考文献,本模型中的相关元素定义如下:定义1.多自治域构成的域的集合D={X,Y,…}定义2.风险等级集合EdRL=RL∪{deny,allow},并定义EdRL上的一个全序关系≤满足性质:∀rl∈EdRL:[allow≤rl∧rl≤deny].定义3.风险游标cursori:∀i∈D:cursori∈EdRL.例如,cursorX表示域X的风险游标值.定义4.共享函数share:D→(D→PowerSet(P)),share(Y)(X)表示域Y指定域X可以访问的资源.下面举例说明本模型的具体工作流程,如图2所示.首先域X和域Y同时开始准备工作,域X定义本域的风险函数fX(req)∈,风险值越大,表明风险越高,计算域内各成员节点的风险值ri(i∈(1,…,m)),其中m为域X中的节点总数,并由域管理节点主观设置风险游标cursorX;域Y的准备工作包括定义共享函数和相关风险函数fY(req)∈,并设置风险游标cursorYiYi,i∈D,本例中i取X.然后,域X的用户u发起访问请求req=(r,s,p,h,t,c),此时,域X的管理节点,将本次访问的风险值σ(req)X同域X的风险游标cursorX进行比较,并比较计数器的值count和设定的最大访问次数MAXcount,域X的管理节点对本次访问的决策定义如下:decision(req)X={allowdeny(σ(req)X＜cursorX)∧(count＜ωi)elsedecision(req)X={allowdeny(σ(req)X＜cursorX)∧(count＜ωi)else如果结果为allow则进入下一步,否则拒绝的本次访问请求,过程终止.第4步,域Y将根据u的请求req和共享函数share(Y)(X),计算用户u在域Y中的映射角色集合RY(X),并计算本次访问的风险值,比较风险值与风险游标的大小,决定是否允许本次访问请求,如果允许访问,则继续进入第5步,如果拒绝访问,则跨域访问过程终止,详细过程如图3所示.如果允许访问,进入第5步,域Y验证用户u的身份,如果验证通过,将映射角色集合RY(X)赋给u,并允许其以该角色对域Y中的资源进行访问.当整个访问过程结束后,不论本次访问是否成功,双方都将会对本次操作相互做出评价,各自域管理节点根据评价值修改本域的风险游标,具体过程将在风险管理中详细阐述.本模型中的角色映射机制采用tang优化后的贪心算法.Siqing等首先提出了一种基于贪心算法的导出角色集的方法,Tang在其基础上进行了优化,具备较高的安全性,缺点是不能保证对所有请求都能找到结果.针对本模型风险机制的引入,将算法进行改进.初始时,增加一步定位操作,根据访问发起域X的风险等级,在被访问域Y中确定与其具备相同风险等级的角色集,将此角色集作为初始角色集,应用Tang的算法,如果未找到结果,将风险等级同时向上和向下扩大一级,增大搜索范围,如此循环,直至找到最终结果.通过缩小初始角色集,降低了时间消耗.4访问请求的定量风险值云中节点的行为具有很强的不确定性,即使是同一个节点,在资源访问的不同时刻也可能表现出不一致的行为.风险恰恰表现为损失的不确定性,风险值越大,表明节点带来的损失可能越大.风险由两部分组成:1)被请求域根据访问类型和被访问资源的敏感程度等因素,给出本次访问的主观风险值σS∈;2)根据请求访问域的历史记录定量计算出的风险值σO∈,本模型将申请访问的时间长短作为计算定量风险值的参考因素,申请访问的时间越长,风险值越大,表明此次访问请求的风险越高.本模型在风险管理上借鉴了文献中风险游标的概念,与文献中仅仅在Y域使用风险游标不同,本文的模型将风险游标同时应用于跨域访问的发起域X中,从而在发起域中就限制允许跨域访问的成员.这样一来,使得域X的管理节点在审核申请跨域访问节点时增加了一级约束条件,使信誉度更高的节点获得跨域访问的资格.同时,为域中的每个节点附加计数器,记录该节点在某一固定的时间段内跨域访问的次数,当在某一预先设定的时间范围内,该节点申请跨域访问的次数达到一定值时,被认为跨域访问操作过于频繁,域X管理节点拒绝该节点跨域访问.当到达边界情况时,引入恢复机制,重新建立该域的跨域访问机制,并赋予其风险初始值和计数器初始值.本文的风险管理将重点阐述风险游标和计数器在访问发起域X中的应用以及访问请求的时效性管理.4.1风险旅游基准和计算4.1.1相关记载的记载假设域X向域Y申请跨域访问,记域X中用户的访问请求集合为REQX.用户域X的每一个用户向Y发出跨域访问请求的信息包括:1)用户在域X所具有的角色;2)该访问请求所属的会话;3)用户所请求执行的域Y的权限;4)与该请求相关的历史记录;5)本次访问请求持续的时间.REQX形式化地表示为:REQX⊆RX×session×PY×history×time×count,其中RX为域X的角色集合,session为会话集合,PY为域Y的权限集合,history为访问请求的相关历史记录集合,time为本次访问申请持续的时间,count表示本次访问是当前访问周期中的第count次访问申请.参考文献中风险游标的概念,将风险游标引入域X,cursorX表示域X对本域节点的风险敏感程度,风险游标的定义见定义3.域Y的风险游标cursorYXYX则表示了域Y对域X的风险敏感程度,与域X的风险游标不同.风险游标由本域管理节点自主设定,并随着本域风险等级的变化而动态调整.域X中的风险游标的应用如图3所示.4.1.2分布式营养系统检测域X的管理节点为域X设置一个应用周期TX,并且在该周期内域内节点申请跨域访问的事件次数满足一定的阈值约束,称该阈值为跨域该节点访问的宽度变量,记为ωi(i=1,…,m),m为域X中总节点数,表示申请者能够被本域的管理节点允许的跨域访问次数.应用周期TX和节点宽度变量ωi组合限制了域X中某一节点的访问频率.当某节点i发出跨域访问请求req=(r,s,p,h,t,c),判断c≤ωi是否满足,如果满足,则继续进行下一步,如果不满足,则终止本次访问申请,并将c清零,域管理节点根据该节点的访问频率Pi=c/TX,并与本域内所有节点的平均访问频率ΡX=m∑i=1Ρi/mPX=∑i=1mPi/m相比较,如果Pi>PX,则提高节点i的风险值至σ(req)X×(Pi/PX),并重新设定宽度变量ωi(可以保持不变,也可以适度调整).计数器管理的流程图详见图4.4.2时效性约束机制时间是授权的重要组成部分,不具时间的访问控制模型是不完备的,不能很好地适用于实际应用.在云中,由于节点的不确定性,节点长时间拥有某一角色,将会带来无法预计的风险.本文模型引入时效性约束的机制,控制外域节点的访问时间,并将用户申请访问的时间作为对其进行定量风险评估时的参考因素之一.定义域Y跨域访问时间长度约束TimeYiYi,i∈D,规定外域用户每次激活操作不超过一个固定长度的时间范围,域Y对域X的访问时间长度约束记为TimeYX.时效性约束的具体应用描述如下:域X中的节点u向域Y发起访问请求:req=(r,s,p,h,t,c),此时域Y为该请求开启计时器,其他操作继续执行.如果直到本次请求结束,访问时间仍未达到申请的时间t,时效性约束不起作用,计时器在本次请求结束时被撤销.若计时器的值到达申请的访问时间t时,本次请求没有结束,报警模块向域Y管理节点发送超时提醒,接到报警提醒时,域Y管理节点中断本次次访问,保存中断现场,并向请求域X的管理节点发送超时提醒,如果在Δt时间内,没有收到域X的反馈信息,则终止本次操作,撤销映射角色,删除保存的中断现场.对于域X,收到超时提醒,如果不希望继续本次请求,则不作任何反馈;如果希望继续本次操作,则必须在Δt时间内向域Y发送反馈信息如果反馈信息message={req,τ},其中req为本次操作的请求,τ表示本次请求增加的访问时间,τ<TimeYX,域Y收到反馈信息后,修改TimeYX′=TimeYX+τ,并将本次访问的风险等级提高一级(如果已经达到最高风险等级,则维持原风险等级不变).如果增加了τ时间之后,仍未完成交互,则强制终止本次交互.时效性约束的流程图如下页图5所示.4.3基于记录的保护节点的历史记录由各节点进行保存,风险值由管理节点计算.各节点通过设置标识位的方法,限制管理节点仅可以使用历史记录中的部分记录,从而保护历史记录隐私.计算风险函数值时,仅根据一段时间内,该节点访问操作的风险等级,访问结果及访问时间进行计算.函数形式为R=f(σ,result,time).将这3项属性的标识位置为1,其余置为0,限制管理节点仅可以访问历史记录中的该3项属性.如图6所示.5基于sa的安全模型分析了云环境的分布式、动态的特点后,本模型在文献和文献的基础上,进一步研究了跨域访问过程中的风险机制,将风险游标的概念由原来的仅用于被访问域Y,扩充到请求发起域X中,扩大了风险游标的应用范围,将发起域中各节点风险值的预排序,