基于历史角色的自动信任协商模型

基于历史角色的自动信任协商模型

0htn自动信任协商系统随着网络和通信技术的快速发展，资源共享和顾问日益受到重视。如何在分布式计算环境中通信和在交易主体之间建立信任关系是其中的重要问题。然而,在开放式环境中,资源的提供者和请求者往往隶属于不同的安全域,如何在陌生人之间建立信任以保证开放式环境中资源共享的安全,成为一个迫切需要解决的问题。自动信任协商(ATN)是通过逐步向对方暴露数字证书和访问控制策略以在陌生者之间建立信任关系的一种访问控制方法。当访问者与资源/服务提供方不在同一个安全域时,常规的访问控制方法如MAC、RBAC等不能有效地对访问者的行为进行控制,而自动信任协商可为合法用户访问资源提供安全保障,并防止非法用户的非授权访问。HTN(Historical-basedTrustNegotiation,基于历史的信任协商)模型是一个用于解决跨域资源共享的自动信任协商系统。利用名片来识别开放式环境中的每一个实体,并在每次成功协商之后,将协商对方在本次协商中所暴露的证书记录并存储在对应的历史信息记录中。在后续的协商中,双方均不需要再次针对这些证书进行协商和暴露,从而大大地加速了协商双方的后续协商过程。从HTN的协商过程来看,HTN的理论是建立在协商双方信任的基础上,即协商的双方都是善意的协商者。但是,在现实生活中,并不是每个协商者都是善意的,因此,HTN可能会导致证书收集问题,不利于保护用户的隐私。为此,需要对HTN模型和相关的算法进行完善来解决这些问题。本文通过分析自动信任协商对系统的需求,提出了新的基于历史角色的支持快速协商的自动信任协商模型HRFN。1mrp模型1.1角色分配策略HRFN(HistoricalRole-basedFastNegotiation,基于历史角色的快速协商)模型是在HTN的基础上发展而来的,其基本思想是根据在协商过程中所暴露的数字证书,为协商双方分配一定的角色。每个角色拥有一定的权限,并在历史信息库中记录该实体得到的角色集以及得到该角色的证书暴露序列。在双方进行再次协商时,协商双方都可以根据对方所拥有的角色以及该角色的权限来进行协商,以加快协商双方的后续协商过程。角色(Role)指一个或一群用户在组织内可执行操作的集合。角色分配策略描述了某个实体要想成为该角色的一员所必须拥有的证书。角色分配策略用Role←C表示,其中Role为一个角色名,C表示证书集。权限配置关系是:PA⊆R×Role。权限配置表示资源和角色之间多对多的分配关系,即一个角色可以访问多个资源,一个资源可以分配给多个角色。角色委派关系是:RA⊆VC×Role。角色委派表示实体和角色之间多对多的分配关系,即一个实体可以被授予多个角色,一个角色可以分配给多个实体,这里实体用代表该实体的名片VC表示。名片(VisitingCard)是一个由其主体定义的不包含任何敏感信息的数字证书,该证书可在任何情况下向任何其它实体暴露。根据对方提交的名片,协商者可以回忆双方是否曾经进行过成功的信任协商。如果有,则可以根据对方所曾经暴露的而且仍有效的数字证书来加快新的信任协商的过程。历史信息记录(HIR)是一个有效的XML文档,它记录了协商对方在以前的信任协商中所暴露的证书,每条历史记录通过名片和每个实体映射。历史信息库(HIB)是用来存放所有协商对方的历史信息的数据库。在HTN中,协商者在一次成功的信任协商后,要将协商对方在本次协商中所暴露的证书记录进对方的历史信息记录中。证书暴露序列(CDS)是由协商双方的证书组成的一个有序证书集(C1,…,Ck),其中Ci是一个子数字证书集,可以是服务器端的证书,也可以是客户端的证书。协商双方按照证书暴露序列的顺序交互地向对方披露相关的子证书集,则可最终满足被请求资源的访问控制策略。1.2资源层面的映射在HRFN中,根据每个实体在协商过程中暴露的证书以及角色的分配策略,可为每个实体分配不同的角色。一个实体可经授权而拥有多个角色,一个角色可授权给多个实体。每个角色可访问多种资源,每个资源也可由不同的角色访问。由此可见,实体和Role之间的映射是多对多的关系,如图1所示,而角色和资源之间也是多对多的关系,如图2所示。式(1)清楚地描述了角色、资源和角色分配策略之间的关系,其中,Rolename表示角色名,res1,…,resm表示该角色可访问的资源,C1,…,Cn表示获得该角色必须拥有的证书集。实体可以通过两个途径来访问资源:第一,该实体曾经被授权了一定的角色,而且这个角色拥有该资源的访问权限;第二,该实体拥有访问该资源所必备的数字证书。在HRFN中,角色和资源的映射关系是由系统定义的,而实体和角色之间的映射是系统根据协商对方在协商的过程中所提交的证书集而确定的。角色分配算法如图3所示。在该算法中,只包含一个for循环语句,依次判断用户所暴露的证书是否能满足角色集RoleSet中的角色分配策略,因此该算法的时间复杂度为O(n),其中n表示角色集RoleSet中所包含的角色的个数。该算法的存储结构是一个链表,依次分配给协商对方的角色加入到链表RoleList中,因此,该算法的空间复杂度为O(n)。1.3角色冲突数据库的计算在HRFN中,协商双方通过协商代理NegoAgent进行协商。HRFN的NegoAgent结构如图4所示,其中,角色分配器用来为一个实体分配角色,从而获得该角色所拥有的权限。当协商双方构造出一个安全的证书暴露序列,达成成功的协商之后,角色分配器根据证书暴露序列中的证书为协商对方赋予相应的角色并修改历史信息库中协商双方的历史信息记录。角色库保存本地所设的所有角色以及该角色所拥有的权限。角色分配策略库是存放角色分配策略的数据库。策略一致性验证器在计算协商双方是否满足本地访问策略时,首先查看协商对历史分配的角色是否拥有访问被请求资源的权限。如果有,就向协商策略报告,并提交给协商策略该角色的证书暴露序列;否则,根据对方提交的证书进行计算。当双方达成成功的协商以后,HRFN中的角色分配器根据本次协商中协商对方暴露的证书以及系统的角色分配策略为协商对方分配角色,记录进协商对方的历史信息记录中,并记下本次的证书暴露序列。1.4控制策略的选择在HRFN中共有三个协商阶段:寒暄阶段、信任发展阶段和信任维护阶段。进入信任发展阶段后,服务器首先查看协商双方在过去的协商中被赋予了哪些角色以及这些角色可以访问的资源。如果被请求的资源包含于协商对方的某个角色可以处理的资源集中,则根据记录在历史信息库中的安全暴露序列,开始证书暴露。否则,服务器的策略一致性验证器向对方提交相应的访问控制策略。客户端根据服务器提交的访问控制策略、本地证书、本地证书的访问控制策略以及服务器端的历史信息记录中所记录的服务器曾被赋予的角色,计算出应该向服务器提交的证书集或相应的访问控制策略。双方重复以上过程,直到协商双方找到一个安全的证书暴露序列或确定不存在安全的证书暴露序列,即协商失败。若协商双方找到时,开始真正的交换证书,由证书验证模块进行验证。如果所有证书没有篡改、假冒、过期或吊销,则双方建立起充分的信任关系,服务器向对方披露资源,否则协商失败。信任维护阶段的目的在于保存本次协商中相关信息,以加快后续协商过程。如果是第一次协商,或对方历史纪录已过期,则需要在自己的HIB中为对方增加一条历史记录,为对方赋予一定角色,并记录下对应的证书暴露序列;如果不是第一次,则只需要在协商对方的历史信息中加入本次协商赋予的新角色以及得到该角色的双方的证书暴露序列;当再次协商时,只要HIR中的角色有权访问被请求的资源,则无需再次进行协商,直接按照该角色的证书暴露序列暴露即可,因此大大加快了后续协商过程。由此可见,在HRFN中,没有证书收集的问题,而是保存对方可以得到的角色以及该角色的证书暴露序列。2客户客户提交信用卡Anny是一家在线预定服务公司,为客户提供在线机票、火车票以及客房预定服务。申请在线机票预定和客房预定的客户必须提交其信用卡和身份证,而申请火车票预定的客户则只需提交信用卡即可。Bill是一家为商家提供商业保险代办的保险公司代理商。如果申请商业保险的商家是银联的特约商户,则直接可办理,并享受一定的折扣。对于一般商家必须提交其营业执照、风险评估证书以及信用卡。对于Anny来说,可以向任何客户出示其营业执照和银联的特约客户证书,但只向保险公司代理商提供风险评估证书,只向银联的特约客户提供信用卡。对于Bill来说,其身份证、银联的特约客户证书以及保险公司代理证书可向任何人出示,但只向银联的特约客户提供信用卡。2.1不同属性的证书暴露序列Anny和Bill分别指定了相应的角色分配策略和角色对权限的映射。Anny和Bill的访问控制策略以及角色分配策略分别如图5、图6所示。假定Bill向Anny申请机票为两者的第一次协商。当Bill申请机票预定时,双方在交换名片之后,协商出一个安全的证书暴露序列({IDCardB,VisaCardB},{VisaENGCredA}),其中先有Anny提交证书{VisaENGCredA},然后Bill暴露证书{IDCardB,VisaCardB}。在HTN中,此后,无论Bill申请机票预定、火车票预定或房间预定,只要提交名片即可获取相应的服务。而且,若Anny向Bill申请保险折扣业务,交换名片之后即获得相应的服务。而在HRFN中,Bill将被赋予角色Role1和Role2,二者的证书暴露序列均为({IDCardB,VisaCardB},{VisaENGCredA})。同时,Bill授予AnnyRole2角色,其证书暴露序列和Bill的角色Role1和Role2的证书暴露序列相同。当Bill再次向Anny申请机票预定、火车票预定或房间预定,双方交换名片之后,就根据该证书暴露序列进行证书暴露,从而获得相应的服务。而且,若Anny向Bill申请保险折扣业务,交换名片之后按照证书暴露序列暴露证书即获得相应的服务。2.2模型协商效果分析依据上述协商过程,设定试验环境为:l)资源方与用户均采用普通的PC机(AMDXP2500+CPU,IGBRAM,WindowsXP,l00Mbps以太网);2)考虑网络之间的差异性,对于协商双方采用相同的网络,都采用教育网;3)分别考虑对同一资源的多次访问、对同一实体的不同资源的多次访问、以及前一次协商的服务器方反过来访问客户端的资源。和其它的信任协商模型相比,HTN和HRFN都是将历史协商信息记录下来,从而加速后续的协商过程。因此,将HTN和HRFN的有关历史记录的模块都可以嵌进其它的信任协商模型,从而加速这些模型的后续的协商过程。为了验证该方法的协商效果,将HTN和HRFN抽去有关历史信息记录的模块来模拟其它的自动信任协商过程,并将其效果与HTN和HRFN进行对比。图7为不受攻击情况下,Bill申请Anny的机票预定业务的多次访问情况比较。图8为不受攻击情况下,Bill对Anny的不同资源的多次访问情况对比,其中,第一次为申请机票预定,第二次为申请客房预定,第三次为申请火车票预定,第四次为申请客房预定,第五次为申请机票预定。图9为不受攻击情况下,在Bill多次对Anny进行访问后,Anny对Bill的同一资源保险折扣业务的多次访问情况比较。2.3培养过身份的必要性从以上试验结果可以看出,在协商双方进行第一次协商时,HTN和HRFN所需的协商时间均比不采用任何历史信息的模型要长,这是因为在初次协商中,HTN和HRFN比其不采用任何历史信息的模型多了寒暄阶段的开销。但是从图7可以看出,当Bill多次访问Anny的同一资源时,其后续的协商过程大大缩减,而不采用任何历史信息的模型无论协商多少次,其协商时间都是一样的。从图8可以看出,当Bill多次访问Anny的不同资源时,只要其后续协商中所请求的资源所需的证书在Bill多次访问过Anny的资源后,Anny访问Bill的资源时,如果该资源所需的证书在双方以前的协商中已经暴露过,则即使Anny是第一次访问Bill的资源,其协商过程也会大大缩减。而不采用任何历史信息的模型无论在什么情况下,其协商时间只与计算复杂度和访问控制策略的复杂度相关,与访问次数无关。3在hrfn中增加自适应的证书暴露序列HRFN适用于协