硅谷杂志：基于RBAC的PMI网络安全平台的设计 |
| 2012-06-21 12:22 作者：汤柏 来源：硅谷网-《硅谷》杂志 HV： 编辑： 【搜索试试】
|
|
摘要：随着计算机网络的发展，如何保障网络安全已经成为亟待解决的关键问题。本文概述了PMI技术以及RBAC模型，并进一步详细探讨了基于RBAC的网络安全平台的功能设计，涉及到：权限分配功能、授权颁发功能以及权限验证功能。
关键词：访问控制；授权管理；网络安全；角色分配
中图分类号：TP3文献标识码：A文章编号：1671—7597（2012）0510
【《硅谷》杂志2012年5月刊文】
0引言
近年来，随着计算机网络的发展，人们对于网络的依赖性越来越强，网络的应用也渗透到了各行行业。如何保障网络安全已经成为亟待解决的关键问题。在网络平台的技术领导中，加密技术、入侵检测、过滤监控等一直是人们重点关注的技术，但只依赖于这些技术实现网络安全的统一平台开发还是比较滞后的，为了解决该问题，授权管理基础设施（PrivilegeManagementInfrastructure，PMI）应运而生。
PMI能够为用户以及应用程序提供规范化的授权管理服务，并与实际应用处理模式相对应，从而简化系统的开发流程以及维护过程。而在权限管理领域，基于角色的访问控制技术（Role-basedAccessModel,RBAC）能够促使PMI授权管理设施更好地对网络平台进行权限管理[1]。本文就是主要研究基于RBAC技术的PMI网络安全平台的设计。
1相关技术概述
1.1PMI技术
PMI是国家信息安全基础设施的一个主要构成部分，是基于资源管理的一种访问控制技术，能够与PKI以及目录服务等集成，形成用户所对应的特定授权，并提供完整的授权服务过程。PMI的模型主要涉及到三大实体，分别是：SOA、终端实体权限持有者、权限验证者。其中，SOA是信任源点，是整个授权管理体系的核心节点，也是PMI的最高管理实体；终端实体权限持有者则是指被访问对象所拥有有的人或实体；而权限验证者是通过合法性验证确定权力的有效性[2]。具体的模型如图2-1所示：
图1-1PMI的基本模型示意图
1.2RBAC模型
RBAC模型的思想是将访问许可权分配给相关的角色，而用户可以通过不同的角色获得该角色所对应的访问及操作权限。在一些网络应用系统中，用户并不一定就是信息资源的所有者，因此访问控制对于每个用户都是必须的，通过RBAC控制主体权限的理念出发，可以将权限与角色相对应起来，这与传统意义上的MAC与DAC思想是不同的。
对于大型数据库系统的权限管理而言，角色可以由管理员自行进行定义，而角色的增加、修改以及删除也可以由管理员进行操作，可见，系统管理员对于权限管理是至关重要的。而网络应用系统的用户与客体之间可以不存在直接的关联，其可以借助于角色分配获取对应的权限，从而对客体进行相关操作[3]。而且用户之间不能自主地将访问权限互相授予，这也是RBAC和DAC之间的重要区别之一。
2基于RBAC的网络安全平台的功能设计
2.1权限分配功能
权限分配功能中的相关实体有：属性权威机构、属性证书、远程用户、权限分配工具以及撤销证书库等。其中，属性证书存储在LDAP目录中，具有防篡写的功能。PMI网络平台中用户证书申请以及发放的过程是：
首先，用户将自己的已经注册的证书信息提交给公钥基础设施的权威机构，并通过CA认证实现用户证书的认证以及发放。其次，将用户对应的公钥证书传递并存储至LDAP库中，根据用户的具体请求生成证书的撤销列表，通过这个CRL列表可以很好地描述出用户证书的状态信息。这样就能够较好地确保访问控制执行单元对用户的验证效果[4]。其中的LDAP库可以选择层次化的访问控制方式，不仅可以在网络应用系统的服务器端进行控制策略的设置，而且还可以进一步提高客体的安全性。
2.2授权颁发功能
基于RBAC的PMI网络平台的授权策略是基于角色颁发实现的，通过颁发角色可以很好地描述用户对应的属性证书。管理员可以通过管理工具建立规范化的授权策略文件，并采用DTA描述的格式定义用户对应角色层次、访问操作等，存储时则选择XML格式。而角色颁发的过程设计如下：
首先，远程用户可以将自己颁发属性证书的请求发送至服务器端，基于RBAC的授权策略通过对主体策略的解析，能够判定该主体策略是不是已经曾被定义过，如果有，而且该策略符合网络安全平台的角色基数约束，则可以进入下一步处理环节，反之服务器端可以直接拒绝该远程用户的请求。
其次，基于RBAC的授权策略模块通过对分配策略的进一步解析，判定是不是可以为该用户进行角色的分配处理，如果可以，可再进入下一步处理环节，且获得网络安全平台所信任的SOA，反之将直接拒绝角色分配的请求。
接着，SOA根据请求信息进行US-AC以及UA-AC的颁发处理。其中，US-AC的持有者是远程用户策略所定义的用户组，其属性域就是角色；而UA-AC的持有者则是用户，属性域为用户组。而证书的有效性也会根据角色分配策略的TTL属性进行规范化设置。此外，SOA在颁发RA-AC的过程中，可以将证书直接发送并存储在LDAP服务器端。
2.3权限验证功能
基于RBAC的PMI网络平台的权限验证访问控制过程设计如下：
首先，如果网络安全平台采用的是“推”模式，系统能够根据属性证书中的信息项判定该属性证书的有效性。如果属性证书是无效的，则系统可以直接发出拒绝服务的响应信息；如果属性证书是有效的，且为真实的，系统则提取出RAC的角色信息，并根据提取出的角色信息从系统策略信息库获取出角色所对应的相关策略，系统根据策略再次判定该访问是不是允许。如果是允许的，则要反馈用户被授予的具体行为，并明确行为对应的策略。反之，则可发生拒绝反馈信息。
3总结
总之，在目前网络信息安全已经成为关注焦点的今天，PMI的提出对网络平台的权限管理以及访问控制起到了明显的促进作用，也将权限管理从传统的访问控制模型中真正地分离了出来，从而有效减轻了网络应用系统的负担，为网络平台的安全奠定了坚实的基础。本文针对网络权限管理以及安全访问控制策略，提出了基于RBAC的PMI网络安全平台，真正实现了系统上层对下层资源的实时控制与安全性管理。
参考文献：
[1]任晓娜.基于RBAC权限管理模型在OA系统中的运用[J].电脑学习,2010,(02).
[2]徐林,张勇,王闯.一体化网络教学平台的研究与设计[J].电脑知识与技术,2011,(12).
[3]Sandhu,R.S.,Coyne,E.J.,Feinstein,H.L.,Youman,C.E.RoleBasedAccessControlModels.IEEEComputer,2011(2):38-47.
[4]郑培旭,吴德雄,罗键,吴发成.基于RBAC的构件权限控制的研究与实现[J].电脑知识与技术,2010,(28).（注：本文版权归作者本人和硅谷杂志所有，禁止他人未经授权转载）
|
|
|
|
【对“硅谷杂志：基于RBAC的PMI网络安全平台的设计”发布评论】 |
版权及免责声明：
① 本网站部分投稿来源于“网友”，涉及投资、理财、消费等内容，请亲们反复甄别，切勿轻信。本网站部分由赞助商提供的内容属于【广告】性质，仅供阅读，不构成具体实施建议，请谨慎对待。据此操作，风险自担。
② 内容来源注明“硅谷网”及其相关称谓的文字、图片和音视频，版权均属本网站所有，任何媒体、网站或个人需经本网站许可方可复制或转载，并在使用时必须注明来源【硅谷网】或对应来源，违者本网站将依法追究责任。
③ 注明来源为各大报纸、杂志、网站及其他媒体的文章，文章原作者享有著作权，本网站转载其他媒体稿件是为传播更多的信息，并不代表赞同其观点和对其真实性负责，本网站不承担此类稿件侵权行为的连带责任。
④ 本网站不对非自身发布内容的真实性、合法性、准确性作担保。若硅谷网因为自身和转载内容，涉及到侵权、违法等问题，请有关单位或个人速与本网站取得联系（联系电话：01057255600），我们将第一时间核实处理。
|
|
|
|
