[发明专利]一种基于属性的访问控制策略合成方法

说明书

在实现跨域资源的访问控制中，基于属性的访问控制的策略的合成方法是关键技术。本发明通过实体属性定义实体之间的授权，将主体信任度作为单独属性谓词加入到访问控制策略的属性授权项中，扩展了现有的策略合成，增强了策略合成的表述能力，保证了安全域内各对象的安全。本发明定义了6个加入信任度的策略合成算子用来实现访问控制策略合成，并借助现有策略表示的一些代数属性验证了策略合成的结构是否能够满足参与策略合成各方对资源的保护性需求。

技术领域

本发明涉及一种访问控制策略合成方法，属于计算机通信领域。

背景技术

随着网络的快速发展，各种基于互联网的新兴应用对分布式系统间互操作的需求越来越迫切。这些新的应用大多处于分布状态，需要相互协作、共享，在异构环境下需要进行跨域的安全访问控制策略的合成。基于属性的访问控制越来越受到关注，它不仅支持RBAC模型，还可以灵活地表达细粒度的授权。访问控制策略合成的过程是多条访问控制策略生成一条新的访问控制策略的过程，其过程和方式复杂，涉及到参与访问控制策略合成各方的安全策略约束，用代数的方法刻画访问控制策略合成的属性有助于明确访问控制策略的结构、验证访问控制策略合成结果的正确性和安全性。同时利用离散代数可以将复杂的基于属性的策略合成方式用严谨的代数系统表达，使得域间具有形式化推理演算能力。

目前已有的各种访问控制策略合成方法存在以下技术问题：或没有在基于属性的访问控制策略表达式中考虑环境因素对策略合成的影响，或没有涉及到减算子，或没有解决投票算子存在的安全威胁。

发明内容

为解决以上技术问题，本发明提出了一种基于属性的访问控制策略合成方法。为实现本发明，采用以下技术方案：

该方法包含如下步骤：

第一步，将基于属性的访问控制策略面向属性层进行分解；

第二步，对步骤一的结果进行基于属性的访问控制策略代数表达式转换；

第三步，对步骤二的转换结果检查是否是异构策略；如果是异构策略，则对相应的属性授权项进行扩展。如果不是异构策略执行步骤四；

第四步，检测访问控制策略是否存在冲突，如果不存在冲突，直接进行访问控制策略的合成；如果存在冲突，则执行第五步；

第五步，根据步骤四中存在的冲突，选择基于属性的访问控制策略合成代数的策略合成算子；

第六步，根据步骤五选择的策略合成算子实现合成演算，如果访问控制策略合成成功则输出策略合成结果；如果访问控制策略合成失败，则选择其他的访问控制策略冲突消解的方法。

进一步的，步骤一中将基于属性的访问控制策略面向属性层进行分解时，先对策略中的各个属性进行分解，并用ap_i*val表示一个属性约束，其中ap_i表示第i个属性，*∈{≤,≥,＝,＜,＞}，val为属性的值，为数字或文字。

进一步的，属性约束包括主体属性约束、客体属性约束、环境属性约束、主体的信任度约束、操作属性约束。

进一步的，对步骤一的结果进行基于属性的访问控制策略代数表达式的转换时，用SAP_i表示主体的第i个属性，用OAP_j表示客体的第j个属性，用EAP_k表示环境的第k个属性，用T_Sm表示第m个主体的信任度属性，访问主体对客体资源的操作用OP_l表示资源的第l个属性，用＜S,O,E,T,OP＞五元组表示一个属性授权项，其中S表示主体的所有属性，O表示客体的所有属性，E表示环境的所有属性，T表示主体的信任度，OP表示访问主体对客体资源能执行的所有操作，多个属性授权项构成一个访问控制策略

其中ATT_i为策略pol中主客体之间授权关系的形式化描述。