[发明专利]一种访问控制方法及独立式访问控制器

说明书

技术领域

本发明涉及计算机信息安全领域，尤其涉及一种独立式访问控制方法。

背景技术

访问控制即是按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用的一种技术。访问控制是几乎所有系统(包括计算机系统和非计算机系统)都需要用到的一种技术。访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。

访问控制是：给出一套方法，将系统中的所有功能标识出来，组织起来，托管起来，将所有的数据组织起来标识出来托管起来，然后提供一个简单的唯一的接口，这个接口的一端是应用系统一端是权限引擎。权限引擎所回答的只是：谁是否对某资源具有实施某个动作的权限。返回的结果只有：有、没有、权限引擎异常了。访问控制是计算机系统安全的核心。从有计算机共享资源开始，访问控制就是人们研究的重要安全机制。在信息系统中要求有两种基本的访问控制，较低等级的自主访问控制，即是国家等级保护要求中的二级以下系统中的要求；较高等级的强制访问控制，即是国家等级保护中三级以上的信息系统必须执行。

在我们国家的等级保护标准中，虽然已经把强制访问控制的要求明确的提出来了，但是在等级保护推行的近十年的时间里，系统安全访问这一问题仍没有得到根本的解决。绝大多数的高安全要求的信息系统却都运行在高风险区。且这些访问控制模式的研究，都没有离开服务器的本机上的操作系统和应用程序本身，虽然各种模型提出来的不少，但是都基于在本机的操作系统和应用程序上的。如在Windows下，我们需要用帐户和口令进行登录(代表用户)，然后才能对打开某些文件，进行“读”和(或)“写”及复制粘贴、移动和存储等。

目前的解决方法有两类：

1、新开发出完全自主知识产权的操作系统，这类操作系统，基本上在开源的Linux的基础进行改造而成的，虽然在安全上能达到要求，但是，由于对已经有的各类应用基本上不支持，应用的生态环境没有建立起来，无法适应于目前的各类应用。故，除了极少数的涉及国家安全的核心环境，基本上没有得到应用。

2、在原有的操作系统上，采用拦截技术，用新开发的安全子系统替换掉原来操作系统中的安全子系统，使得操作系统的安全等级得到提升。但是，由于是在原来的操作系统上作改造，结果是虽然安全的问题解决了，但是，经常会导致与应用的冲突，用户还是不愿意使用，一直也没有推广起来。

中国专利(CN103686722A)公开一种访问控制方法及装置，其中，该方法包括：检测到终端上应用访问终端上的系统需要预定权限；获取该访问的请求方的应用对应的控制策略；根据该控制策略和上述预定权限对该访问进行控制。通过本发明，解决了相关技术中终端访问权限的控制方案无法满足需求导致访问安全性差的问题，提高了对终端系统敏感权限的控制能力，防止了涉及用户隐私信息访问类的权限被轻易获取，提高了终端系统的安全性和可靠性。该装置具备检测模块、获取模块和控制模块，实现了终端访问系统所需要的预定权限的检测，根据访问请求获取对应控制策略，根据控制策略对本次访问进行控制。但是该装置不具备由安全员“写入的访问控制规则区”、对所有用户操作进行监督的审计员及日志数据的审计、数据缓存区、访问仲裁器和写入数据的脱壳处理区域。即，只要通过了该装置的初步权限检测，就可以直接进入系统进行写入、读取等操作，不具备对写入的数据进行缓存、监控和校验，还是有可能导致病毒、木马的写入。

中国专利(CN101986325A)公开一种计算机安全访问控制保障系统及控制方法，其中，包括UEFI芯片和TCM芯片，控制系统包括操作系统预启动访问控制子系统和操作系统运行时访问控制子系统；操作系统预启动访问控制子系统包括：USBKey设备、USBKey设备初始化模块、用户管理模块、操作系统预启动身份验证模块、加密存储模块；操作系统运行时访问控制子系统包括：USBKey设备、操作系统用户登录模块、操作系统用户运行时保护模块；控制方法包括初始化方法，操作系统预启动访问控制方法和操作系统运行时访问控制方法。本发明解决了操作系统下访问控制可靠性低、用户身份信息存储不安全、合法身份用户登录后缺乏运行时身份保护的问题。但是，该发明是对原有的操作系统的访问控制规则的一种保障措施，并不是一个独立的访问控制系统，解决的问题仍然是针对操作系统的用户身份安全与合法性进行验证与保护，不具备用户对客体读、写操作权限的实现，对用户读和写入与操作的数据进行仲裁、缓存、监控和脱壳处理功能，因此，还是有可能导致病毒、木马直接进入操作系统。

发明内容