[发明专利]一种动态多维空间访问控制方法

说明书

本发明提供了一种动态多维空间访问控制方法。所述动态多维空间访问控制方法包括如下步骤：步骤1，基于角色访问控制构建静态多维空间访问控制模型，所述静态多维空间访问控制模型为三元组＜P,Dm,Dc＞，其中，P是访问控制中决策的集合，Dm是主体、客体和影响因素组成的多维度空间集合，Dc是访问控制决策结果；步骤2，基于所述静态多维空间访问控制模型构建动态多维空间访问控制模型，所述动态多维空间访问控制模型通过在所述静态多维空间访问控制模型基础之上加入一阶逻辑M作用于动态访问控制策略，用来描述动态访问控制策略下权限的委托、分配与回收。

技术领域

本发明属于访问控制技术领域，具体地涉及一种动态多维空间访问控制方法。

背景技术

软件系统为了尽量实现策略与机制的“分离”，在访问控制系统实现的过程中，每一阶段会发尽量做到以下几点：在制定安全需求的过程中要独立于实现，不考虑实现层面；在根据访问控制策略制定访问控制机制时，考虑并比较多种访问控制机制；尽量采取可支持多种访问控制策略的访问控制机制。策略(高层)与机制(低层)之间是通过访问控制模型来联接的，所以访问控制模型的构建决定了策略与机制之间的关系。无论是访问控制策略的定制还是访问控制机制的实现，在实现中都是一件非常繁琐、耗时、易错的“麻烦事”，所以访问控制模型的选取就显得尤其重要。目前的访问控制模型可以分为三个主要的大类：自主访问控制模型(Discretionary Access control,DAC)，强制访问控制模型(MandatoryAccess Control,Mac)与基于角色的访问控制模型。

目前主流软件在安全策略上多采用基于角色的访问控制策略，这种方式可有效的保证秘密信息不会被非法用户得到，所有用户的安全权限由软件的中央管理机构统一进行分配。这种访问控制方式权责分明、安全性高、可实现对保密信息的严格控制，对保护国防安全、国家信息化建设起到了重要的作用。但基于角色的访问控制策略应用在软件系统中有两点较明显的不足：

1、传统RBAC很多场合下应用不够灵活、无权限委托、分配与回收机制的形式化描述。

考虑如下场景：某用户U在访问控制系统中是普通用户，其无法访问同等级资源B、C与D。但由于用户U参加了某次特殊活暂时获得了对资源B的访问权限。在这一情况下为解决这一问题传统基于角色的访问控制策略有三种解决办法：

第一种方法权限委托，提高用户U的权限，使其具有访问B的能力，但这样做同时U也获得了访问资源C及资源D的权限，这是不必要的，有可能造成泄密；

第二种解决方法权限分配，针对此次活动，专门为用户U创造一个角色，这个角色只具有B的访问权限，不具有C及D的访问权限，而且这一新建的角色下只有一个用户U，无其它用户。活动结束后，系统要回收这一角色，并把用户U重新置为普通用户。

第三种方法是降低资源B的访问等级，使普通用户就有对其访问的权限。这种解决方法使得所有普通用户(包括用户U)都具有了对B的访问权限，泄密的可能性更大；

在此三种办法中，只有第二种能够在保证活动正常运行的同时，保证系统没有泄密发生的可能。但在真正的应用过程中，像这种情况会密集的同时发生，这时第二种方法操作过于复杂，而且在基于角色的访问控制中并未有描述如何保证在适当的时机权限会被有效的分配与回收。大量的为每一用户分配一个单独的权限，也破坏了基于角色访问控制的基本思想，又回到了最基本的访问控制矩阵策略。

2、传统RBAC模型的描述能力不足。