[发明专利]一种基于分布式互通系统数据库的访问控制系统及方法

说明书

本发明公开了一种基于分布式互通系统数据库的访问控制系统及方法。该系统包括：主体管理服务器和客体管理服务器；客体管理服务器存储有访问许可集P_i＝(SG_i,OG_i,W_i)，主体管理服务器包括身份验证IP分配模块，该模块基于请求主体的权限为请求主体分配身份验证IP；客体管理服务器包括约束方式确定模块和权限验证模块，约束方式确定模块根据身份验证IP确定请求主体的权限约束方式w，访问请求包括请求主体的身份验证IP、请求主体的序号sg以及所需访问客体的序号og；权限验证模块验证(sg,og,w)是否属于访问许可集，如果是，允许请求主体访问客体og，如果否，禁止请求主体访问客体og。本发明有效地解决了访问控制列表的维护成本过高、难以管理复杂多变的权限的问题。

技术领域

本发明涉及工业网络安全和信息查询领域，特别是涉及一种基于分布式互通系统数据库的访问控制系统及方法。

背景技术

在多个用户公共一个数据模块的系统中，常常会存在无法有效地限定数据库用户访问能力的问题，一旦有非法用户恶意访问数据库，就容易造成数据库数据泄露的风险。另外，从实用性方面来说，企业内部的一些数据具有隐私性，这些数据并不能对使用此数据库的所有用户都公开，因此，对访问控制技术的研究具有十分重要的意义。

访问控制技术是将系统中的所有数据、用户组织起来，然后为系统中的数据和用户提供一个可供访问的接口，这个接口负责判断：谁对某个数据是否有访问的权限，从而赋予用户对资源的访问权限。传统的访问控制技术可以分成两大类：自主访问控制、强制访问控制。自主访问模型允许用户访问自身所创建的客体，同时，用户也可以将访问的权限转移给其他的主体，因此系统中权限的具体分布情况难以获取，系统抗风险能力较差。强制访问控制指系统对客体进行强制性的控制，即使是客体的创建者也无权更改或访问客体，只有安全级别达到系统要求的主体才能访问客体，这种访问控制模型虽然安全系数较高，但是缺乏灵活性，且不适用于数据量较大的互通系统。随着用户对访问控制策略的要求越来越多样化，人们又提出了基于角色的访问控制模型、基于任务的访问控制模型等多种模型，这些模型解决了一些问题，但是仍然存在着以下的一些问题：对于访问控制列表的维护成本过高、当用户身份或位置发生改变时难以管理复杂多变的权限。

发明内容

本发明的目的是提供一种基于分布式互通系统数据库的访问控制系统及方法。

为实现上述目的，本发明提供了如下方案：

一种基于分布式互通系统数据库的访问控制系统，包括：主体管理服务器和客体管理服务器；所述客体管理服务器存储有访问许可集P_i＝(SG_i,OG_i,W_i)，i＝1,2,3，其中，SG_i表示第i组主体的集合，OG_i表示第i组客体的集合，W_i表示第i种权限约束方式，第一组主体的权限为能够访问各企业开放性信息，第二组主体的权限为能够访问企业内部公开信息，第三组主体的权限为能够访问企业保密信息，第一组客体为各企业的开放性信息所在节点，第二组客体为企业内部公开信息所在节点，第三组客体为企业保密信息所在节点，第一种权限约束方式为企业开放性信息约束，第二种权限约束方式为企业内部开放性信息约束，第三种权限约束方式为保密信息约束；

所述主体管理服务器包括身份验证IP分配模块，所述身份验证IP分配模块基于请求主体的权限为所述请求主体分配身份验证IP，不同权限对应有不同的身份验证IP；