擴(kuò)展組織PKI網(wǎng)絡(luò)訪問(wèn)控制方法研究.pdf

1、鑒于Internet技術(shù)發(fā)展的迅猛，為解決其安全問(wèn)題，世界各國(guó)進(jìn)行了多年的研究，初步形成了一套完整的Internet安全解決方案，即目前被廣泛采用的PKI技術(shù)。由于網(wǎng)絡(luò)的動(dòng)態(tài)性、廣域性、可擴(kuò)展性，如何使PKI網(wǎng)絡(luò)很好地適應(yīng)網(wǎng)絡(luò)的這些特點(diǎn)，因此PKI網(wǎng)絡(luò)的互連成為近些年研究的熱點(diǎn)。而擴(kuò)展組織PKI網(wǎng)絡(luò)的訪問(wèn)控制方法研究也倍受關(guān)注。本文系統(tǒng)的研究了實(shí)現(xiàn)擴(kuò)展組織PKI網(wǎng)絡(luò)訪問(wèn)控制所涉及的相關(guān)理論和技術(shù)，以及這些理論和技術(shù)的國(guó)際、國(guó)內(nèi)研究現(xiàn)狀，

2、圍繞課題內(nèi)容展開了相關(guān)研究、分析和實(shí)驗(yàn)。本文主要?jiǎng)?chuàng)新性成果如下所述： 1.各個(gè)企業(yè)內(nèi)部使用各自的PKI處理內(nèi)部事務(wù)，然而大多數(shù)組織有事業(yè)上的伙伴，希望連接組織間的PKI而具有B2B的E商務(wù)能力。結(jié)合計(jì)算機(jī)的最新實(shí)現(xiàn)技術(shù)與理論，設(shè)計(jì)了一種基于Web服務(wù)的、在擴(kuò)展組織PKI網(wǎng)絡(luò)中實(shí)現(xiàn)對(duì)資源進(jìn)行訪問(wèn)控制的安全訪問(wèn)控制模型，該模型集成了PKI、PMI、RBAC及XML安全性等相關(guān)技術(shù)，能實(shí)現(xiàn)擴(kuò)展組織PKI網(wǎng)絡(luò)中的授權(quán)和認(rèn)證，給出了基于W

3、eb服務(wù)的擴(kuò)展組織PKI網(wǎng)絡(luò)中的訪問(wèn)控制機(jī)制的結(jié)構(gòu)，并給出了對(duì)用戶請(qǐng)求的訪問(wèn)控制實(shí)現(xiàn)過(guò)程與相應(yīng)的算法。同時(shí)為后續(xù)開展相關(guān)內(nèi)容的研究奠定了基礎(chǔ)。 2.PKI是目前保證網(wǎng)絡(luò)信息安全的主流技術(shù)。但是目前國(guó)內(nèi)外PKI產(chǎn)品的互操作性差，應(yīng)用部署難度高，系統(tǒng)維護(hù)缺乏足夠的靈活性，這些問(wèn)題制約了PKI產(chǎn)品的應(yīng)用。本文在介紹、討論了Web服務(wù)及相關(guān)的XML安全技術(shù)的基礎(chǔ)上，將目前成熟的安全體系結(jié)構(gòu)PKI和Web服務(wù)融合起來(lái)，給出了一個(gè)新的基于X

4、ML的Web服務(wù)分層安全模型，并對(duì)其安全性和特點(diǎn)進(jìn)行了詳細(xì)的分析論述。最后給出了該模型中的核心部分——安全服務(wù)子層的設(shè)計(jì)實(shí)現(xiàn)，給出了總體結(jié)構(gòu)設(shè)計(jì)、服務(wù)器端的實(shí)現(xiàn)、客戶端的實(shí)現(xiàn)?？蛻舳司哂型ㄓ眯?、易用性、輕量級(jí)、易維護(hù)等特點(diǎn)，有利于PKI的推廣應(yīng)用。 3.X.509v4 PMI支持基于角色的訪問(wèn)控制RBAC，利用角色來(lái)實(shí)現(xiàn)用戶與權(quán)限的邏輯隔離，這種方式簡(jiǎn)化了系統(tǒng)的權(quán)限管理。然而，在大型系統(tǒng)中，由于角色的復(fù)雜性，使得文獻(xiàn)中介紹的基于

5、角色的訪問(wèn)控制模型不能滿足實(shí)際要求。本文給出了一種具有時(shí)間約束的基于角色的授權(quán)管理模型，該模型對(duì)RBAC中權(quán)限的定義進(jìn)行了擴(kuò)展，使它非常有利于公有權(quán)限、部門權(quán)限、私有權(quán)限的劃分與繼承，并在權(quán)限的繼承中加入了時(shí)間約束。該方法不僅有利于權(quán)限的頻繁更新，也對(duì)應(yīng)了現(xiàn)實(shí)世界中的崗位數(shù)，易于理解與操作。 4.提出了一種對(duì)等計(jì)算中量化交易參與者行為和計(jì)算交易參與者信任值來(lái)評(píng)估交易參與者之間信任關(guān)系的基于行為的信任評(píng)估模型BBTEM。設(shè)計(jì)了考慮

6、交易規(guī)模時(shí)的用戶當(dāng)次行為評(píng)價(jià)方法。能防止在小規(guī)模交易中積累信任值，在大規(guī)模交易中進(jìn)行欺騙的情況。把用戶綜合評(píng)價(jià)分為直接經(jīng)驗(yàn)和推薦經(jīng)驗(yàn)，并在推薦經(jīng)驗(yàn)中通過(guò)合理設(shè)計(jì)朋友的計(jì)算方法，有效抑制詆毀和協(xié)同作弊。考慮了初始信任度的設(shè)置，防止信譽(yù)惡化的用戶選擇重新登錄來(lái)逃脫懲罰等。最后通過(guò)算例和實(shí)驗(yàn)證明了該模型的具有客觀性和一定的通用性。 5.基于Web服務(wù)的PMI用來(lái)對(duì)資源進(jìn)行訪問(wèn)控制。隨著要求進(jìn)行安全事務(wù)處理的需求的增加，要求系統(tǒng)提供廣泛

7、的QoS的要求也在增加。然而，由于使用的標(biāo)準(zhǔn)協(xié)議和數(shù)據(jù)的打包、拆包，使Web service的性能相對(duì)較低。為了改進(jìn)PMI系統(tǒng)的QoS，特別是改進(jìn)系統(tǒng)的響應(yīng)時(shí)間，在PMI系統(tǒng)中設(shè)計(jì)了一種緩存機(jī)制。驗(yàn)證用戶權(quán)限時(shí)，需要執(zhí)行一個(gè)頻繁的訪問(wèn)AC操作，在這個(gè)訪問(wèn)AC的過(guò)程中，很多時(shí)間花費(fèi)在網(wǎng)絡(luò)傳輸上，有可能造成系統(tǒng)的一個(gè)瓶頸。本文通過(guò)在PMI中引入AC緩存機(jī)制來(lái)提高訪問(wèn)AC的效率。設(shè)計(jì)并實(shí)現(xiàn)了該緩存機(jī)制，并著重設(shè)計(jì)了緩存更新算法，設(shè)計(jì)了一種改進(jìn)

8、的決策樹更新算法，使得在保證了一定的命中率之后，使緩存機(jī)制很好地提高了網(wǎng)絡(luò)環(huán)境中PMI的時(shí)間響應(yīng)性能。相關(guān)實(shí)驗(yàn)證明了這一點(diǎn)。 6.在一個(gè)開放的系統(tǒng)里，交易雙方由于某些原因可能進(jìn)行欺騙，因此，考慮用戶的信任度變得很重要。為進(jìn)一步提高PMI系統(tǒng)的QoS，在緩存了AC之后，又設(shè)計(jì)了一個(gè)基于RBAC和信任的緩存機(jī)制。詳細(xì)介紹了該緩存機(jī)制的實(shí)現(xiàn)原理，給出了在緩存中查詢角色權(quán)限以及在緩存中添加記錄的算法，還介紹了緩存的更新策略。研究表明，該