基于角色訪問控制的PMI系統(tǒng)的研究與架構(gòu).pdf

1、當前社會，信息技術(shù)伴隨著人類社會的發(fā)展而不斷發(fā)展，而因互聯(lián)網(wǎng)的出現(xiàn)以及越來越多的網(wǎng)絡應用，網(wǎng)絡中的安全問題也顯得日益重要，而在VPN，防火墻，訪問控制等各種安全應用中，安全基礎(chǔ)設(shè)施的重要性也開始凸顯。其中，身份認證以及授權(quán)管理是網(wǎng)絡安全平臺的兩大核心內(nèi)容，電子商務，電子政務，網(wǎng)上銀行等應用一方面需要確認使用者的身份，另一方面需要確認使用者的訪問權(quán)限，即對使用者進行訪問控制。自20世紀80年代美國學者提出公鑰基礎(chǔ)設(shè)施(PKI)的概念以來，

2、PKI技術(shù)已經(jīng)成為電子商務，電子政務和企業(yè)級網(wǎng)絡中不可缺少的安全支撐系統(tǒng)。然而隨著網(wǎng)絡資源的不斷豐富，單純依賴PKI體制無法滿足對資源進行訪問控制的需要，為了解決該問題ITU-T在2001年發(fā)表了X.509 V4,第一次將PMI標準化。PKI/PMI機制從系統(tǒng)和制度的角度，來考慮整個虛擬社會的安全基礎(chǔ)。X.509協(xié)議中描述PMI為一種基于PKI并承擔權(quán)限管理功能的框架。在訪問控制方面，強制訪問控制和自主訪問控制是早期訪問控制的兩種模型，

3、最近發(fā)展起來的基于角色訪問控制模型支持角色的層次結(jié)構(gòu)，靜態(tài)責任分離，最小權(quán)限集，通過角色將用戶與權(quán)限聯(lián)系起來，大大降低了訪問控制的復雜性，是一種靈活有效的安全措施。并且，在X.509 V4中描述的。PMI模型，把屬性證書作為公鑰證書的一種擴展。因此，對屬性證書及基于角色的訪問控制PMI模型的研究勢在必行。 本文的研究目的是提出一種可行的基于公鑰密碼體制及基于角色的訪問控制的授權(quán)管理體制模型，并且提出該體制的實現(xiàn)機制，從而證明基于

4、RBAC的PMI體制是網(wǎng)絡安全基礎(chǔ)設(shè)施的有效解決方案。 20世紀80年代美國學者首先提出了公鑰基礎(chǔ)設(shè)施的概念，后來人們意識到單純依賴PKI技術(shù)無法滿足對資源進行訪問控制的需要，因此ITU-T在2001年發(fā)表了X.509 V4將授權(quán)管理體系標準化。2003年，美國國家標準委員會將基于角色的訪問控制作為國家信息技術(shù)標準公布出來，并得到了業(yè)界的廣泛認同。2002年，Salford大學的David W Chadwick教授提出了基于角色

5、的PMI體系，An X.509Role-based Privilege Management Infrastructure.關(guān)于PMI的理論及標準研究已經(jīng)比較多，目前國外主要的PMI產(chǎn)品包括Entrust的Secure Transaction Platform，Baltimore Technology的Attribute Certificate Server，IBM公司的Secureway，DASCOM(now IBM)的aznAPIc

6、ode等。 　目前國內(nèi)也有不少科研企事業(yè)單位在開展PMI方面的研究，但是缺少具體的應用。 本文主要做了如下工作： 文章首先對PKI/PMI技術(shù)進行分析研究，并建立一個基于角色的訪問控制PMI模型，在這個模型中我們將傳統(tǒng)的屬性證書分離成屬性規(guī)范證書和屬性分配證書，從而降低屬性證書管理的復雜度，并針對這個模型，提出一個切實可行的企業(yè)級PMI授權(quán)管理系統(tǒng)方案。該方案來源于濟南得安科技公司的DAPMI授權(quán)管理系統(tǒng)的研發(fā)-

7、-SRQ22授權(quán)管理系統(tǒng)，該系統(tǒng)采用PMI權(quán)限管理體系結(jié)構(gòu)，系統(tǒng)使用屬性分配證書來標識用戶的角色，使用屬性規(guī)范證書來管理角色的權(quán)限，屬性證書的結(jié)構(gòu)符合X.509v4標準；基于PKI技術(shù)之上的SRQ22授權(quán)管理系統(tǒng)可以為互聯(lián)網(wǎng)，特別是電子政務系統(tǒng)構(gòu)建一個嚴密的安全體系，充分保證敏感資源訪問的可控性與可審計性。 文章主要包括以下內(nèi)容：首先對PKI的基礎(chǔ)理論作了細致介紹，包括PKI基礎(chǔ)設(shè)施的概念，組成結(jié)構(gòu)，所提供的安全服務，PKI在電

8、子商務，電子政務方面的安全應用等；其次，對PMI體系進行了研究主要包括PMI基礎(chǔ)設(shè)施的概念，PMI系統(tǒng)的組成結(jié)構(gòu)，PMI的一般模型，代理模型，角色模型，重點對角色模型進行了形式化定義及分析；再次，介紹了訪問控制模型，首先對強制訪問控制和自主訪問控制兩種訪問控制模型進行了概述并分析了他們在實施授權(quán)管理時的缺陷，提出基于角色的訪問控制模型，并對RBAC的概念進行了詳細的描述，以及RBAC模型中的主要操作進行了形式化定義并對RBAC的安全三原