基于屬性訪問控制的CSP模型

◆王申雯

（四川省綿陽市中國工程物理研究院計算機應用研究所 四川 621000）

基于屬性訪問控制的CSP模型

◆王申雯

（四川省綿陽市中國工程物理研究院計算機應用研究所 四川 621000）

本文從項目可行性的層面，提出屬性基礎上的一種訪問控制模型。先對模型形式進行介紹，明確模型屬性、屬性項等多方面概念，并在此基礎上，利用約束的形式來滿足訪問控制原則形式化模型需求。證明給定屬性項值域基礎下的正向規則以及負向的規則，二者是可以相互轉化的，最終提出一致性的策略概念。

合成算法；可允許操作；約束滿足；CSP模型；屬性訪問

0 引言

信息安全，主要作用是平衡保護與可用性界限。而控制訪問是保證信息安全的主要方式之一，工作人員可以根據預定規則來判斷系統訪問請求，并根據最終判斷結果來明確操作控制等問題。首先要保證項目操作符合操作規范，提升項目保障系統可行性。除此之外，還要減少一些不符合要求的操作，提升系統機密性以及系統的完整性，保證系統屬性不遭受破壞。隨著計算機技術的不斷發展，DAC以及RBAC等技術的不足之處逐漸凸顯，而利用基礎屬性ABAB，用實體屬性對客體以及權限等進行統一約束、統一描述的優點逐漸顯現出來。

1 屬性訪問基礎上的控制模型

1.1 屬性

生活中實體是可以通過特性來區分的，屬性代指一個或者是一組描述實體、實體環境以及實體特點的概念，而屬性項是屬性的實例體現。在ABAC當中，屬性項主要包含了實體屬性項以及操作屬性項這兩方面的內容，有時也會涉及到環境屬性項。在形式方法類別里，屬性項會被表現成多個變量模式，而屬性項則是實體屬性項變量所需要取值范圍區間。因為考慮到實體屬性項問題，所以工作人員劃分實體的時候，會先對實體的屬性項集合問題進行劃分，如果二者之間屬性項集合是相同的，則還要對不同屬性項最終值進行對比研究。從該層面上看，先引入e1符號，e1符號代表了如果項目實體并沒有屬性項q1，則最終實際的屬性項值q1=e1，具有一般性。注意實際系統訪問請求，系統的訪問請求一般情況下都是囊括操作層面的，包含了許多操作訪問請求，這些操作訪問請求可以從一個集體劃分成多個單體的操作請求。

屬性項值域的定義問題，也是比較重要的環節。在特定的系統當中，屬性項P1代表了一切可能取值的項目空間，可以與符號e1組成相互集合，共同構成某屬性項值域。對系統當中所有實體集合進行記錄統計，并標記函數，映射分量函數。從項目的語義來看，工作人員可以引入多個關系形式，利用這些關系形式來控制規則及控制屬性值。因為實體不同屬性項二者之間的關系是特定的，所以可以通過引入屬性項的形式來映射出相關的理念。屬性項的相關關系比較明確，但是屬性項相關關系并沒有對稱性。

1.2 訪問控制規則

想要實現訪問，首先必須要囊括三方面的要素，分別為訪問主體、訪問客體以及訪問形式這三種表現形式。除此之外，還要盡量滿足環境因素的影響，受傳統控制模式的約束，經常會對系統當中各種主客體進行限定。但是在系統運行的時候卻經常出現各種身份的改變。比如一個項目進程，以主題身份對文件進行處理，但是在實際操作的時候卻按照客體身份參與到其中，從該方面來看，完全可以不必明確系統主體、系統客體集合問題，只單一化提出訪問課程主客體即可。

ABAC是可以訪問請求實體的，并且其操作環境屬性項需要滿足的條件也可以描述，實現系統安全性保護。訪問控制規則是四元組，構成要素分別為客體、主體以及操作環境向量等。而訪問控制規則可以根據使用效果分為兩種形式，首先是白名單規則，如果當、僅當滿足條件約束請求被允許的時候，可以將其稱之為正向規則。還有一種是黑名單規則，e=deny，當且僅當徹底滿足條件之后，被約束的請求條件會被禁止，這種形式也可以稱之為負向規則。如果是給定屬性項值域要求前提之下，則兩種不同形式的訪問控制規則是可以實現相互轉化的。所有的非二元有限離散都可以轉化成等價的csp或者是更多的二元csp，且不失一般性。工作人員可以假設csp是至多二元csp，如果是一元的csp，約束條件均由基本約束項構成，直接定義出屬性項變量最終取值項目范圍。相關人員要注意到相同屬性變量問題，相同屬性變量是可以存在若干個基本約束項的，可以將這部分基本約束項稱之為屬性項變量同類項。假設e=allow，則所有記錄的與x相關的同類項，都可以將其視為屬性項值集合。

2 ABAC策略表達

如果可以將身份、安全級別以及角色等諸多要素融入到一起，構建主客體專業化屬性模式，則ABAC模型可以充當DAC或者BLP等模型元模型。

DAC模型的構建，受自主性訪問控制的影響。因為自住型訪問控制設置者是個人用戶，同時也是一種可以拒絕對客體訪問的一種工作機制。DAC策略的運行，要求相關工作人員設定切實可行的系統運行環境，而且還可以對系統當中的實體等擁有高認知能力，對不同客體所擁有的能力提出明確要求，并明確禁止訪問客體自身身份方面的特征。

BLP模型是一種強制型的訪問控制系統，利用系統機來控制客體訪問需求，并且個人用戶是沒有辦法來改變這種控制形式的。通過系統機來檢查主體和客體二者之間的關系，并明確主體是否是真正可以訪問的客體，以BLP模型為例，對該模式進行闡述。

圖1 BLP模型示意圖

簡單安全條件，主體S是一種可讀客體，當且僅當S可以支配o的情況下，s具有自主性讀權限。使用白名單規則對其進行處理，假設實體第二箱實體屬性是安全等級屬性，則上述條件中的各種安全條件和屬性都可以利用約束條件形式來確定最終規則。

RBAC模型基本思想就是權限和角色之間的一種相互關聯模式，系統的用戶可以利用責任以及資格等。規則和策略沖突以及規則和策略之間的消解一直以來都是工作人員比較關注的問題，ABAC規則以及ABAC策略沖擊的消解方法雖然比較多，但是行之有效的方法較少。比如肯定優先以及否定優先等形式，雖然XACML對其進行了詳細的規定，但是如果訪問控制規則涉及到太多的用戶隱私，必然會導致合成算法與優先算法相沖突。但是在其余環境下，也有利用沖突消解方法來解決問題的先例，并且這些問題消解方法都是作者自己決定的，導致過程中出現了許多不確定因素，降低了系統的安全性。

3 結束語

本文從多個角度入手，詳細分析了給予屬性訪問控制的CSP模型，明確了屬性、訪問控制規則以及ABAC策略表達方面的內容。希望可以為后續研究提供理論與實踐基礎，提升工作質量。

[1]羅明宇，凌捷.一種基于密文策略屬性加密技術的云安全存儲方案[J].廣東工業大學學報，2014.

[2]王彩芬，徐婷，張玉磊，楊小東.基于可截取簽名和屬性加密的云存儲訪問控制方案[J].計算機工程與科學，2015.

[3]王靜宇，馮黎曉，鄭雪峰.一種面向云計算環境的屬性訪問控制模型[J].中南大學學報（自然科學版），2015.

[4]溫昱暉，陳廣勇，趙勁濤，沈吉喆.基于CP-ABE在云計算中實現數據訪問控制的方案[J].重慶郵電大學學報（自然科學版），2013.

[5]李拴保，傅建明，張煥國，陳晶，王晶，任必軍.云環境下基于環簽密的用戶身份屬性保護方案[J].通信學報，2014.

[6]楊智，殷麗華，段洣毅，吳金宇，金舒原，郭莉.基于廣義污點傳播模型的操作系統訪問控制[J].軟件學報，2012.