基于信任計算的跨域訪問控制研究

徐學東 張志俊 長春工程學院機電學院

基于信任計算的跨域訪問控制研究

徐學東 張志俊 長春工程學院機電學院

大型分布式多域網絡環境中不存在統一的認證控制中心，傳統基于實體身份的認證方式無法滿足要求。研究跨域陌生實體交互的身份認證及控制系統的架構，通過信任計算對陌生實體域外訪問權限進行授權，給出具體的設計及處理流程。后續實踐表明該架構體系具有良好的網絡適應性以及較高的域間訪問控制交互成功率。

分布式多域網絡、陌生實體、信任計算

引言

傳統訪問控制機制需在確認實體身份的基礎上才能正確實施，主要適用于適應于單域非合作環境。在云計算等大規模分布式多域網絡環境中不存在統一的控制中心，存在跨域的大量陌生實體訪問需求，參與交互的陌生實體在跨域訪問時沒有事先定義的信任關系，或者雖能認定其身份和域外權限，卻沒有定義其在本域內的資源訪問權限，必須研究新的訪問控制機制解決前述難題。以面向多域網絡的分布式訪問控制機制為研究目標，參考普適網絡[1]、P2P網絡[2]信任模型，研究由信譽評估上升到信任管理的跨域訪問控制系統的體系架構及流程。

1.應用場景

在多信任域之間共享資源的情況下，網絡資源的調度存在著域內調度和域間調度，因而產生了域內和域間兩種信任關系[3]。應用場景如圖1所示，在每個網絡域中部署域管理代理服務端，各用戶應用或資源通過異構系統規格化接口接入。

域管理代理是該域的訪問控制管理核心，負責為域內全部用戶節點進行信任建模、實施信任計算、發放并維護信任證明，并協同域內、域間的管理信息交流。各節點在訪問資源時可以使用管理服務，通過管理代理獲得相應授權并被分配到安全信任度較高的資源。管理代理則根據信任值和訪問控制策略選擇資源，并進行信任協商，確認是否可以使用資源。

圖1 跨域分布式訪問控制部署示意圖

圖2 跨域分布式訪問控制系統架構示意圖

2.系統的總體架構

系統的總體架構參考基于信任的跨域安全認證模型TB-WSCDSA[4]進行設計，包括兩個部分，實現域管理代理服務的服務端和實現本地認證的客戶端。架構如圖2所示。

（1）實體端

實體端主要指網絡中訪問發起端。用戶可以在本地認證信息庫保持一些根證書，還有已知實體/資源的信任信息，以選擇訪問已信任的資源，加快訪問速度。

（2）服務端

服務端指域管理代理服務器，負責總體管理。如果訪問者需要訪問本地資源，要提交自己的證書，當然也可以要求域管理方也提供證書來證明管理者的身份。域管理器先進行身份鑒別，然后再通過自己的信任信息庫，查看該實體的信譽歷史，計算應賦予其何種權限。

如果訪問者訪問外部資源，本域管理器與目標域的管理器進行交互，確保可靠的實體/資源來為訪問者服務。信任管理部分負責評估其它域管理器的信譽情況，并信任對方推薦的信譽好的服務者。

每次交易結束，域管理者可以根據用戶滿意度等因素，為雙方評價信譽情況，使得信任信息動態更新。較差的服務提供者和用戶均被降低信任值，直接影響訪問權限。

3.系統組成

系統總體框架如圖3所示。本系統可以分為六個部分，分別是服務提供者（SP）、身份認證服務（IDP），信任管理服務、委托管理、安全審計模塊（ATS）以及訪問控制（AC）。其中：

（1）SP負責對用戶身份進行核查，該用戶是否已經登錄以及用戶屬性獲取；

（2）IDP是整個系統的核心，主要負責對用戶身份進行認證，授權以及用戶屬性查詢；

（3）AC服務根據用戶權限對用戶的訪問進行控制；

（4）信任管理服務包括信譽信息收集器和信任證明管理器。信譽信息收集器負責管理本域內實體的實體信譽信息以及跨交互過程中的域信譽信息。信任證明管理器計算實體信任值和域信任值，為實體提供相應的信任證明，并負責調整信任信息；

（5）委托管理建立子域管理系統，并進行委托授權；

（6）安全審計模塊實現訪問行為的日志記錄，可實現行為追溯。

4.系統功能流程

系統功能流程包括域內關系節點訪問登錄流程，域內節點訪問登錄流程，域間節點訪問登錄流程，節點訪問單點登出流程，新實體端信任記錄建立流程等。下面以域間節點訪問登錄流程為例介紹具體登錄及驗證過程。

功能描述：首先實體端向外域服務提供端發送資源訪問請求，自動定向到本域管理服務端，提交自身的信任證書，域管理服務驗證信任證書。與外域服務提供端所在域服務器（簡稱“外域管理服務端）連接，發送驗證信息，外域服務端完成雙方驗證，完成域間驗證過程。

具體流程為：

（1）實體端訪問外域服務提供端，請求服務；

（2）自動定向到本域管理服務端，本域服務端發送認證命令；

（3）實體端向本域管理服務端發送信任證書，本域管理服務端對其進行身份認證。如用戶未進行過認證，則轉到信任管理中查詢該用戶的信任記錄；

（4）本域管理服務端對外域管理服務器發送認證命令；

（5）外域管理服務器接受認證信息，首先對本域管理服務器進行驗證，如未進行過有效的認證，則轉到信用管理中查詢本域管理服務器的信任記錄；

（7）如本域管理服務器的認證或信任得到確認通過，則外域管理服務端對外域服務提供端發送認證命令；

圖3 系統框架圖

圖4 域間節點訪問登錄功能示意圖

（8）外域服務提供端向外域管理服務端發送信任證書，本域管理服務對其進行身份認證。如未進行過有效的認證，則轉到信任管理中查詢該用戶的信任記錄；

（9）雙方身份認證或信任信息確認，外域域管理服務端信任管理記錄認證憑證并生成一個認證憑據，發送給服務提供者驗證有效性；

（10）外域管理服務端將憑據返給本域管理服務端，本域管理服務端發送憑證、附上本域認證信息給實體端，記錄本次認證憑證信息，以重定向方式返回給服務提供者；

（11）實體端將票據發送給服務提供者；

（12）服務提供者返回認證結果給用戶，雙方握手，建立服務連接。

5.結語

多域網絡環境中未明確權限實體跨域應用訪問控制包括多方面研究，如基于信任計算的RBAC改進模型、基于本域權責和既往訪問行為分析的信任計算算法、系統的架構及接口等。本文僅就系統的整體架構、組成和流程進行了分析和設計。經過實踐表明該架構體系具有良好的網絡適應性以及較高的域間訪問控制交互成功率。后續將在另文介紹其它研究成果。

[1] Mieso K Denko,Tao Sun,Issac Woungang.Trustmanagement i n u b i q u i t o u s c o m p u t i n g:A Bayeian approach[J].Computer Communications，2011,34(3)∶398-406.

[2] Florina Almenarez,Andres Marin. Trustmanagement for multi media P2P applications in autonomicnet working[J].Ad Hoc Networks，2011,9（4）:687-697

[3]馬滿福,張龍.物聯網中基于網關的跨域信任模型[J].計算機工程與設計，2013,11（34）:3829～3834；

[4]盧曉霞，韓堅華.Web服務中基于信任的跨域安全認證模型[J].微 型 機 與 應 用.2012,3(31):50～55；

吉林省教育廳科研項目（吉教科合字［2014］第337號）；吉林省科技攻關計劃項目（20140204060SF）；

徐學東(1976－),男（漢）,安徽阜南人,副教授，碩士,主要研究領域為過程控制，信息安全