SOA中基于属性的访问控制安全策略

SOA环境具有分布性.异构性和动态性的特点,传统的访问控制模型已经不能满足其需求.为解决SOA环境下的访问控制问题,提出了一种基于属性的访问控制模型(Attribute-based Access Control,ABAC).模型以实体的属性作为评价的基本单位.通过对主体属性、资源属性以及环境属性的动态评估,结合访问控制策略来对用户的访问进行控制.并采用XACML和SAML两个规范对模型进行了实现.分析了框架中属性和访问控制策略的查询响应方法,以及访问授权的流程.分析结果表明,结合XACML和SAML标准实现的ABAC模型具有较好的安全性和移植性,适用于异构的SOA环境.     

基于XACML区分服务策略控制的研究

XACML是描述访问控制的策略语言,论文首先分析了XACML的优点,并对XACML的基本概念做了介绍,然后在扩展XACML的策略基础上,提出了大型网中基于XACML的区分服务策略网络管理方案,以实现不同网络用户对网络资源访问的QoS的动态管理控制。     

基于描述逻辑的XACML策略研究

针对XACML策略间的语义表示、冲突等问题,提出基于描述逻辑的形式化方法,对XACML策略的目标、规则、规则组合算法和策略冲突消解算法进行形式化处理,并给出基于描述逻辑的规则间冲突检测方案.分析结果表明,该形式化方法便于XACML策略的扩展,并且增强了XACML的语义表达能力和推理能力.     

基于XACML的网格访问控制研究

网格的访问控制可以解决网格环境下的信息共享,通过创建策略和规则,XACML提供了控制信息访问的机制.应用XACML作为网格策略表达,提出了网格访问控制的策略决策模型.在分析决策模型基础上,给出了基于XACML的RBAC网格访问控制模型.描述了使用XACML实现RBAC模型的基本方法.     

Web服务中基于SAML和XACML的RBAC模型

针对Web服务中安全性方面所存在的问题,引入角色来设定用户的访问策略,在用户访问具体资源时根据资源拥有者设置的权限来确定该用户的访问权限,使用角色作为行使权限的中介,通过SAML协议对该类角色实现单点登陆,并使用XACML对服务端的受保护资源进行访问控制.在此基础上给出了基于SAML和XACML的RBAC模型,该模型具有良好的灵活性、可扩展性及跨平台性.     

基于XACML的Web服务安全访问控制模型

Web服务已成为新一代电子商务的框架,其安全问题是不可忽视的问题,需要一种灵活高效的访问控制来保护.通过分析可扩展访问控制标记语言(XACML)和授权管理基础设施(PMI),给出了一种适合于Web服务安全的访问控制系统模型.该系统模型基于属性证书和策略集,用XACML作为描述访问控制决策的语言,适用于Web服务的动态性、异构性等特点.     

XACML Admin中的策略预处理研究

根据XACML Admin中访问策略和管理策略混合的特点,提出了一个在PDP中将策略树分割为访问策略树和管理策略树来提高在线判定性能的匹配方案.在此基础上,根据委托的逻辑含义,通过构造委托图,去除管理策略树和访问策略树中的无效节点,从而使在线判定时不考虑引起拒绝服务攻击的无效策略.同时根据目前XACML Admin中模式定义的缺陷,提出了一种改进的模式定义,此模式定义使Delegates能够与XACML核心规范中Subjects,Resources等元素的处理规则保持一致,并能够更加有效地定义管理策略.以上这些方式能够有效地改善在线判定性能和阻止针对请求判定过程的拒绝服务攻击.     

XACML中策略/规则组合算法优化

在访问控制领域,基于XACML的组合算法是解决策略/规则冲突的方法,当主体的请求数目达到一定规模后,为了将PDP模块进行评估的时间缩短,势必要考虑该算法的优化问题.在对XACML研究的基础上对XACML的规则组合算法进行了优化.通过模拟程序表明,使用该优化措施后,缩短了PDP进行评估的时间,改善了系统的交互性.     

基于XACML的EPCIS访问控制模型

根据供应链系统对EPC信息服务(EPCIS)提出的访问控制需求,设计一种基于可扩展访问控制标记语言(XACML)的EPCIS访问控制模型.模型中的访问控制执行接口利用方法拦截技术实现对访问请求的拦截,并生成决策上下文对象.访问控制服务组件基于决策上下文对象中包含的用户、资源、环境和动作属性实现对访问请求的动态评估.安全通信组件利用安全性断言标记语言,结合缓存机制实现XACML授权请求/响应的实时传输.访问控制流程表明,该模型能够实现灵活的访问控制策略部署和管理,具有供应链产品信息访问控制的动态性、异构性等特点.     

基于可信平台的一种访问控制策略框架——TXACML

根据可信平台访问控制需求,提出一个可信平台属性分类规则,定义属性评估函数,可以实现可信平台数据安全分发和访问.同时针对XACML现有的策略合成算法不能有效满足可信平台自动方策略复合需求,设计了一个基于平台可信度的策略合成算法,该算法可以使策略的优先级和可信度保持一致,实现自动方策略复合.在此基础上,进一步对XACML实施扩展,形成可信平台策略语言框架TXACML(XACML based on trusted platform).采取TXACML对一个实例给出了策略描述和策略合成过程,验证了TXACML的有效性.     

基于冗余消除和属性数值化的XACML策略优化方法

可扩展的访问控制标记语言(eXtensible Access Control Markup Language,XACML)逐渐成为访问控制的标准之一。为了确保系统可用性,访问控制系统需要高效的XACML策略评估引擎。针对这一问题,从XACML策略本身潜在的不足出发,从冗余消除和属性数值化两个方面对XACML策略进行了优化。冗余消除在不影响策略评估结果的前提下去除策略库中的冗余规则,同时结合规则压缩消除规则间的冗余状态。属性数值化将文本的XACML策略属性转化为数值属性,使评估引擎匹配使用高效的数值匹配方式而不是低效的字符串匹配方式,同时使用Hash表结构存储数值属性与文本属性的映射关系有利于策略维护。仿真实验结果表明,提出的策略优化方法的性能与原始Sun XACML 相比有较大提升。     

一种可扩展访问控制标记语言的策略优化算法

可扩展访问控制标记语言XACML得到了广泛应用。为提高XACML策略的评估效率,提出一种基于韦恩图法的XACML策略优化算法。将XACML策略规则的组成结构用集合论中的韦恩图表示,在设定合并算法优先级的基础上,借助集合间的交并关系,检测和消除策略规则间的冲突与冗余,提高策略评估效率。实验测试表明,该算法在各主流引擎下将 请求评估时间平均缩短10%～20%,同时能减少占用的存储空间,达到策略优化的目的。     

基于XACML的访问控制策略

如何解决对Web服务的访问控制已成为当前Web服务应用研究中的一个重要课题。首先介绍了XACML标准的产生动机，然后结合Xpath来说明如何定义标准的访问控制策略。应用XACML策略来定义通用的访问控制需求，并且提出了一种机制来发现和解决策略间的冲突，达到对Web服务进行细粒度的访问控制。最后以一个应用实例来具体描述怎样创建一个XACML访问控制策略以及如何对实体的访问进行控制。     

一个通用的分布式访问控制决策中间件

将各种安全功能从上层应用中抽象出来形成一种通用和标准的安全服务,可以简化应用开发的复杂性和增强安全功能的可重用性。论文设计并实现了一个基于XACML的通用分布式访问控制决策中间件UDACD（Universal Distributed Access Control Decision）,对分布式环境下的访问控制决策过程进行了封装,对外面向各种应用提供通用的决策服务。UDACD支持多种访问控制策略类型和跨管理域的匿名资源访问控制;实现了对策略的缓存和对用户安全属性的两级缓存,显著加快了决策速度。UDACD可以帮助简化策略管理,并提供跨应用的一致策略实施。     

基于XML的多粒度访问控制系统

如何为大量以Web服务形式存在的Web关键资源和应用中涉及到的XML文档资源提供安全访问控制并把二者很好地结合起来是当前电子商务安全服务研究中的一个重要课题。为此,该文提出一种基于XML的粗细粒度结合的多粒度访问控制系统。该系统采用基于角色的访问控制模型(RBAC),在扩展XACML规范的基础上,提出一种相对统一的策略描述语言;引入临时授权的概念,用于表示和实现更为丰富的访问控制策略;并提供灵活的安全映射接口,使其易于和其他安全系统相结合,为企业及企业间的应用提供访问控制服务。     

基于XACML实现量化风险自适应的访问控制

量化风险自适应的访问控制是现在系统安全领域的一个研究热点,但XACML(eXtendab le Access Control Markup Lan-guage)的实现未考虑量化风险自适应访问控制机制。在XACML的基础上,充分利用其强大的访问策略表达能力,在不改变访问请求语义的情况下加入了量化风险的控制功能,并扩展XACML框架,添加持续的访问控制风险管理机制,实现了量化风险自适应的访问控制。