尹 娜 仲崇鑫

摘要 隨著信息化時代的到來,信息安全問題也備受關(guān)注。如何確保核心數(shù)據(jù)的安全,保障系統(tǒng)正常運(yùn)行,是信息管理人員需要面對和解決的首要問題。本文針對各級管理員的訪問權(quán)限進(jìn)行設(shè)計,按照角色對應(yīng)控制其登錄訪問權(quán)限。

關(guān)鍵詞 訪問控制;角色分配;訪問入口設(shè)計

中圖分類號 G203 文獻(xiàn)標(biāo)識碼 A 文章編號1674-6708(2009)07-0054-02

隨著計算機(jī)技術(shù)應(yīng)用的普及和企業(yè)信息化步伐的加快,越來越多的企事業(yè)單位都建立了自己的管理信息系統(tǒng)。管理信息系統(tǒng)一般操作數(shù)據(jù)量都很大,大量的數(shù)據(jù)和信息存放于它的數(shù)據(jù)庫平臺中,有些甚至是關(guān)系到企業(yè)或單位切身利益的重要信息。在開發(fā)多用戶信息系統(tǒng)的過程中,由于大量的重要信息集中存放,且某些信息為多個用戶共享,這就使得權(quán)限控制成了開發(fā)多用戶信息系統(tǒng)中的一個重要環(huán)節(jié)。

系統(tǒng)的數(shù)據(jù)使用權(quán)限控制,是指防止不合法地使用數(shù)據(jù)庫,以避免數(shù)據(jù)的泄漏、非法更改和破壞,本質(zhì)上就是保證數(shù)據(jù)的合法訪問,阻止非法訪問。本文以某政府門戶網(wǎng)站系統(tǒng)為例,來討論如何實(shí)現(xiàn)多用戶信息系統(tǒng)的數(shù)據(jù)使用權(quán)限控制的控制問題。

1 網(wǎng)站信息訪問權(quán)限分配設(shè)計

基于角色的訪問控制模型(RBAC:role-based access contro1)是目前安全模型領(lǐng)域的研究熱點(diǎn),由于其易管理而被廣泛地應(yīng)用在網(wǎng)絡(luò)控制領(lǐng)域。將計算機(jī)信息管理應(yīng)用人用分為4大類:信息報送人員、信息審核人員、信息維護(hù)發(fā)布人員和系統(tǒng)管理員。信息報送人員負(fù)責(zé)海量數(shù)據(jù)篩選、編輯、上傳、存儲等工作,系統(tǒng)維護(hù)員負(fù)責(zé)系統(tǒng)的維護(hù)、更新、數(shù)據(jù)庫的管理等,系統(tǒng)管理員可以進(jìn)入網(wǎng)站任何機(jī)器進(jìn)行維護(hù)及保密工作等。將權(quán)限明確劃分是考慮到權(quán)責(zé)到人有利于整個系統(tǒng)的統(tǒng)籌分配,每個人有相關(guān)的權(quán)限值只能訪問到相應(yīng)權(quán)限內(nèi)的資源,這樣保證信息的一定范圍內(nèi)的安全性。

1.1 角色級控制

角色的概念源于實(shí)際工作中的職務(wù)。一個具體職務(wù)代表了在日常工作中處理某些事務(wù)的權(quán)利,一個角色與權(quán)限關(guān)聯(lián)可以看作是該角色擁有一組權(quán)限的集合,與用戶關(guān)聯(lián)又可以看作是若干具有相同身份的用戶的集合,角色與用戶和權(quán)限之間的關(guān)系,詳細(xì)闡述了角色控制在信息系統(tǒng)中的應(yīng)用。

由于該門戶網(wǎng)站信息系統(tǒng)中的用戶很多,且有些用戶有完全相同的權(quán)限,如果單獨(dú)給每個用戶分別分配權(quán)限,勢必大大增加管理的難度。因此,根據(jù)用戶分工的不同,在數(shù)據(jù)庫中建立了信息報送人員、信息審核人員、信息維護(hù)發(fā)布人員、系統(tǒng)管理員等不同的角色。根據(jù)分工的不同,分別賦予各個角色不同的權(quán)限集合,然后按部門將相應(yīng)的角色賦予各個用戶,這樣就保證了用戶登錄時只能訪問到其具有相應(yīng)角色權(quán)限的數(shù)據(jù)信息,從而使用戶的管理得以大大簡化。

1.2 部門級控制

部門級安全性控制是指在一定的資源共享的前提下,一個部門的用戶不能操作另外一個同等級別部門的某些關(guān)鍵數(shù)據(jù),但允許高級別的用戶操作訪問低級別部門的數(shù)據(jù)。

比如,001為普通的管理的用戶,admin為系統(tǒng)管理員。在001 登錄系統(tǒng)時,不允許他訪問到其它內(nèi)容的關(guān)鍵數(shù)據(jù),也不能訪問局端的一些數(shù)據(jù),而是應(yīng)該首先把其它部門的關(guān)鍵數(shù)據(jù)過濾掉,而在用戶admin登錄系統(tǒng)時,應(yīng)允許其訪問各個數(shù)據(jù),即部門級控制要實(shí)現(xiàn)上級部門用戶能訪問和修改下級部門的數(shù)據(jù),但不允許下級部門訪問和修改上級部門的數(shù)據(jù),也不允許同等級別部門用戶之間相互操作對方的關(guān)鍵數(shù)據(jù),其原理恰似企業(yè)中的上下級層次管理結(jié)構(gòu)。

2 控制訪問權(quán)限的登錄設(shè)計

訪問控制是系統(tǒng)安全機(jī)制的重要組成部分。信息網(wǎng)格中訪問控制解決的是合法用戶對網(wǎng)格資源的訪問權(quán)限問題。在信息網(wǎng)格復(fù)合管理域這一特征環(huán)境中,訪問控制需要考慮異構(gòu)管理域問題,也即跨域的授權(quán)訪問與查驗(yàn)。目前,針對跨域的訪問控制的研究有很多。在信息網(wǎng)格系統(tǒng)中比較常用的幾種訪問控制機(jī)制有域信任模式、信任第三方的授權(quán)認(rèn)證機(jī)制、用戶映射或者權(quán)限關(guān)系映射機(jī)制訪問控制機(jī)制來解決跨域問題,但他們存在管理域數(shù)目增大、管理開銷大、控制不靈活、實(shí)現(xiàn)困難等特點(diǎn)。針對這些缺點(diǎn),本文在用戶映射或者權(quán)限關(guān)系映射機(jī)制的基礎(chǔ)上提出權(quán)限預(yù)分配方案,從而實(shí)現(xiàn)跨域的復(fù)合授權(quán)與查驗(yàn)。

某些時候也會出現(xiàn)這樣的問題。例如,有時普通管理員需要找到一些資料,管理員無法到達(dá)現(xiàn)場需要委托其他工作人員打開其權(quán)限訪問區(qū)域,這時就要把密碼告訴給其他人,也就是把自己的權(quán)限交給了他人。將密碼告知給別人需要承受一定的風(fēng)險,如果是系統(tǒng)管理員將會有訪問所有保密信息的權(quán)限,其他人本來是不能查閱,或者別人可能有意或者無意地破壞的機(jī)器,這些都是無法預(yù)知的。解決上邊所說的問題我們可以用授權(quán)密碼控制的方式,設(shè)計如下:登錄時先選擇角色,然后每個角色有兩個登錄口,一個登錄口使用原密碼,另外一個使用授權(quán)密碼,不同人員授權(quán)的密碼訪問權(quán)限也不相同?？紤]到有限授權(quán)密碼的使用同樣存在著安全隱患,授權(quán)密碼只能使用一次,引入隨機(jī)生成密碼方式,每次授權(quán)使用完畢又隨機(jī)生成方式生成新的密碼。訪問記錄:每次使用控制訪問權(quán)限方式時,啟用日志記錄方式記錄登錄著行為,并且權(quán)限內(nèi)不能做刪除日志操作,以便查管理員查看。

3 結(jié)論

信息系統(tǒng)安全作為一門綜合性的動態(tài)學(xué)科,其研究的內(nèi)容是多層次和多方面的。針對授權(quán)的訪問機(jī)制,將訪問控制考慮因素擴(kuò)展到被授權(quán)人的實(shí)際操作環(huán)境的安全性上,將終端的安全性納入考慮范疇中。

通過權(quán)限管理可以避免非法用戶進(jìn)入信息管理系統(tǒng),可以刪除或禁用某些不經(jīng)常登錄和有破壞數(shù)據(jù)安全傾向的用戶,可以根據(jù)需要將某些禁用的用戶取消禁用等,所以在信息系統(tǒng)設(shè)計中,權(quán)限設(shè)計是一個非常重要的方面。結(jié)合某網(wǎng)站的管理信息系統(tǒng)的開發(fā),詳細(xì)地討論了在多用戶信息系統(tǒng)中數(shù)據(jù)權(quán)限使用控制原理以及實(shí)現(xiàn),使得不同級別的管理人員和操作人員能充分、有效而且合理地使用其應(yīng)用軟件系統(tǒng),從而在一定程度上保證了系統(tǒng)的安全性。

參考文獻(xiàn)

[1]Bellare M,Canetti R,Krawczyk H.Keyed Hash Functions and Message Authentication [C] // Proceedings of Crypto96.Los Angeles,Califomia,USA:[s.n.],1996.

[2]Barraza O.Achieving 999 998% Storage Uptime and Availability.Dot Hill Systems Corpm,2002.http://www.dothil1.com/products/whitepapers/5-9s_wp.pdf.

[3]歐陽星明,張華哲.大型網(wǎng)絡(luò) MIS 中基于角色的權(quán)限管理[J].計算機(jī)工程與應(yīng)用,2000,36(4):138-140.

科學(xué)巨擘 民族英雄 科技界緬懷錢老

“上午,我正在參加一個會議,忽然總裝備部的一個同志告訴我,可能錢老出事了。一會兒我就聽到了錢老去世的噩耗。太惋惜了。我們還想著明年給他過百歲生日呢!”中科院力學(xué)所俞鴻儒院士話語中含著極度的悲傷。

一代巨星離世,中國科技界沉浸在悲痛之中。中國工程院副院長杜祥琬院士難以擬制自己的悲痛說:“他是我們國家授予的唯一一個人民科學(xué)家啊?！?/p>

8年前,記者在報道“錢學(xué)森科學(xué)貢獻(xiàn)暨學(xué)術(shù)思想研討會”時,聽到時任全國政協(xié)副主席、中國工程院院長宋健對錢學(xué)森的評價:“錢老是20世紀(jì)中國科技事業(yè)的巨擘、中國科技界的楷模和中華民族的英雄?！?/p>

這位民族英雄,在歷經(jīng)人生的98個春秋之后,于今天駕鶴西行。“錢老是一個非常有才華的世界級科學(xué)家。當(dāng)年他從美國回國時,美國人知道他的價值,對他不放行。他是費(fèi)了很多周折才回來的?！痹诙畔殓男闹?錢學(xué)森是一位偉大的愛國者。

正在國外出訪的中國航天科工集團(tuán)公司總經(jīng)理許達(dá)哲聞知錢學(xué)森去世的消息,立即通過電話向他的家人表示慰問,對錢學(xué)森的辭世表示深切哀悼。他不能忘記,今年6月27日,錢學(xué)森還給他寫信,以一個老航天工作者的身份,對航天科工集團(tuán)成立十周年表示祝賀。他在信中說:“要取得更大的成績,一個重要方面就是要把系統(tǒng)工程的理論發(fā)揚(yáng)光大,探索在市場經(jīng)濟(jì)條件下進(jìn)一步發(fā)展的路子;并把它介紹到其他行業(yè)中去。欣聞你們在這方面已有新的考慮、新的舉措。我完全贊成。預(yù)祝你們成功!”一個年近百歲的老人,在其生命蠟燭的最后一段,依然關(guān)心著祖國的航天科技,關(guān)注著這一領(lǐng)域如何在市場經(jīng)濟(jì)條件下發(fā)展。

俞鴻儒當(dāng)年是在聽到錢學(xué)森的大名后,才報考中科院力學(xué)所研究生的。那是1957年,力學(xué)所剛剛成立不久,錢學(xué)森擔(dān)任所長?！昂苓z憾,我沒有成為錢先生的研究生。因?yàn)樗雷约禾?沒有多少時間指導(dǎo)學(xué)生,所以他在力學(xué)所一個研究生都不帶。雖然沒有成為錢先生的研究生,但他還是經(jīng)常指導(dǎo)我們。”俞鴻儒說當(dāng)年經(jīng)常參加錢學(xué)森主持的學(xué)術(shù)報告會?！八约禾脱缅X,買糖果、點(diǎn)心讓大家邊吃邊聽?？晌覀兟爼r也很緊張:當(dāng)他認(rèn)為某人報告中有問題時,他會隨時叫起聽會的人,問演講者講得對不對,為什么?現(xiàn)場的分析評判對我們收獲很大?！卞X學(xué)森一生追求科學(xué),他影響了很多人,也影響了中國和世界。

中國運(yùn)載火箭技術(shù)研究院(航天一院)黨委書記梁小虹不敢相信錢學(xué)森真的已經(jīng)走了。他在電話里對錢學(xué)森的兒子說:“錢老永遠(yuǎn)活在航天一院人心里,永遠(yuǎn)緬懷錢老在一院的那段日子?！鄙鲜兰o(jì)60年代,我國發(fā)射了自行設(shè)計的第一枚中近程火箭。在準(zhǔn)備期間,科研人員計算火箭推力時發(fā)現(xiàn)射程不夠,但是火箭的燃料貯箱體積有限,再也“喂”不進(jìn)去了。當(dāng)時還是小字輩的王永志提出,從火箭體內(nèi)卸出600kg燃料會命中目標(biāo)。在場的專家們幾乎不敢相信自己的耳朵,也沒人理睬他的建議。發(fā)射前,王永志鼓起勇氣找到技術(shù)總指揮錢學(xué)森,談了自己的想法。錢學(xué)森眼睛一亮:“這個年輕人的意見對,就按他說的辦!”果然,火箭射程變遠(yuǎn)了,連打3發(fā)導(dǎo)彈,全部命中目標(biāo)。從此,錢學(xué)森記住了王永志。我國開始研制第二代導(dǎo)彈的時候,錢學(xué)森建議,第二代戰(zhàn)略導(dǎo)彈讓第二代人掛帥,讓王永志擔(dān)任總設(shè)計師。這個故事讓航天一院的許多老同志津津樂道。

中科院高能所的冼鼎昌院士是從事理論物理及同步輻射應(yīng)用研究的,與錢學(xué)森研究的不是一個領(lǐng)域?！拔以谏鲜兰o(jì)50年代就知道錢老的大名。他是一個科學(xué)大師,是世界級的科學(xué)領(lǐng)軍人物。他留下的東西,中國人不會忘記,世界也不會忘記?！?/p>