【摘 要】為了應(yīng)對物聯(lián)網(wǎng)的安全挑戰(zhàn)，以及根據(jù)其安全需求，本文建立了一套統(tǒng)一的安全架構(gòu)，提出了提高物聯(lián)網(wǎng)安全性能的解決方案。通過對請求者進行身份驗證和對其授予訪問權(quán)、實現(xiàn)單點登錄的聯(lián)合身份驗證、基于基本信任模型請求消息的傳播安全、審核重要事件，契約管理，以及有效地保護數(shù)據(jù)和內(nèi)容，通過物聯(lián)網(wǎng)安全架構(gòu)，幫助企業(yè)形成一套完整的保護基于組件的物聯(lián)網(wǎng)環(huán)境。

【關(guān)鍵詞】物聯(lián)網(wǎng) 安全性能 解決方案

一、構(gòu)建物聯(lián)網(wǎng)環(huán)境下基于屬性的訪問控制

在物聯(lián)網(wǎng)的安全解決方案中，采用的訪問控制思想主要包括了自主訪問控制（Discretionary Access Control，DAC）、強制訪問控制（Mandatory Access Control，MAC）、RBAC等傳統(tǒng)訪問控制模型，而這些模型并不能完全適應(yīng)物聯(lián)網(wǎng)的訪問控制要求，它們在實現(xiàn)較為復雜的多因素、細粒度訪問控制策略時比較困難，缺乏對主體和資源的詳細描述，而且沒有考慮上下文的信息。因此，本文參照基于屬性的訪問控制思想，為提高物聯(lián)網(wǎng)的安全性能，設(shè)計出基于屬性的訪問控制模型。

（一）傳統(tǒng)訪問控制模型分析

針對物聯(lián)網(wǎng)的特點，傳統(tǒng)的訪問控制模型在實都存在一定的不足：

首先，傳統(tǒng)的DAC、MAC以及RBAC的訪問控制非常適合于單個安全管理域內(nèi)的訪問控制，但對于跨域的安全訪問控制上存在缺陷。

其次，傳統(tǒng)訪問控制系統(tǒng)的控制模式難于滿足物聯(lián)網(wǎng)的細粒度的訪問控制要求。在多個系統(tǒng)形成的聯(lián)邦內(nèi)部，無論是基于屬性的訪問控制，還是直接針對用戶的訪問控制，在實現(xiàn)細粒度系統(tǒng)功能模塊的授權(quán)時，其策略往往較為復雜，修改不便且難于管理，對于結(jié)構(gòu)相對復雜的物聯(lián)網(wǎng)來說，靈活的策略控制就很難實現(xiàn)。

再次，傳統(tǒng)訪問控制模型的策略通用性較差，難于實現(xiàn)多系統(tǒng)之間的統(tǒng)一。傳統(tǒng)的訪問控制策略通常存儲在XML文件、數(shù)據(jù)庫、目錄服務(wù)中，使用時通過專用程序接口進行調(diào)用，每個系統(tǒng)都使用獨立的策略編制規(guī)則，相同的策略在不同的系統(tǒng)中有不同的描述方式和手段，這就加大了物聯(lián)網(wǎng)的策略通用性的難度，不利于策略共享和統(tǒng)一，而對于聯(lián)盟中需要適用于所有系統(tǒng)的策略來說，其實現(xiàn)難度就更大。

那么，有沒有一種既可以靈活實現(xiàn)分布式系統(tǒng)的集中控制，又能夠?qū)崿F(xiàn)細粒度的訪問控制，還可以方便的描述復雜的訪問控制規(guī)則，并且可以與已存系統(tǒng)的訪問控制策略進行無縫集成的訪問控制模型呢？基于屬性的訪問控制模型就可以解決上述問題。

（二）物聯(lián)網(wǎng)中基于屬性的訪問控制系統(tǒng)結(jié)構(gòu)

基于屬性的訪問控制（Attribute Based Access Control，ABAC）模型基于任何與訪問安全相關(guān)的特征進行授權(quán)，這些特征稱為屬性，分別包括主體屬性、資源屬性和環(huán)境屬性。以下我們對ABAC的屬性進行定義，并給出ABAC的策略模型和ABAC訪問控制架構(gòu)。

1.屬性定義

主體屬性。主體是對資源執(zhí)行操作的實體，如用戶、應(yīng)用程序或進程等。每個主體都擁有相關(guān)屬性，這些屬性定義了主體的身份和特征。屬性可以包括主體標識、姓名、單位、職位、年齡、IP地址、Email地址等等。主體的角色也可看作是一個屬性。

資源屬性。資源是被主體執(zhí)行操作的實體，如：服務(wù)、數(shù)據(jù)或系統(tǒng)組件等。與主體一樣，資源也擁有可用于訪問控制的屬性。資源屬性通常來自于資源的“元數(shù)據(jù)”。元數(shù)據(jù)中的元素也可以作為訪問控制相關(guān)的屬性，例如：URL、解決方案、參數(shù)等。

環(huán)境屬性。在大多訪問控制模型中環(huán)境屬性往往被忽略。環(huán)境屬性描述了訪問發(fā)生時的環(huán)境或上下文信息，比如當前日期和時間、當前的病毒/黑客活動和網(wǎng)絡(luò)安全等級等。它不同于主體或資源屬性，但可用于制定訪問控制策略和進行策略決策。

2.物聯(lián)網(wǎng)中基于屬性的訪問控制架構(gòu)

（1）AA（Attribute Authority，屬性權(quán)威），負責創(chuàng)建和管理主體、資源或環(huán)境的屬性。AA是一個邏輯實體，本身可以存儲屬性信息，也可以不存儲（比如，一個主體可以選擇從機構(gòu)的LDAP目錄獲取屬性）。但是，它負責把屬性綁定到相應(yīng)的實體，在提供和發(fā)現(xiàn)屬性方面扮演重要的角色。

（2）PEP（Policy Enforcement Point，策略實施點），負責請求授權(quán)決策并實施決策。它截取主體對資源的請求，實施訪問控制。PEP被表示為一個單一的實施點，實際上它可以是網(wǎng)絡(luò)中物理分布的多個點。PEP實現(xiàn)中需要考慮主體對保護資源訪問時PEP能否被旁路的問題。

（3）PDP（Policy Decision Point，策略決策點），負責評估適用的策略，做出授權(quán)決策（允許/拒絕）。PDP本質(zhì)上是一個策略評估引擎。當請求中沒有給出策略需要的主體、資源或環(huán)境屬性時，它從相應(yīng)的AA中獲取屬性值。

二、構(gòu)建全面的物聯(lián)網(wǎng)安全架構(gòu)

在物聯(lián)網(wǎng)的安全架構(gòu)中，身份管理模塊與消息安全模塊是整個架構(gòu)中最關(guān)鍵的兩個模塊。它們?yōu)槲锫?lián)網(wǎng)中的通信提供可靠的安全保護。

（一）身份管理模塊：主要由單點登錄代理、憑證令牌、斷言三個子模塊構(gòu)成。使用身份管理模塊可以進行身份認證、授權(quán)、實現(xiàn)單點登錄的業(yè)務(wù)流程。單點登錄代理、斷言、憑證令牌子模塊都支持基于安全斷言標記語言（ SAML）和Liberty Alicance規(guī)范的協(xié)議。這些標準和規(guī)范滿足了交換安全斷言信息，以及單點訪問多項資源方面的重要業(yè)務(wù)需求。

（二）消息安全模塊：主要由消息攔截器、消息攔截網(wǎng)關(guān)、消息路由器、契約管理等模塊組成。

三、結(jié)束語

所有物聯(lián)網(wǎng)安全的核心都是基于策略的基礎(chǔ)設(shè)施和策略的管理。實際上，安全因素涉及范圍很廣，只有把安全措施落實到整個應(yīng)用過程中，才能真正確保物聯(lián)網(wǎng)應(yīng)用安全性。

參考文獻：

[1]姚曉霞. 我國物聯(lián)網(wǎng)發(fā)展現(xiàn)狀及策略[J]. 商場現(xiàn)代化. 2010（30） .

[2]袁國智，董毅明. 我國物聯(lián)網(wǎng)產(chǎn)業(yè)現(xiàn)狀及其發(fā)展對策分析[J]. 商業(yè)時代. 2011（04） .

作者簡介：

劉君；1986.1.16； 女；碩士；研究方向：企業(yè)信息化與數(shù)據(jù)庫系統(tǒng)集成。