徐學(xué)東 張志俊 長(zhǎng)春工程學(xué)院機(jī)電學(xué)院

基于信任計(jì)算的跨域訪問控制研究

徐學(xué)東 張志俊 長(zhǎng)春工程學(xué)院機(jī)電學(xué)院

大型分布式多域網(wǎng)絡(luò)環(huán)境中不存在統(tǒng)一的認(rèn)證控制中心，傳統(tǒng)基于實(shí)體身份的認(rèn)證方式無法滿足要求。研究跨域陌生實(shí)體交互的身份認(rèn)證及控制系統(tǒng)的架構(gòu)，通過信任計(jì)算對(duì)陌生實(shí)體域外訪問權(quán)限進(jìn)行授權(quán)，給出具體的設(shè)計(jì)及處理流程。后續(xù)實(shí)踐表明該架構(gòu)體系具有良好的網(wǎng)絡(luò)適應(yīng)性以及較高的域間訪問控制交互成功率。

分布式多域網(wǎng)絡(luò)、陌生實(shí)體、信任計(jì)算

引言

傳統(tǒng)訪問控制機(jī)制需在確認(rèn)實(shí)體身份的基礎(chǔ)上才能正確實(shí)施，主要適用于適應(yīng)于單域非合作環(huán)境。在云計(jì)算等大規(guī)模分布式多域網(wǎng)絡(luò)環(huán)境中不存在統(tǒng)一的控制中心，存在跨域的大量陌生實(shí)體訪問需求，參與交互的陌生實(shí)體在跨域訪問時(shí)沒有事先定義的信任關(guān)系，或者雖能認(rèn)定其身份和域外權(quán)限，卻沒有定義其在本域內(nèi)的資源訪問權(quán)限，必須研究新的訪問控制機(jī)制解決前述難題。以面向多域網(wǎng)絡(luò)的分布式訪問控制機(jī)制為研究目標(biāo)，參考普適網(wǎng)絡(luò)[1]、P2P網(wǎng)絡(luò)[2]信任模型，研究由信譽(yù)評(píng)估上升到信任管理的跨域訪問控制系統(tǒng)的體系架構(gòu)及流程。

1.應(yīng)用場(chǎng)景

在多信任域之間共享資源的情況下，網(wǎng)絡(luò)資源的調(diào)度存在著域內(nèi)調(diào)度和域間調(diào)度，因而產(chǎn)生了域內(nèi)和域間兩種信任關(guān)系[3]。應(yīng)用場(chǎng)景如圖1所示，在每個(gè)網(wǎng)絡(luò)域中部署域管理代理服務(wù)端，各用戶應(yīng)用或資源通過異構(gòu)系統(tǒng)規(guī)格化接口接入。

域管理代理是該域的訪問控制管理核心，負(fù)責(zé)為域內(nèi)全部用戶節(jié)點(diǎn)進(jìn)行信任建模、實(shí)施信任計(jì)算、發(fā)放并維護(hù)信任證明，并協(xié)同域內(nèi)、域間的管理信息交流。各節(jié)點(diǎn)在訪問資源時(shí)可以使用管理服務(wù)，通過管理代理獲得相應(yīng)授權(quán)并被分配到安全信任度較高的資源。管理代理則根據(jù)信任值和訪問控制策略選擇資源，并進(jìn)行信任協(xié)商，確認(rèn)是否可以使用資源。

圖1 跨域分布式訪問控制部署示意圖

圖2 跨域分布式訪問控制系統(tǒng)架構(gòu)示意圖

2.系統(tǒng)的總體架構(gòu)

系統(tǒng)的總體架構(gòu)參考基于信任的跨域安全認(rèn)證模型TB-WSCDSA[4]進(jìn)行設(shè)計(jì)，包括兩個(gè)部分，實(shí)現(xiàn)域管理代理服務(wù)的服務(wù)端和實(shí)現(xiàn)本地認(rèn)證的客戶端。架構(gòu)如圖2所示。

（1）實(shí)體端

實(shí)體端主要指網(wǎng)絡(luò)中訪問發(fā)起端。用戶可以在本地認(rèn)證信息庫保持一些根證書，還有已知實(shí)體/資源的信任信息，以選擇訪問已信任的資源，加快訪問速度。

（2）服務(wù)端

服務(wù)端指域管理代理服務(wù)器，負(fù)責(zé)總體管理。如果訪問者需要訪問本地資源，要提交自己的證書，當(dāng)然也可以要求域管理方也提供證書來證明管理者的身份。域管理器先進(jìn)行身份鑒別，然后再通過自己的信任信息庫，查看該實(shí)體的信譽(yù)歷史，計(jì)算應(yīng)賦予其何種權(quán)限。

如果訪問者訪問外部資源，本域管理器與目標(biāo)域的管理器進(jìn)行交互，確保可靠的實(shí)體/資源來為訪問者服務(wù)。信任管理部分負(fù)責(zé)評(píng)估其它域管理器的信譽(yù)情況，并信任對(duì)方推薦的信譽(yù)好的服務(wù)者。

每次交易結(jié)束，域管理者可以根據(jù)用戶滿意度等因素，為雙方評(píng)價(jià)信譽(yù)情況，使得信任信息動(dòng)態(tài)更新。較差的服務(wù)提供者和用戶均被降低信任值，直接影響訪問權(quán)限。

3.系統(tǒng)組成

系統(tǒng)總體框架如圖3所示。本系統(tǒng)可以分為六個(gè)部分，分別是服務(wù)提供者（SP）、身份認(rèn)證服務(wù)（IDP），信任管理服務(wù)、委托管理、安全審計(jì)模塊（ATS）以及訪問控制（AC）。其中：

（1）SP負(fù)責(zé)對(duì)用戶身份進(jìn)行核查，該用戶是否已經(jīng)登錄以及用戶屬性獲??；

（2）IDP是整個(gè)系統(tǒng)的核心，主要負(fù)責(zé)對(duì)用戶身份進(jìn)行認(rèn)證，授權(quán)以及用戶屬性查詢；

（3）AC服務(wù)根據(jù)用戶權(quán)限對(duì)用戶的訪問進(jìn)行控制；

（4）信任管理服務(wù)包括信譽(yù)信息收集器和信任證明管理器。信譽(yù)信息收集器負(fù)責(zé)管理本域內(nèi)實(shí)體的實(shí)體信譽(yù)信息以及跨交互過程中的域信譽(yù)信息。信任證明管理器計(jì)算實(shí)體信任值和域信任值，為實(shí)體提供相應(yīng)的信任證明，并負(fù)責(zé)調(diào)整信任信息；

（5）委托管理建立子域管理系統(tǒng)，并進(jìn)行委托授權(quán)；

（6）安全審計(jì)模塊實(shí)現(xiàn)訪問行為的日志記錄，可實(shí)現(xiàn)行為追溯。

4.系統(tǒng)功能流程

系統(tǒng)功能流程包括域內(nèi)關(guān)系節(jié)點(diǎn)訪問登錄流程，域內(nèi)節(jié)點(diǎn)訪問登錄流程，域間節(jié)點(diǎn)訪問登錄流程，節(jié)點(diǎn)訪問單點(diǎn)登出流程，新實(shí)體端信任記錄建立流程等。下面以域間節(jié)點(diǎn)訪問登錄流程為例介紹具體登錄及驗(yàn)證過程。

功能描述：首先實(shí)體端向外域服務(wù)提供端發(fā)送資源訪問請(qǐng)求，自動(dòng)定向到本域管理服務(wù)端，提交自身的信任證書，域管理服務(wù)驗(yàn)證信任證書。與外域服務(wù)提供端所在域服務(wù)器（簡(jiǎn)稱“外域管理服務(wù)端）連接，發(fā)送驗(yàn)證信息，外域服務(wù)端完成雙方驗(yàn)證，完成域間驗(yàn)證過程。

具體流程為：

（1）實(shí)體端訪問外域服務(wù)提供端，請(qǐng)求服務(wù)；

（2）自動(dòng)定向到本域管理服務(wù)端，本域服務(wù)端發(fā)送認(rèn)證命令；

（3）實(shí)體端向本域管理服務(wù)端發(fā)送信任證書，本域管理服務(wù)端對(duì)其進(jìn)行身份認(rèn)證。如用戶未進(jìn)行過認(rèn)證，則轉(zhuǎn)到信任管理中查詢?cè)撚脩舻男湃斡涗洠?/p>

（4）本域管理服務(wù)端對(duì)外域管理服務(wù)器發(fā)送認(rèn)證命令；

（5）外域管理服務(wù)器接受認(rèn)證信息，首先對(duì)本域管理服務(wù)器進(jìn)行驗(yàn)證，如未進(jìn)行過有效的認(rèn)證，則轉(zhuǎn)到信用管理中查詢本域管理服務(wù)器的信任記錄；

（7）如本域管理服務(wù)器的認(rèn)證或信任得到確認(rèn)通過，則外域管理服務(wù)端對(duì)外域服務(wù)提供端發(fā)送認(rèn)證命令；

圖3 系統(tǒng)框架圖

圖4 域間節(jié)點(diǎn)訪問登錄功能示意圖

（8）外域服務(wù)提供端向外域管理服務(wù)端發(fā)送信任證書，本域管理服務(wù)對(duì)其進(jìn)行身份認(rèn)證。如未進(jìn)行過有效的認(rèn)證，則轉(zhuǎn)到信任管理中查詢?cè)撚脩舻男湃斡涗洠?/p>

（9）雙方身份認(rèn)證或信任信息確認(rèn)，外域域管理服務(wù)端信任管理記錄認(rèn)證憑證并生成一個(gè)認(rèn)證憑據(jù)，發(fā)送給服務(wù)提供者驗(yàn)證有效性；

（10）外域管理服務(wù)端將憑據(jù)返給本域管理服務(wù)端，本域管理服務(wù)端發(fā)送憑證、附上本域認(rèn)證信息給實(shí)體端，記錄本次認(rèn)證憑證信息，以重定向方式返回給服務(wù)提供者；

（11）實(shí)體端將票據(jù)發(fā)送給服務(wù)提供者；

（12）服務(wù)提供者返回認(rèn)證結(jié)果給用戶，雙方握手，建立服務(wù)連接。

5.結(jié)語

多域網(wǎng)絡(luò)環(huán)境中未明確權(quán)限實(shí)體跨域應(yīng)用訪問控制包括多方面研究，如基于信任計(jì)算的RBAC改進(jìn)模型、基于本域權(quán)責(zé)和既往訪問行為分析的信任計(jì)算算法、系統(tǒng)的架構(gòu)及接口等。本文僅就系統(tǒng)的整體架構(gòu)、組成和流程進(jìn)行了分析和設(shè)計(jì)。經(jīng)過實(shí)踐表明該架構(gòu)體系具有良好的網(wǎng)絡(luò)適應(yīng)性以及較高的域間訪問控制交互成功率。后續(xù)將在另文介紹其它研究成果。

[1] Mieso K Denko,Tao Sun,Issac Woungang.Trustmanagement i n u b i q u i t o u s c o m p u t i n g:A Bayeian approach[J].Computer Communications，2011,34(3)∶398-406.

[2] Florina Almenarez,Andres Marin. Trustmanagement for multi media P2P applications in autonomicnet working[J].Ad Hoc Networks，2011,9（4）:687-697

[3]馬滿福,張龍.物聯(lián)網(wǎng)中基于網(wǎng)關(guān)的跨域信任模型[J].計(jì)算機(jī)工程與設(shè)計(jì)，2013,11（34）:3829～3834；

[4]盧曉霞，韓堅(jiān)華.Web服務(wù)中基于信任的跨域安全認(rèn)證模型[J].微 型 機(jī) 與 應(yīng) 用.2012,3(31):50～55；

吉林省教育廳科研項(xiàng)目（吉教科合字［2014］第337號(hào)）；吉林省科技攻關(guān)計(jì)劃項(xiàng)目（20140204060SF）；

徐學(xué)東(1976－),男（漢）,安徽阜南人,副教授，碩士,主要研究領(lǐng)域?yàn)檫^程控制，信息安全