徐學(xué)東 張志俊 長春工程學(xué)院機(jī)電學(xué)院
基于信任計(jì)算的跨域訪問控制研究
徐學(xué)東 張志俊 長春工程學(xué)院機(jī)電學(xué)院
大型分布式多域網(wǎng)絡(luò)環(huán)境中不存在統(tǒng)一的認(rèn)證控制中心,傳統(tǒng)基于實(shí)體身份的認(rèn)證方式無法滿足要求。研究跨域陌生實(shí)體交互的身份認(rèn)證及控制系統(tǒng)的架構(gòu),通過信任計(jì)算對陌生實(shí)體域外訪問權(quán)限進(jìn)行授權(quán),給出具體的設(shè)計(jì)及處理流程。后續(xù)實(shí)踐表明該架構(gòu)體系具有良好的網(wǎng)絡(luò)適應(yīng)性以及較高的域間訪問控制交互成功率。
分布式多域網(wǎng)絡(luò)、陌生實(shí)體、信任計(jì)算
傳統(tǒng)訪問控制機(jī)制需在確認(rèn)實(shí)體身份的基礎(chǔ)上才能正確實(shí)施,主要適用于適應(yīng)于單域非合作環(huán)境。在云計(jì)算等大規(guī)模分布式多域網(wǎng)絡(luò)環(huán)境中不存在統(tǒng)一的控制中心,存在跨域的大量陌生實(shí)體訪問需求,參與交互的陌生實(shí)體在跨域訪問時(shí)沒有事先定義的信任關(guān)系,或者雖能認(rèn)定其身份和域外權(quán)限,卻沒有定義其在本域內(nèi)的資源訪問權(quán)限,必須研究新的訪問控制機(jī)制解決前述難題。以面向多域網(wǎng)絡(luò)的分布式訪問控制機(jī)制為研究目標(biāo),參考普適網(wǎng)絡(luò)[1]、P2P網(wǎng)絡(luò)[2]信任模型,研究由信譽(yù)評估上升到信任管理的跨域訪問控制系統(tǒng)的體系架構(gòu)及流程。
在多信任域之間共享資源的情況下,網(wǎng)絡(luò)資源的調(diào)度存在著域內(nèi)調(diào)度和域間調(diào)度,因而產(chǎn)生了域內(nèi)和域間兩種信任關(guān)系[3]。應(yīng)用場景如圖1所示,在每個(gè)網(wǎng)絡(luò)域中部署域管理代理服務(wù)端,各用戶應(yīng)用或資源通過異構(gòu)系統(tǒng)規(guī)格化接口接入。
域管理代理是該域的訪問控制管理核心,負(fù)責(zé)為域內(nèi)全部用戶節(jié)點(diǎn)進(jìn)行信任建模、實(shí)施信任計(jì)算、發(fā)放并維護(hù)信任證明,并協(xié)同域內(nèi)、域間的管理信息交流。各節(jié)點(diǎn)在訪問資源時(shí)可以使用管理服務(wù),通過管理代理獲得相應(yīng)授權(quán)并被分配到安全信任度較高的資源。管理代理則根據(jù)信任值和訪問控制策略選擇資源,并進(jìn)行信任協(xié)商,確認(rèn)是否可以使用資源。
圖1 跨域分布式訪問控制部署示意圖
圖2 跨域分布式訪問控制系統(tǒng)架構(gòu)示意圖
系統(tǒng)的總體架構(gòu)參考基于信任的跨域安全認(rèn)證模型TB-WSCDSA[4]進(jìn)行設(shè)計(jì),包括兩個(gè)部分,實(shí)現(xiàn)域管理代理服務(wù)的服務(wù)端和實(shí)現(xiàn)本地認(rèn)證的客戶端。架構(gòu)如圖2所示。
(1)實(shí)體端
實(shí)體端主要指網(wǎng)絡(luò)中訪問發(fā)起端。用戶可以在本地認(rèn)證信息庫保持一些根證書,還有已知實(shí)體/資源的信任信息,以選擇訪問已信任的資源,加快訪問速度。
(2)服務(wù)端
服務(wù)端指域管理代理服務(wù)器,負(fù)責(zé)總體管理。如果訪問者需要訪問本地資源,要提交自己的證書,當(dāng)然也可以要求域管理方也提供證書來證明管理者的身份。域管理器先進(jìn)行身份鑒別,然后再通過自己的信任信息庫,查看該實(shí)體的信譽(yù)歷史,計(jì)算應(yīng)賦予其何種權(quán)限。
如果訪問者訪問外部資源,本域管理器與目標(biāo)域的管理器進(jìn)行交互,確??煽康膶?shí)體/資源來為訪問者服務(wù)。信任管理部分負(fù)責(zé)評估其它域管理器的信譽(yù)情況,并信任對方推薦的信譽(yù)好的服務(wù)者。
每次交易結(jié)束,域管理者可以根據(jù)用戶滿意度等因素,為雙方評價(jià)信譽(yù)情況,使得信任信息動(dòng)態(tài)更新。較差的服務(wù)提供者和用戶均被降低信任值,直接影響訪問權(quán)限。
系統(tǒng)總體框架如圖3所示。本系統(tǒng)可以分為六個(gè)部分,分別是服務(wù)提供者(SP)、身份認(rèn)證服務(wù)(IDP),信任管理服務(wù)、委托管理、安全審計(jì)模塊(ATS)以及訪問控制(AC)。其中:
(1)SP負(fù)責(zé)對用戶身份進(jìn)行核查,該用戶是否已經(jīng)登錄以及用戶屬性獲??;
(2)IDP是整個(gè)系統(tǒng)的核心,主要負(fù)責(zé)對用戶身份進(jìn)行認(rèn)證,授權(quán)以及用戶屬性查詢;
(3)AC服務(wù)根據(jù)用戶權(quán)限對用戶的訪問進(jìn)行控制;
(4)信任管理服務(wù)包括信譽(yù)信息收集器和信任證明管理器。信譽(yù)信息收集器負(fù)責(zé)管理本域內(nèi)實(shí)體的實(shí)體信譽(yù)信息以及跨交互過程中的域信譽(yù)信息。信任證明管理器計(jì)算實(shí)體信任值和域信任值,為實(shí)體提供相應(yīng)的信任證明,并負(fù)責(zé)調(diào)整信任信息;
(5)委托管理建立子域管理系統(tǒng),并進(jìn)行委托授權(quán);
(6)安全審計(jì)模塊實(shí)現(xiàn)訪問行為的日志記錄,可實(shí)現(xiàn)行為追溯。
系統(tǒng)功能流程包括域內(nèi)關(guān)系節(jié)點(diǎn)訪問登錄流程,域內(nèi)節(jié)點(diǎn)訪問登錄流程,域間節(jié)點(diǎn)訪問登錄流程,節(jié)點(diǎn)訪問單點(diǎn)登出流程,新實(shí)體端信任記錄建立流程等。下面以域間節(jié)點(diǎn)訪問登錄流程為例介紹具體登錄及驗(yàn)證過程。
功能描述:首先實(shí)體端向外域服務(wù)提供端發(fā)送資源訪問請求,自動(dòng)定向到本域管理服務(wù)端,提交自身的信任證書,域管理服務(wù)驗(yàn)證信任證書。與外域服務(wù)提供端所在域服務(wù)器(簡稱“外域管理服務(wù)端)連接,發(fā)送驗(yàn)證信息,外域服務(wù)端完成雙方驗(yàn)證,完成域間驗(yàn)證過程。
具體流程為:
(1)實(shí)體端訪問外域服務(wù)提供端,請求服務(wù);
(2)自動(dòng)定向到本域管理服務(wù)端,本域服務(wù)端發(fā)送認(rèn)證命令;
(3)實(shí)體端向本域管理服務(wù)端發(fā)送信任證書,本域管理服務(wù)端對其進(jìn)行身份認(rèn)證。如用戶未進(jìn)行過認(rèn)證,則轉(zhuǎn)到信任管理中查詢該用戶的信任記錄;
(4)本域管理服務(wù)端對外域管理服務(wù)器發(fā)送認(rèn)證命令;
(5)外域管理服務(wù)器接受認(rèn)證信息,首先對本域管理服務(wù)器進(jìn)行驗(yàn)證,如未進(jìn)行過有效的認(rèn)證,則轉(zhuǎn)到信用管理中查詢本域管理服務(wù)器的信任記錄;
(7)如本域管理服務(wù)器的認(rèn)證或信任得到確認(rèn)通過,則外域管理服務(wù)端對外域服務(wù)提供端發(fā)送認(rèn)證命令;
圖3 系統(tǒng)框架圖
圖4 域間節(jié)點(diǎn)訪問登錄功能示意圖
(8)外域服務(wù)提供端向外域管理服務(wù)端發(fā)送信任證書,本域管理服務(wù)對其進(jìn)行身份認(rèn)證。如未進(jìn)行過有效的認(rèn)證,則轉(zhuǎn)到信任管理中查詢該用戶的信任記錄;
(9)雙方身份認(rèn)證或信任信息確認(rèn),外域域管理服務(wù)端信任管理記錄認(rèn)證憑證并生成一個(gè)認(rèn)證憑據(jù),發(fā)送給服務(wù)提供者驗(yàn)證有效性;
(10)外域管理服務(wù)端將憑據(jù)返給本域管理服務(wù)端,本域管理服務(wù)端發(fā)送憑證、附上本域認(rèn)證信息給實(shí)體端,記錄本次認(rèn)證憑證信息,以重定向方式返回給服務(wù)提供者;
(11)實(shí)體端將票據(jù)發(fā)送給服務(wù)提供者;
(12)服務(wù)提供者返回認(rèn)證結(jié)果給用戶,雙方握手,建立服務(wù)連接。
多域網(wǎng)絡(luò)環(huán)境中未明確權(quán)限實(shí)體跨域應(yīng)用訪問控制包括多方面研究,如基于信任計(jì)算的RBAC改進(jìn)模型、基于本域權(quán)責(zé)和既往訪問行為分析的信任計(jì)算算法、系統(tǒng)的架構(gòu)及接口等。本文僅就系統(tǒng)的整體架構(gòu)、組成和流程進(jìn)行了分析和設(shè)計(jì)。經(jīng)過實(shí)踐表明該架構(gòu)體系具有良好的網(wǎng)絡(luò)適應(yīng)性以及較高的域間訪問控制交互成功率。后續(xù)將在另文介紹其它研究成果。
[1] Mieso K Denko,Tao Sun,Issac Woungang.Trustmanagement i n u b i q u i t o u s c o m p u t i n g:A Bayeian approach[J].Computer Communications,2011,34(3)∶398-406.
[2] Florina Almenarez,Andres Marin. Trustmanagement for multi media P2P applications in autonomicnet working[J].Ad Hoc Networks,2011,9(4):687-697
[3]馬滿福,張龍.物聯(lián)網(wǎng)中基于網(wǎng)關(guān)的跨域信任模型[J].計(jì)算機(jī)工程與設(shè)計(jì),2013,11(34):3829~3834;
[4]盧曉霞,韓堅(jiān)華.Web服務(wù)中基于信任的跨域安全認(rèn)證模型[J].微 型 機(jī) 與 應(yīng) 用.2012,3(31):50~55;
吉林省教育廳科研項(xiàng)目(吉教科合字[2014]第337號(hào));吉林省科技攻關(guān)計(jì)劃項(xiàng)目(20140204060SF);
徐學(xué)東(1976-),男(漢),安徽阜南人,副教授,碩士,主要研究領(lǐng)域?yàn)檫^程控制,信息安全