岳　瑋, 王鳳英

(山東理工大學(xué) 計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院， 山東 淄博 255049)

ABPAC:一種基于屬性的起源訪問控制模型

岳瑋, 王鳳英

(山東理工大學(xué) 計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院， 山東 淄博 255049)

摘要：在復(fù)雜多變的網(wǎng)絡(luò)環(huán)境下，起源數(shù)據(jù)的規(guī)模、復(fù)雜度、敏感度逐漸提升，對起源數(shù)據(jù)的訪問控制比傳統(tǒng)數(shù)據(jù)的訪問控制更加復(fù)雜.為了防止細(xì)粒度的起源數(shù)據(jù)遭受未授權(quán)用戶的非法訪問，結(jié)合W3C標(biāo)準(zhǔn)下起源核心數(shù)據(jù)模型PROV-DM中定義的起源基本屬性，提出了一種基于屬性的起源訪問控制模型ABPAC和ABPAC模型的屬性描述模型.從六個(gè)方面對ABPAC模型進(jìn)行形式化描述，劃分了用戶屬性，并通過起源屬性匹配方法實(shí)現(xiàn)了用戶靈活、準(zhǔn)確地對起源數(shù)據(jù)進(jìn)行訪問，最后給出了模型的實(shí)現(xiàn)流程.分析表明，該模型能夠較好的滿足對細(xì)粒度起源數(shù)據(jù)的訪問需求.

關(guān)鍵詞：起源數(shù)據(jù)； 訪問控制； PROV-DM； ABPAC； 屬性描述模型； 起源屬性匹配方法

數(shù)據(jù)起源是研究數(shù)據(jù)演變到當(dāng)前狀態(tài)所涉及的一系列歷史數(shù)據(jù)及數(shù)據(jù)之間的依賴關(guān)系.迄今為止，對于起源的研究主要集中在建模，語義描述，工作流，計(jì)算，存儲，查詢等方面.隨著信息的爆炸式增長，與信息本身密切相關(guān)的起源信息勢必成指數(shù)型增長趨勢.近幾年來，數(shù)據(jù)起源在生物[1]，醫(yī)學(xué)[2]，天文[3]等諸多領(lǐng)域的都有著深入研究和廣泛應(yīng)用，對于起源數(shù)據(jù)的安全性要求也逐漸提升.目前很多領(lǐng)域內(nèi)的起源研究人員仍不能有效地保證起源信息的安全性，各種起源安全問題的頻繁發(fā)生阻礙了人們對數(shù)據(jù)演變歷史的追蹤，訪問控制技術(shù)是保證起源信息安全授權(quán)訪問的有效途徑之一.

1相關(guān)問題及研究現(xiàn)狀

1.1數(shù)據(jù)起源及相關(guān)安全問題研究

近幾年，國際上研究數(shù)據(jù)起源最具有影響力的組織IPAW(國際起源標(biāo)注工作組)對數(shù)據(jù)起源的標(biāo)準(zhǔn)化和應(yīng)用等方面展開了深入的研究.其中，影響較為廣泛的數(shù)據(jù)起源相關(guān)內(nèi)容有：2006年第一屆IPAW會議上提出的Theopenprovenancemodel[4](OPM，開放起源模型)，構(gòu)建了一套獨(dú)立的技術(shù)規(guī)范和圖形符號，并進(jìn)行了形式化描述，基本上形成了業(yè)界起源信息交換的標(biāo)準(zhǔn)雛形.2012年，第四屆IPAW會議，在OPM模型的基礎(chǔ)上推出PROV家族[5](主要包括起源數(shù)據(jù)模型、單向起源圖到RDF的映射、本體語言、訪問和查詢機(jī)制、條件限制、起源標(biāo)注等),從此PROV家族正式成為W3C標(biāo)準(zhǔn)中的一員，并作為數(shù)據(jù)起源研究的技術(shù)規(guī)范.圖1為PROV家族的核心成員PROV-DM(數(shù)據(jù)起源核心數(shù)據(jù)模型)。 它定義了三種類型的起源過程節(jié)點(diǎn)：實(shí)體(entity),活動(activity),代理(agent)和七類過程節(jié)點(diǎn)之間的依賴關(guān)系，它們共同組成一個(gè)完整的起源數(shù)據(jù)關(guān)系圖，把這種類型的關(guān)系圖稱為一個(gè)起源節(jié)點(diǎn).為了描述方便，把起源過程節(jié)點(diǎn)和依賴關(guān)系均稱為起源實(shí)體,更加詳細(xì)的定義可參考文獻(xiàn)[6]，圖1為數(shù)據(jù)起源核心數(shù)據(jù)模型.

圖1　數(shù)據(jù)起源核心數(shù)據(jù)模型PROV-DM

圖1所示的起源過程節(jié)點(diǎn)和依賴關(guān)系介紹詳見參考文獻(xiàn)[5]：

(1)實(shí)體和活動

假設(shè)要描述某事物的起源，這里的“事物”被稱為實(shí)體，“事物”是一個(gè)廣泛的概念，它可以是諸如文件或網(wǎng)頁的數(shù)字對象，也可以是一個(gè)具體的實(shí)物，還可以是一個(gè)抽象的概念和想法.活動是在一段時(shí)間內(nèi)使用實(shí)體或作用于實(shí)體的事件，包括實(shí)體的消耗、加工、轉(zhuǎn)換、修改、遷移、使用等.

實(shí)體和活動在PROV中的關(guān)系有：活動使用實(shí)體(具有關(guān)系Used),代表活動使用實(shí)體的開始.活動產(chǎn)生實(shí)體(具有關(guān)系wasGeneratedBy)，代表活動產(chǎn)生實(shí)體的完成.活動之間具有關(guān)系WasInformedBy，代表一個(gè)活動的結(jié)束告知另一個(gè)活動開始執(zhí)行.當(dāng)一個(gè)活動使用一個(gè)實(shí)體時(shí)會影響另一個(gè)實(shí)體的產(chǎn)生，而“影響”這一概念可以由派生(具有關(guān)系WasDerivedFrom)來勝任.派生指的是一個(gè)實(shí)體到另一實(shí)體的轉(zhuǎn)化關(guān)系，可以是一個(gè)實(shí)體通過更新生產(chǎn)新的實(shí)體，也可以是基于一個(gè)已存在的實(shí)體創(chuàng)建出一個(gè)新的實(shí)體.

(2)代理和責(zé)任

就很多目的而言，決定某些事是否可靠或值得信任的關(guān)鍵考慮因素是知道是誰或什么負(fù)責(zé)它們的生成.而這個(gè)關(guān)鍵的因素在PROV中被稱為代理，代理是在某個(gè)活動發(fā)生過程中承載某種責(zé)任的人或物.它為一個(gè)活動的發(fā)生(具有關(guān)系WasAssociatedWith)，一個(gè)實(shí)體的存在(具有關(guān)系WasAttributedTo)，另一個(gè)代理的活動(具有關(guān)系A(chǔ)ctedOnBehalfOf)承擔(dān)某種形式的責(zé)任.

由于2012年W3C國際標(biāo)準(zhǔn)才正式將PROV家族成員納入麾下，因此國內(nèi)外對于結(jié)合PROV的數(shù)據(jù)起源研究尚處于起步階段，以PROV為標(biāo)準(zhǔn)的起源安全研究甚少.國內(nèi)外對于起源數(shù)據(jù)安全性保護(hù)研究亦處于起步階段.

國外針對起源安全性方面的研究有：Hasan等人在文獻(xiàn)[7]中初步建立了安全起源模型，主要考慮安全起源面臨的問題和挑戰(zhàn)，以及如何保護(hù)起源數(shù)據(jù)，并強(qiáng)調(diào)了安全起源信息的不可逆性.文獻(xiàn)[8]主要分析了安全起源面臨的幾個(gè)威脅因素，探討了起源數(shù)據(jù)的保密性問題

國內(nèi)針對起源安全性方面的研究有：文獻(xiàn)[9]在OPM(開發(fā)起源模型)的基礎(chǔ)上進(jìn)行安全起源的擴(kuò)展，建立了滿足機(jī)密性和完整性的安全起源模型，給出了驗(yàn)證機(jī)密性的算法.文獻(xiàn)[10]研究了起源數(shù)據(jù)的保密性、完整性以及起源審核密鑰分發(fā).

以上研究主要針對安全起源數(shù)據(jù)模型以及起源數(shù)據(jù)完整性和機(jī)密性等方面進(jìn)行探索.沒有涉及起源數(shù)據(jù)授權(quán)訪問方面的研究.在避免起源數(shù)據(jù)遭受未授權(quán)者的非法訪問方面的研究甚少.文獻(xiàn)[11-12] 雖然涉及起源數(shù)據(jù)的訪問控制研究，但訪問粒度不夠細(xì)化，無法滿足對細(xì)粒度的起源數(shù)據(jù)的訪問控制需求.為了更好地保證起源數(shù)據(jù)訪問的合法性，避免未授權(quán)者對起源數(shù)據(jù)的非法訪問，迫切需要一種適合細(xì)粒度起源數(shù)據(jù)的訪問控制方案，基于屬性的起源訪問控制(ABPAC)可以有效地解決這類問題.

1.2基于屬性的訪問控制及其應(yīng)用于數(shù)據(jù)起源的優(yōu)勢分析

ABAC是一種廣泛應(yīng)用于分布式環(huán)境中的訪問控制模型，通過屬性把分布式環(huán)境中抽象出來的主體(請求訪問的用戶或代理)，客體(被訪問對象)，環(huán)境(訪問控制執(zhí)行的上下文環(huán)境，主要包括網(wǎng)絡(luò)的安全級別以及訪問時(shí)間等)，操作(主體對客體施加的訪問類型，如對資源進(jìn)行查看，讀，寫)等實(shí)體進(jìn)行統(tǒng)一描述，并利用屬性定義系統(tǒng)的訪問控制策略，實(shí)現(xiàn)系統(tǒng)的訪問控制過程.

傳統(tǒng)的訪問控制模型中應(yīng)用較為廣泛和靈活的是RBAC模型.該模型通過引入角色的概念實(shí)現(xiàn)了用戶與權(quán)限的邏輯分離，減輕了用戶權(quán)限分配負(fù)擔(dān)，但在起源訪問控制研究[11-12]中，RBAC模型存在一些嚴(yán)重缺陷，針對這些缺陷，ABAC架構(gòu)提供了相應(yīng)的對策：

(1)由于起源節(jié)點(diǎn)結(jié)構(gòu)的復(fù)雜性，每一個(gè)起源節(jié)點(diǎn)都有可能包含實(shí)體，代理，活動三種類型的過程節(jié)點(diǎn)和七類節(jié)點(diǎn)之間的依賴關(guān)系.每個(gè)過程節(jié)點(diǎn)和依賴關(guān)系都可以定義自身的屬性及屬性值，同樣每一個(gè)用戶也可能會擁有多種相關(guān)的屬性及屬性值.經(jīng)過不同屬性值之間的組合，可能會形成大量復(fù)雜的用戶角色和訪問權(quán)限，使得用戶-角色設(shè)置及角色-權(quán)限分配變得十分繁瑣，而ABAC取消了角色的概念，統(tǒng)一用屬性描述各種實(shí)體的特性，簡化了權(quán)限分配的過程.

(2)由于起源信息可能是隨著網(wǎng)絡(luò)環(huán)境的變化不斷改變的，RBAC完全基于靜態(tài)角色進(jìn)行授權(quán)，無法滿足起源實(shí)體的動態(tài)訪問控制需求，而ABAC能夠根據(jù)用戶屬性，起源實(shí)體屬性以及授權(quán)環(huán)境屬性動態(tài)、靈活地對用戶進(jìn)行授權(quán)，滿足對起源節(jié)點(diǎn)中的起源過程節(jié)點(diǎn)及依賴關(guān)系的動態(tài)訪問控制需求

(3)對于某項(xiàng)細(xì)粒度的起源信息(如某個(gè)過程節(jié)點(diǎn)的具體屬性)當(dāng)涉及多個(gè)用戶的不同意見時(shí)，RBAC不能提供復(fù)合的訪問控制策略滿足不同用戶的意見，而ABAC能利用屬性表達(dá)式組合而成的起源訪問控制規(guī)則，定義復(fù)雜的訪問控制策略,最大程度的滿足多個(gè)用戶的訪問需求.

本文在ABAC模型的基礎(chǔ)上，結(jié)合起源數(shù)據(jù)的結(jié)構(gòu)特點(diǎn)及屬性類型，提出一種基于屬性的起源訪問控制模型(ABPAC) .

2基于屬性的起源訪問控制模型ABPAC

2.1ABPAC的屬性描述模型

建立一個(gè)良好的針對起源數(shù)據(jù)的屬性描述模型是實(shí)現(xiàn)ABPAC模型的基礎(chǔ).ABPAC模型實(shí)現(xiàn)的核心是起源訪問控制策略，它由多條起源訪問規(guī)則組成，而規(guī)則的主要組成元素是主體(這里指訪問起源實(shí)體的用戶)，客體(起源實(shí)體)，環(huán)境以及操作的相關(guān)屬性及屬性值.下面采用樹型結(jié)構(gòu)對ABPAC中的四類關(guān)鍵實(shí)體.用戶、起源實(shí)體、環(huán)境、操作的屬性進(jìn)行描述，如圖2所示.圖中矩形框代表屬性分類，圓角矩形框代表屬性類型，虛線代表用戶起源實(shí)體約束屬性和起源實(shí)體屬性的匹配關(guān)系.模型可以根據(jù)實(shí)際應(yīng)用進(jìn)行擴(kuò)展.

(1)用戶屬性：本文參考文獻(xiàn)[13]把用戶屬性劃分為基本屬性和起源訪問約束屬性，其中基本屬性指用戶名，用戶密碼，用戶IP地址.起源訪問約束屬性是用戶對起源實(shí)體訪問權(quán)限相關(guān)的屬性，它分為四個(gè)部分，分別為時(shí)間約束屬性(包括起始訪問時(shí)間和終止訪問時(shí)間)，空間約束屬性(指用戶可以訪問的起源實(shí)體的范圍，可以是整條起源鏈，部分起源節(jié)點(diǎn)，某個(gè)起源節(jié)點(diǎn))，起源實(shí)體約束屬性(細(xì)分為標(biāo)簽約束屬性，位置約束屬性，類型約束屬性，屬性值約束屬性)，其他起源實(shí)體相關(guān)的約束屬性.起源實(shí)體約束屬性值要與所訪問的起源實(shí)體的屬性值一致或者在預(yù)先定義的起源實(shí)體屬性值范圍之內(nèi)，以避免產(chǎn)生起源訪問控制策略沖突.

(2)環(huán)境屬性：環(huán)境屬性在本模型中主要指用戶訪問起源實(shí)體時(shí)的上下文信息，包括當(dāng)前訪問時(shí)間以及當(dāng)前網(wǎng)絡(luò)的狀態(tài).

表1起源實(shí)體基本屬性類型表

屬性類型適用范圍屬性值類型prov:labelAnyconstructStringprov:locationEntity,Activity,Agent,Usage,Gener-ation,Invalidation,Start,EndAvalueprov:roleUsage,Generation,Invalidation,Asso-ciation,Start,EndAvalueprov:typeAnyconstructAvalueprov:valueEntityAvalue

(3)起源實(shí)體屬性：在PROV家族的PROV-DM文檔命名空間中，預(yù)定義了五類基本的起源實(shí)體屬性類型，屬性值類型及適用范圍見表1所示，在實(shí)際應(yīng)用中屬性的使用范圍和屬性取值必須和表1中定義的一致.

圖2　ABPAC模型的屬性描述模型

圖3　基于屬性的起源訪問控制模型

2.2ABPAC基于屬性的起源訪問控制模型

2.2.1模型形式化定義

在ABPAC模型中，用戶，起源實(shí)體，環(huán)境，操作四類關(guān)鍵實(shí)體主要以屬性的方式呈現(xiàn).用戶首先以基本屬性通過身份認(rèn)證機(jī)制進(jìn)入起源訪問控制模塊，然后根據(jù)起源訪問約束屬性，起源實(shí)體屬性，環(huán)境屬性，操作屬性形成基于屬性的起源訪問請求條件，最后結(jié)合相關(guān)的起源訪問控制策略對起源實(shí)體實(shí)施訪問控制操作.下面從六個(gè)方面對模型中相關(guān)元素進(jìn)行形式化定義.

定義1(屬性)

(1)用戶屬性：將所有用戶屬性集合記為Ua，用戶屬性細(xì)分為用戶基本屬性集合UBa(分為用戶IP地址Ip={ipi|i=1…m}，用戶名Name={namei|i=1…n},用戶密碼Password={passwordi|i=1…n})和起源訪問約束屬性集合PCa.其中起源訪問約束屬性又細(xì)分為時(shí)間約束屬性PCa_time(分為起始訪問時(shí)間PCa_stime和終止訪問時(shí)間PCa_ftime)、空間約束屬性PCa_space、起源實(shí)體約束屬性PCa_entity(細(xì)分為標(biāo)簽約束屬性PCa_label,位置約束屬性PCa_loc,角色約束屬性PCa_role,類型約束屬性PCa_type,屬性值約束屬性PCa_value)其中PCa_entity類型的屬性值要與下面定義的起源實(shí)體屬性值匹配.

(2)起源實(shí)體屬性:參照PROV-DM文獻(xiàn)定義，基本的起源實(shí)體屬性PEa可以細(xì)分為五大類、實(shí)體標(biāo)簽屬性prov:label、實(shí)體位置屬性prov:location、實(shí)體類型屬性prov:type、實(shí)體角色屬性prov:role、實(shí)體屬性值屬性prov:value五種起源實(shí)體屬性的使用范圍和屬性值取值可參考表1來定義.

(3)環(huán)境屬性：環(huán)境屬性記包括兩類環(huán)境屬性Ea分為當(dāng)前時(shí)間屬性O(shè)ntime和當(dāng)前網(wǎng)絡(luò)狀態(tài)屬性Netstate.

(4)操作屬性：操作屬性集合記為Aa，定義三種布爾類型的操作屬性Pb、Pr、Pm分別表示對起源節(jié)點(diǎn)進(jìn)行瀏覽，讀取和修改操作三種屬性變量的取值為true或false.

定義2(起源屬性表達(dá)式)一個(gè)屬性表達(dá)式ae定義為由屬性變量名aname，關(guān)系表達(dá)式運(yùn)算符ropt，屬性值avalue組成的三元組ae={aname,ropt,avalue}.關(guān)系表達(dá)式運(yùn)算符有很多種如>,<,=,>=,<=,in,notin,between等.如用戶可訪問的起源實(shí)體類型是起源過程節(jié)點(diǎn)中的entity類型，可用屬性表達(dá)式ae={PCa_type=entity}表達(dá).

定義3(起源訪問控制請求)一個(gè)起源訪問控制請求定義為一個(gè)屬性集合APAR,它由用戶屬性(Ua)，起源訪問約束屬性(PCa)，環(huán)境屬性(Ea)及操作屬性(Aa)的具體屬性及屬性值組成.如一個(gè)用戶的原始訪問請求為“IP地址為192.168.2.1的Auditor2用戶在下午3點(diǎn)，網(wǎng)絡(luò)狀態(tài)良好的情況環(huán)境下，請求查看Document4文檔的一篇起源文檔Document3，用屬性表達(dá)式可以表達(dá)為：apar={ip=192.168.2.1,name=Auditor2,ontime=3pm,netstate=良好,Pb=true,PCa_label=＂Document3＂}.

定義4 (起源屬性匹配方法)定義Value(anamei)(i=1…m)函數(shù)負(fù)責(zé)獲取起源實(shí)體屬性及起源實(shí)體約束屬性的屬性值avaluei(i=1…n).定義一個(gè)返回值類型為bool型的起源屬性值匹配函數(shù)Pa_match(attvaluei,attvaluej) (i=1…m,j=1…n)主要負(fù)責(zé)匹配用戶訪問請求條件中的起源實(shí)體約束屬性值和起源實(shí)體預(yù)定義的屬性值，若屬性值一致或用戶起源實(shí)體約束屬性值在起源實(shí)體屬性值范圍之內(nèi),返回ture,接著執(zhí)行訪問控制規(guī)則,否則不允許執(zhí)行訪問.例如匹配用戶起源請求訪問條件中的角色約束屬性值與起源實(shí)體預(yù)定義的角色屬性值的方法可以定義為boolPa_match(Value(PCa_role),Value(prov:role)).

定義5(起源訪問控制規(guī)則)一個(gè)起源訪問控制規(guī)則prule限定了用戶對起源實(shí)體的訪問條件，它首先由用戶，起源實(shí)體，環(huán)境，操作四種實(shí)體的屬性及屬性值組成屬性表達(dá)式ae，然后由ae和三種邏輯運(yùn)算符and(邏輯與),or(邏輯或)或not(邏輯非)連接而成.定義形式為：prulei={ae1}and[not]{ae2}or{ae3}例如定義一條起源訪問控制規(guī)則“不允許用戶名為Mike的用戶對Documet2(一篇文檔的起源)進(jìn)行修改操作”可表示為prule= [not]{name=Mike}and{prov:label=＂Documet2＂}and{Pm=false}.

定義6(起源訪問控制策略)：一個(gè)起源訪問控制策略由若干個(gè)起源訪問控制規(guī)則經(jīng)過規(guī)則組合算法合成，定義Policy為一個(gè)起源策略集合，它是若干個(gè)策略pi按照某種策略組合算法聚合而成，其中pi|={prule1,prule2…prulen}.

通過模型的形式化定義和起源實(shí)體的屬性規(guī)則可以從多種角度靈活地制定起源實(shí)體訪問控制策略，實(shí)現(xiàn)對具體的起源過程節(jié)點(diǎn)或依賴邊屬性的動態(tài)、細(xì)粒度的訪問控制.同時(shí)通過起源屬性匹配方法可以把用戶對起源實(shí)體的訪問權(quán)限限制在他所能訪問的最小范圍內(nèi)，從而最大程度的阻止不滿足起源屬性匹配規(guī)則的用戶以非法的身份和手段對起源實(shí)體進(jìn)行訪問和操作.

2.2.2ABPAC模型的訪問控制實(shí)現(xiàn)流程

根據(jù)上面對ABPAC模型的形式化定義，結(jié)合ABPAC屬性描述模型，給出了ABPAC模型的訪問控制實(shí)現(xiàn)過程，如圖4所示.

圖4　ABPAC模型訪問控制實(shí)現(xiàn)過程

(1)ABPAC訪問控制實(shí)現(xiàn)過程中的組件描述

主要組件有PEP(策略執(zhí)行點(diǎn))，PDP(策略判定點(diǎn))，PAP(策略管理點(diǎn))，AA(屬性權(quán)威).PEP負(fù)責(zé)接收用戶發(fā)來的原始起源訪問請求(NPAR)，然后根據(jù)AA提供的用戶相關(guān)的起源訪問約束屬性及屬性值將NPAR轉(zhuǎn)換成基于屬性的起源訪問請求APAR,同時(shí)接收來自PDP的訪問決策結(jié)果，根據(jù)決策結(jié)果執(zhí)行起源訪問控制過程.PDP接收PEP傳來的APAR，根據(jù)PAP提供的相應(yīng)起源訪問控制策略并結(jié)合AA提供的起源實(shí)體屬性及屬性值，對APAR做出訪問控制決策，最后把決策結(jié)果返回給PEP執(zhí)行.PAP負(fù)責(zé)制定和管理具體的起源訪問控制策略，并及時(shí)與PDP進(jìn)行策略交互.AA組件主要負(fù)責(zé)分類管理屬性、屬性值、把用戶的原始訪問請求通過屬性表達(dá)式轉(zhuǎn)換成基于屬性的起源訪問請求，并負(fù)責(zé)匹配用戶起源訪問約束屬性和起源實(shí)體屬性，把匹配結(jié)果返回給PEP.

(2)實(shí)現(xiàn)流程

Step1:PEP接收來自用戶發(fā)送的原始起源訪問控制請求NPAR,并發(fā)送至AA，在AA中通過相應(yīng)的轉(zhuǎn)換規(guī)則，把NPAR轉(zhuǎn)換成基于屬性的起源訪問控制請求APAR,返回給PEP，等待訪問控制決策.

Step2:在AA中應(yīng)用起源屬性匹配方法Pa_match( )對APAR中的起源訪問約束屬性PCa和起源實(shí)體屬性PEa進(jìn)行屬性匹配,若匹配結(jié)果為true,則執(zhí)行Step3.否則，退出訪問.

Step3:PEP向PDP發(fā)送APAR.

Step4:PDP接收到APAR后，向AA發(fā)送屬性請求AA返回相關(guān)的屬性集合.

Step5:PDP向PAP發(fā)送起源訪問策略請求，PAP向PDP發(fā)送相應(yīng)起源訪問控制策略集合.

Step6:在PDP中根據(jù)AA和PAP提供的相關(guān)起源屬性和起源訪問控制策略，做出訪問控制決策，并發(fā)送給PEP執(zhí)行訪問.

3模型特點(diǎn)分析

ABPAC模型是一種基于屬性的起源數(shù)據(jù)訪問控制模型，與RBAC在起源數(shù)據(jù)訪問控制方面的應(yīng)用相比它有以下幾個(gè)特點(diǎn)：

(1)ABPAC模型把屬性貫穿至起源訪問控制流程的始終，能夠契合起源數(shù)據(jù)復(fù)雜、多變的結(jié)構(gòu)特點(diǎn).從用戶角度和起源實(shí)體角度分別定義起源實(shí)體相關(guān)的屬性，減少了RBAC模型中角色的定義步驟，使權(quán)限分配更加簡便和靈活.

(2)ABPAC模型定義了起源屬性表達(dá)式、起源訪問控制規(guī)則，方便用戶針對細(xì)粒度的起源實(shí)體定義復(fù)雜、語義豐富的訪問控制策略，能解決RBAC模型在起源訪問過程中難實(shí)現(xiàn)的復(fù)合策略定義難題.

(3)ABPAC模型定義了屬性匹配方法，實(shí)現(xiàn)了用戶屬性和起源實(shí)體屬性的關(guān)聯(lián)，用戶只需改變自身的屬性及屬性值便可訪問不同屬性類型的起源數(shù)據(jù).相比RBAC模型需要對起源數(shù)據(jù)和用戶進(jìn)行分類處理，ABPAC模型訪問效率明顯提高.

(4)相比RBAC模型在起源中的應(yīng)用，ABPAC模型的定義相對復(fù)雜，屬性管理方面的負(fù)擔(dān)較大.

4結(jié)束語

本文分析了起源數(shù)據(jù)的結(jié)構(gòu)特征及基于屬性的訪問控制在起源訪問中的應(yīng)用優(yōu)勢.提出了ABPAC模型，通過該模型的形式化定義，能夠表達(dá)語義豐富的起源實(shí)體訪問控制策略，從而實(shí)現(xiàn)對起源數(shù)據(jù)動態(tài)、細(xì)粒度、靈活的訪問控制.為細(xì)粒度起源數(shù)據(jù)的訪問控制研究提供了一種新的解決方案.下一步要做的工作是對模型的改進(jìn)及實(shí)施.

參考文獻(xiàn)：

[1]DanielD,AurelP.Betterprovenanceforbiobanksamples[J].Nature, 2011, 475 (7357): 454-455.

[2]WangM,BlountM,DavisJ,etal.Atime-and-valuecentricprovenancemodelandarchitectureformedicaleventstreams[C]//ResearchCollectionSchoolOfInformationSystems, 2007:95-100.

[3]AlexanderCM,BowdenR,FogelML,etal.Theprovenancesofasteroids,andtheircontributionstothevolatileinventoriesoftheterrestrialplanets[J].Science, 2012, 337(6095):721-723.

[4]SpecicationC,CliordB,FreireJ,etal.Theopenprovenancemodel[J].FutureGenerationComputerSystems, 2008, 27(6):743-756.

[5]W3CPROV-DM. [J/OL] (2012-03-26)[2014-03-21].http://www.w3.org/TR/prov-dm/.

[6]HasanR,SionR,WinslettM.Introducingsecureprovenance:problemsandchallenges[C]//InternationalWorkshoponStorageSecurity&Survivability, 2007:13-18.

[7]LiJ,ChenXF,HuangQ,etal.Digitalprovenance:Enablingsecuredataforensicsincloudcomputing[J].FutureGenerationComputerSystems, 2013, 37(7):259-266.

[8]劉通，王鳳英. 基于OPM的安全起源模型[J]．計(jì)算機(jī)應(yīng)用研究，2013, 30(10):3 117-3 120.

[9]WangFY,LiXM,LiH,etal.ResearchonprovenancesecurityofE-commerceinformation[J]．InformationTechnologyJournal, 2013, 12(23):67-70.

[10]BraunU,ShinnarA,SeltzerM.Securingprovenance[J].InternationalProvenance&AnnotationWorkshop, 2008, (4403):752.

[11]ChebotkoA,ChangS,LuS,etal.Scientificworkflowprovenancequeryingwithsecurityviews[C]//Web-AgeInformationManagement,InternationalConferenceonIEEE, 2008:349-356.

[12]劉莉蘋, 李國慶. 基于屬性的空間數(shù)據(jù)訪問控制研究[J]. 計(jì)算機(jī)工程與設(shè)計(jì), 2014(3):803-808.

[13]鐘將, 侯素娟. 開放網(wǎng)絡(luò)環(huán)境中基于屬性的通用訪問控制框架[J]. 計(jì)算機(jī)應(yīng)用, 2010(10):2 632-2 635.

(編輯：劉寶江)

ABPAC:Anattribute-basedprovenanceaccesscontrolmodel

YUEWei，WANGFeng-ying

(SchoolofComputerScienceandTechnology,ShandongUniversityofTechnology,Zibo255049,China)

Abstract:In the complicated and changeable environment, the size, complexity, and sensitivity of the provenance data gradually improved, accessed control to the provenance data is more complex than the traditional data. In order to prevent the fine-grained provenance data against illegal access by unauthorized users, combined with the basic properties of provenance that was defined in provenance core data model PROV-DM under W3C standard, we proposed an attribute-based provenance access control model ABPAC and an attribute description model of ABPAC. We made a formal description to the ABPAC model from six aspects, divided user attributes, and realized the user access provenance data flexible and accurately through the attribute match method of provenance. Finally, we provided the realization process. Analysis results show that the model can better meet the needs of fine-grained access to the provenance data.

Key words:provenance data; access control; PROV-DM; ABPAC; property description model; provenance attribute matching method

收稿日期：2015-11-08

基金項(xiàng)目：國家自然科學(xué)基金項(xiàng)目(61473179)；山東省自然科學(xué)基金項(xiàng)目(ZR2013FM013，ZR2014FM007)

作者簡介：岳瑋，女，1074231580@qq.com; 通信作者：王鳳英，女,wfy@sdut.edu.cn

文章編號：1672-6197(2016)05-0012-06

中圖分類號：TP393

文獻(xiàn)標(biāo)志碼：A