孫偉++蘇輝

摘要：針對現(xiàn)有角色挖掘結(jié)果存在冗余、缺乏約束性等問題，結(jié)合RBAC系統(tǒng)狀態(tài)安全性等方面的研究，提出一種基于子集枚舉的角色挖掘研究方法，給出了枚舉角色挖掘的算法描述。該方法使用職責(zé)分離約束限制完成任務(wù)所需的最小用戶數(shù)，利用互斥角色約束限制用戶允許擁有的最大角色數(shù)，并給出了最小約束構(gòu)造算法及其正確性證明，能夠滿足系統(tǒng)的安全性與約束性要求。

關(guān)鍵詞：角色挖掘 子集枚舉 安全性 約束性

中圖分類號：TP309 文獻(xiàn)標(biāo)識碼：A 文章編號：1007-9416（2016）12-0064-02

基于角色的訪問控制（RBAC）是當(dāng)前主流的訪問控制機(jī)制之一。為了在傳統(tǒng)非RBAC系統(tǒng)中實(shí)施RBAC策略，需要構(gòu)造合適的角色集并輔助構(gòu)建RBAC系統(tǒng)，稱之為角色工程。通常存在自頂向下與自底向上兩種角色工程方法[1-2]。自頂向下方法從工程用例的需求分析出發(fā)，根據(jù)執(zhí)行任務(wù)所需的不同權(quán)限設(shè)計角色系統(tǒng)[3-4]。自上而下的方法得出的角色集雖然更加符合企業(yè)和組織的實(shí)際情況，但是該方法需要大量的專家對業(yè)務(wù)邏輯進(jìn)行分析，而這種成本對中小型企業(yè)也許是無法承擔(dān)的，一旦組織內(nèi)的業(yè)務(wù)和職能有所變化就需要重新進(jìn)行業(yè)務(wù)分析得到新的角色集以適應(yīng)這種變化。相比于自頂向下實(shí)施起來非常困難、容易出錯、成本代價高的缺點(diǎn)，自底向上方法從底層的用戶-權(quán)限分配關(guān)系出發(fā)，利用數(shù)據(jù)挖掘技術(shù)提取滿足已有訪問模式的不同權(quán)限而形成角色系統(tǒng)，并稱此方法為角色挖掘。與自頂向下的人工處理方式相比，角色挖掘能夠自動、快速地構(gòu)建或輔助構(gòu)建RBAC系統(tǒng)，現(xiàn)已成為角色工程技術(shù)的主要研究方向[5]。

現(xiàn)有角色挖掘方法按輸出結(jié)果可分為兩類：第一類僅輸出挖掘角色集，不考慮角色層次關(guān)系，這類算法包括Complete Miner（CM）、Fast Miner（FM）等；第二類輸出構(gòu)建的系統(tǒng)狀態(tài)，允許存在角色層次，這類算法包括ORCA、Graph Optimization（GO）、HP Role Minimization（HPRM）、HP Edge Minimization（HPEM）、Hierarchical Miner（HM）。本文結(jié)合RBAC系統(tǒng)狀態(tài)安全性等方面的研究，提出一種基于子集枚舉的角色挖掘研究方法，以滿足應(yīng)用系統(tǒng)的約束性要求。

1 基于子集枚舉的角色挖掘

文獻(xiàn)[6]通過枚舉底層的不同權(quán)限子集挖掘角色，并允許角色重疊，提出完全挖掘和快速挖掘兩種算法。前者雖能從用戶-權(quán)限分配關(guān)系中窮舉所有待選角色集，但時間復(fù)雜度為指數(shù)級，挖掘效率低；后者改進(jìn)挖掘過程，統(tǒng)計關(guān)聯(lián)角色的用戶數(shù)，雖未能窮舉所有角色，但挖掘效率優(yōu)于前者。

為了體現(xiàn)枚舉挖掘的高效性與完整性，基于枚舉法的角色挖掘基本思想：對于給定的訪問控制矩陣（M（UPAoriginal）），根據(jù)哈希映射規(guī)則將M（UPAoriginal）轉(zhuǎn)換為原始用戶-權(quán)限關(guān)聯(lián)（UPAoriginal）；將分配給用戶的不同權(quán)限集作為整體視為角色，確立原始角色集（InitRoles），并計算關(guān)聯(lián)不同角色的用戶數(shù)；結(jié)合集合論的枚舉法，通過二重循環(huán)將任意兩原始角色做交集，產(chǎn)生新角色（NewRole），確定候選角色集（CandRoles），進(jìn)而構(gòu)建URAoriginal和PRAoriginal。以下給出枚舉挖掘法的算法（EBRM Algorithm）描述。

EBRM Algorithm

輸入：M（UPA）

輸出：URA，Cand_Roles

1）根據(jù)哈希映射規(guī)則將M（UPA）轉(zhuǎn)換為UPA

2）創(chuàng)建Init_Roles

Begin

初始化Init_Roles=（；

for（UPA中的任意用戶u）

if（assigned_permissions（u）（Init_Roles） then

Init_Roles=Init_Roles（{assigned_permissions（u）}；

End

3）創(chuàng)建New_role，Cand_Roles，并指派URA

Begin

初始化New_role=null，Cand_Roles=（，URA=（；

for（Init_Roles的任意角色ri）

{Init_Roles= Init_Roles＼{ri}；

Cand_Roles=Cand_Roles（{ri}；

for（Init_Roles的任意角色rj）

{New_role= ri（rj；

if（（New_role（Cand_Roles）（（New_role！=rj）） then

{Cand_Roles=Cand_Roles（{New_role}（{rj}；

；

}

else if（New_role（Cand_Roles） then

；

else if（New_role==rj） then

；

}

}

End

2 系統(tǒng)狀態(tài)的安全性

隨著信息技術(shù)的不斷發(fā)展和大規(guī)模應(yīng)用，系統(tǒng)的安全性備受關(guān)注。RBAC系統(tǒng)的安全性受角色工程方法的影響，而角色結(jié)果又取決于互斥約束的設(shè)置，不同的挖掘結(jié)果可能破壞系統(tǒng)安全。角色職責(zé)分離（k-n RSSOC）和互斥角色約束（t-m SMER）[7]是保證狀態(tài)（安全的兩項基本策略，能夠檢測不符合要求的角色。借助職責(zé)分離研究如何設(shè)置互斥約束，可以保證系統(tǒng)的安全性。以下給出兩命題。

命題1 當(dāng)t=2時，c1=smer<{r1，r2，…，rn}，t>可準(zhǔn)確實(shí)施e1=rssoc<{r1，r2，…，rn}，n>。

4 結(jié)語

本文提出的研究方法基于子集枚舉思想，給出了一種EBRM算法，并通過職責(zé)分離與互斥角色挖掘滿足約束要求的角色結(jié)果。然而，本文方法未能體現(xiàn)RBAC機(jī)制的權(quán)限分配勢約束要求，存在局限性。因此，如何優(yōu)化角色挖掘，以滿足系統(tǒng)對權(quán)限所分配角色數(shù)的限制要求，進(jìn)一步增強(qiáng)挖掘結(jié)果的可解釋性及系統(tǒng)的安全性是下一步需要研究的問題。

參考文獻(xiàn)

[1]Li R，Li H，Gu X，et al.Role Mining Based on Cardinality Constraints[J].Concurrency and Computation：Practice and Experience，2015，27（12）：3126-3144.

[2]Lu H，Hong Y，Yang Y，et al.Towards User-oriented RBAC Model[J].Journal of Computer Security，2015，23（1）：107-129.

[3]Lu H，Vaidya J，Atluri V.An Optimization Framework for Role Mining[J].Journal of Computer Security，2014，22（1）：1-31.

[4]Neumann G，Strembeck M.A Scenario-driven Role Engineering Process for Functional RBAC Roles[C]//Proceedings of the 7th ACM Symposium on Access Control Models and Technologies.New York：ACM Press，2002：33-42.

[5]馬曉普，李瑞軒，胡勁緯.訪問控制中的角色工程[J].小型微型計算機(jī)系統(tǒng)，2013，34（6）：1301-1306.

[6]Vaidya J，Atluri V，Warner J.Role Miner：Mining Roles Using Subset Enumeration[C]//Proceedings of the 13th ACM Conference on Computer and Communications Security.Alexandria：ACM press，2006：144-153.

[7]Li N，Tripunitara M V，Bizri Z.On Mutually Exclusive Roles and Separation of Duty[J].ACM Transaction on Information and System Security，2007，10（2）：42-51.