孫成

摘要

當(dāng)前，通信網(wǎng)絡(luò)技術(shù)正在迅猛發(fā)展，人們生活工作方式發(fā)生了巨大變化，如何能給用戶提供高質(zhì)量的服務(wù)和高效的位置隱私保護，是智能手機隱私保護技術(shù)發(fā)展的根本目的。本文針對智能手機通過瀏覽器訪問定位權(quán)限出現(xiàn)的位置隱私問題進行研究。對于通過瀏覽器定位獲取到的用戶的地理位置信息，包括經(jīng)度、緯度、地址以及時間數(shù)據(jù)，提出基于角色-頁面模型的的分時間段訪問控制方法，并提出不足之處和改進方法。

【關(guān)鍵詞】瀏覽器定位 角色-頁面模型 訪問控制 時間段

1 前言

當(dāng)前，大多數(shù)智能手機應(yīng)用或者網(wǎng)站為了給用戶提供更好的服務(wù)，總會頻繁地向用戶請求獲取地理位置的權(quán)限，可見LBS服務(wù)正發(fā)揮越來越重要的作用。但是大部分用戶在使用智能手機的過程中，并不會深究每款應(yīng)用或網(wǎng)站請求的權(quán)限，也不知道哪個權(quán)限獲取的數(shù)據(jù)會被作為商業(yè)利用或非法牟利。所以對于這些已存在和即將發(fā)生的問題，我們必須不斷提出創(chuàng)新的方案來保護用戶的位置隱私，同時又要避免影響應(yīng)用提供的服務(wù)質(zhì)量。本文提出了用戶本人在移動終端瀏覽器中訪問網(wǎng)站時，為其他的普通訪問用戶分配不同的角色，同時自定義授予不同角色的不同權(quán)限，從而不同角色對應(yīng)的普通用戶只能訪問到被用戶本人授權(quán)過的位置信息，這樣用戶就可以實現(xiàn)有效保護自身的位置隱私。

2 具體措施

用戶所屬角色的屬性存儲在角色服務(wù)器數(shù)據(jù)庫中。用戶登錄以后，其所屬的角色首先會通過角色服務(wù)器的驗證，如果認(rèn)證通過后，角色服務(wù)器為該用戶所屬的角色分配相關(guān)的屬性和權(quán)限。此時用戶就可以使用角色而不是用戶來訪問Web服務(wù)器，請求通過Web后用戶可以跟服務(wù)器進行數(shù)據(jù)交互了。Web服務(wù)器根據(jù)客觀的需求策略進行角色的分級以及對角色權(quán)限的規(guī)范約束。角色實際上可以定義為在使用RBAC訪問控制方法時，每個角色至少匹配一個用戶和一個許可權(quán)限。每個角色分配的用戶可能完全一樣，但是分配的權(quán)限肯定是不同的，這樣可以保持各個角色的獨立性，許可權(quán)限也存在這種情況。

訪問控制是指計算機系統(tǒng)在對用戶的身份認(rèn)證合法之后，通過引用監(jiān)控器對這些完成認(rèn)證的用戶授予不同等級的的訪問權(quán)限，即授予其訪問某些信息的權(quán)限，同時禁止其訪問其他信息的權(quán)限，達到阻止未授權(quán)用戶對敏感隱私信息的訪問的目的。安全性是每個應(yīng)用提供服務(wù)的根本保障，對Web應(yīng)用來說更為重要，因為在Internet中，每個用戶行為都是不可控的，所以除了加強接入、網(wǎng)絡(luò)端口和接點的訪問控制外，應(yīng)該加強對訪問權(quán)限的安全控制。

通過分析Web信息系統(tǒng)對數(shù)據(jù)庫的訪問得出，用戶通過訪問手機端瀏覽器頁面請求，在得到服務(wù)端應(yīng)用響應(yīng)后，才能實現(xiàn)與應(yīng)用的的數(shù)據(jù)交互。因而在符合基礎(chǔ)RBAC模型設(shè)計原則基礎(chǔ)上，設(shè)計出了如圖1所示的針對于Web應(yīng)用的基于角色一頁面的用戶權(quán)限管理E-R模型。

基于如上模型的RBAC分時間段訪問控制權(quán)限管理，設(shè)計了如下數(shù)據(jù)庫表。

（1）用戶表，存儲用戶的ID，賬號和密碼，對用戶進行管理，關(guān)系模式如下：

user table（USER_ID，USER_NAME，PASSWORD）

（2）角色表，存儲角色的ID和名稱，關(guān)系模式如下：

role table（ROLE_ID，ROLE_NAME）

（3）頁面表，存儲頁面的ID、路徑和功能，關(guān)系模式如下：

page table（PAGE_ID，PAGE_PATH，PAGE_FUNCTION）

（4）用戶角色關(guān)系表，存儲用戶ID和角色ID，關(guān)系模式如下：

user_role table（USER_ID，ROLE_ID）

（5）角色頁面關(guān)系表，存儲角色ID和頁面ID，關(guān)系模式如下：

role_page table（ROLE_ID，PAGE_ID）

（6）位置信息表，存儲經(jīng)度、緯度、地址和位置獲取時間，關(guān)系模式如下：

location table（LONGITUDE，LATITUDE，ADDRESS，TIMEINFO）

其中，user_role的外鍵由user table的主鍵USER_ID和role table的主鍵ROLE_ID構(gòu)成，role_page的外鍵由role table的主鍵ROLE_ID和page table的主鍵PAGE_ID構(gòu)成，頁面表中的信息從位置信息表中獲取。也就是，對某個用戶授予某個角色權(quán)限，然后為選定的角色設(shè)置相應(yīng)的查看權(quán)限，即位置信息，然后跳轉(zhuǎn)到相應(yīng)的頁面。

3 結(jié)語

本文在分析了基本的訪問控制模型以及傳統(tǒng)的基于RBAC的Web資源訪問控制方法后，提出并設(shè)計了基于角色一頁面模型的分時間段訪問控制方法。這個方法對傳統(tǒng)的RBAC模型進行了簡化，使編程的工作量大大減少，開發(fā)起來更加便捷速度。但是也存在一些不足，因為這種方法將用戶、角色和頁面綁定在一起，必須根據(jù)網(wǎng)頁劃分功能的粒度才能實現(xiàn)對權(quán)限的訪問控制。所以必須在設(shè)計階段對頁面功能做全面的劃分，做出充分的提前量。

參考文獻

[1]李潛.移動智能終端地理位置信息的隱私保護方法研究[D].山東大學(xué)，2016.

[2]羅智.移動終端位置服務(wù)的信息隱私保護方案的研究和原型實現(xiàn)[D].北京郵電大學(xué)，2015.

[3]倪晚成，劉連臣，劉偉.基于角色一頁面模型的WEB用戶訪問控制方法[J].計算機工程與應(yīng)用，2006（21）：124-126.

[4]查義國，徐小巖，張毓森.在Web上實現(xiàn)基于角色的訪問控制[J].計算機研究與發(fā)展，2002（03）：257-263.