UCON使用控制.pptx

1、Usage Control(UCON),Usage control: A vision for next generation access control,2,UCON介紹,2002年，Jaehong Park和Ravi Sundhu首次提出了UCON的概念。 UCON對(duì)傳統(tǒng)訪問控制進(jìn)行了擴(kuò)展，定義了3個(gè)決定因素: 授權(quán)規(guī)則(Authorization Rule) 職責(zé)（義務(wù)）(Obligation) 條件(Condition) 提出了訪問控制的2個(gè)重要屬性: 連續(xù)性(Continuity) 易變性(Mutability),UCON的核心模型,3,Usage Control的核心模型(也稱A

2、BC模型)包含： 三個(gè)基本元素： 主體S、客體O、權(quán)限R 三個(gè)授權(quán)相關(guān)的元素： 授權(quán)A、條件B、職責(zé)C 兩個(gè)屬性： 主體屬性ATT(S) 客體屬性ATT(O),主體(Subjects)：具有某些屬性和對(duì)客體操作權(quán)限的實(shí)體；屬性包括用戶名、用戶組、角色和安全級(jí)別等。,客體(Objects)：主體能夠控制權(quán)限，并能訪問和控制的實(shí)體；客體屬性：包括安全級(jí)別、所有關(guān)系、ACL等，用于授權(quán)控制。,權(quán)限(Rights) ：主體擁有的對(duì)客體控制和執(zhí)行的一些特權(quán)，如讀、寫、運(yùn)行等。,ABC模型的核心模型,4,Usage Control的核心模型(也稱ABC模型)包含： 三個(gè)基本元素： 主體S、客體O、權(quán)限 三

3、個(gè)授權(quán)相關(guān)的元素： 授權(quán)A、條件B、職責(zé)C 兩個(gè)屬性： 主體屬性ATT(S) 客體屬性ATT(O),授權(quán)規(guī)則A：允許主體使用客體特定權(quán)限必須滿足的規(guī)則集，它是判定主體是否能夠訪問客體的決定因素。,條件C：是指主體獲得或行使對(duì)客體的訪問權(quán)利前必須滿足的系統(tǒng)或執(zhí)行環(huán)境的強(qiáng)制約束條件。,職責(zé)(Obligations)：是指主體獲得或行使對(duì)客體的訪問權(quán)利前(preB)或過程中(onB)必須完成的操作。,UCONABC模型,5,連續(xù)性： 傳統(tǒng)訪問控制:授權(quán)決策在訪問操作執(zhí)行之前進(jìn)行判斷。 ABC訪問控制：使用控制決策不僅可以在訪問前進(jìn)行,在訪問過程中也可以。使用控制決策可以對(duì)使用前和使用過程兩個(gè)階段進(jìn)行

4、授權(quán),分別稱為預(yù)先授權(quán)和過程授權(quán)。,可變性： 傳統(tǒng)訪問控制：屬性只有通過管理行為才能被改變。 ABC訪問控制：可變性意味著主體、客體屬性作為訪問執(zhí)行的結(jié)果而發(fā)生改變。根據(jù)上述的三個(gè)階段可將屬性的變化分為三種類型:使用前更新,使用中更新,使用后更新。,ABC模型,6,16種基本的ABC模型,決策階段： preA ：使用前授權(quán) onA ：使用中授權(quán) preB ：使用前義務(wù) onB ：使用中義務(wù) preC ：使用前環(huán)境 onC ：使用中環(huán)境 屬性可變性： 0：不改變 1：使用前改變 2：使用中改變 3：使用后改變,ABC實(shí)現(xiàn)RBAC,通過UCONpreA0實(shí)現(xiàn)DAC的集合謂詞描述： S表示主體即用戶或用戶組，O表示客體，N表示身份標(biāo) 記集合，R為操作權(quán)限集； id表示用戶到標(biāo)記集合N之間的一對(duì)一映射關(guān)系； ACL表示客體與NR之間的映射關(guān)系，其中NR為用戶身份與操作權(quán)限的組合關(guān)系； ATT(S) = id； ATT(O) = ACL； allow (s，o，r) = (id(s)，r) ACL(o)，其中allow(s，o，r)表示主體s對(duì)客體o具有執(zhí)行r操作的權(quán)限。,7,總結(jié),8,ABC模型 可以實(shí)現(xiàn)DAC、MAC、RBAC、DRM這些訪問控制模型； 兩個(gè)核心內(nèi)容：主客體