一种多粒度多强度访问控制方法及系统技术方案

本发明专利技术提出一种多粒度多强度访问控制方法及系统，该方法包括步骤1，构建多粒度多强度访问控制模型，包括粗粒度低强度的访问控制模型与细粒度高强度的信息流控制模型，所述多粒度多强度访问控制模型包括的实体为客体的安全标记、主体的安全标记、全局访问控制模式；步骤2，设置访问控制规则，通过所述访问控制规则进行访问控制。本发明专利技术引入访问控制模式，集成粗粒度低强度的访问控制模型和细粒度高强度的信息流控制模型，得到新模型具备多粒度多强度的访问控制特点；方便全局粗粒度的数据隔离保护和细粒度的数据共享，具备了传统访问控制模型和分布式信息流控制模型的优点，通过设计适用于云平台的管控类型列表，能扩展到云平台的数据保护。

【技术实现步骤摘要】

本专利技术涉及访问控制，特别涉及一种多粒度多强度访问控制方法及系统。
技术介绍
数据安全由于其在实际应用中的基础性地位，已经成为最亟待突破和解决的首要问题。在研究和实践过程中，本专利技术的专利技术人发现：传统访问控制模型如自主访问控制模型，权限授予基本单位为用户，管控粒度较粗，但管理方便，实际应用较多；分布式信息流控制模型，可管控进程级的行为，管控粒度较细，但管理复杂，实际应用相对较少，此外，信息流控制模型对信息流的管控强度比自主访问控制模型更强，从机密性角度来说，在信息流模型中，一个进程在被授权读取一个机密性文件的同时，也限制了该进程的写行为，只能向相同或更高机密等级写数据，而在传统模型如自主访问控制模型中，一个进程在被授权读取一个机密性文件的同时，其写行为并没有受到限制，从完整性的角度来说，亦是如此，两种模型各有优缺点，所以专利技术结合粗粒度低强度的访问控制模型和细粒度高强度的信息流访问控制模型，集成设计一种多粒度多强度的访问控制模型来保护数据安全，该模型能扩展到云平台的数据保护。
技术实现思路
针对现有技术的不足，本专利技术提出一种多粒度多强度访问控制方法及系统。本专利技术提出一种多粒度多强度访问控制方法，包括：步骤1，构建多粒度多强度访问控制模型，包括粗粒度低强度的访问控制模型与细粒度高强度的信息流控制模型，所述多粒度多强度访问控制模型包括的实体为客体的安全标记、主体的安全标记、全局访问控制模式；步骤2，设置访问控制规则，通过所述访问控制规则进行访问控制。所述粗粒度低强度的访问控制模型为自主访问控制模型，所述细粒度高强度的信息流控制模型为分布式信息流控制模型。所述步骤2中所述访问控制规则包括DAC信息流控制规则、DIFC信息流控制规则。用p表示主体，DACInfo(p)表示p的DAC访问控制属性信息，PrivilegeCodeSet(p)表示p的特权码集，用f表示客体，ACL(f)表示f的DAC访问控制列表，PrivilegeCodeSet(f)表示f的特权码集，所述DAC信息流控制规则为：1)如果p与f的安全标记满足以下关系：DACInfo(p)满足ACL(f)中的安全策略，则主体对客体的操作是安全的；2)如果不满足1)中的关系，但满足以下关系：PrivilegeCodeSet(p)拥有PrivilegeCodeSet(f)中特权码，则从主体对客体的操作也是安全的。用p,q表示主体或者客体，Sp表示p的机密性标签集，Ip表示p的完整性标签集，Dp表示p的双权限标签集，Rp表示p的可删除标签集，Ap表示p的可添加标签集，所述DIFC信息流控制规则的控制规则为：1)如果p和q的安全标记满足以下关系且则从p到q的数据流动就是安全的；2)如果不满足1)中的关系，但满足以下关系：且则从p到q的数据流动也是安全的，而且无需改变p，q的安全标记，直接进行通信；如果不满足1)与2)中的关系，但满足以下关系：且则p和q进行通信，但在通信之前，需要将安全标记改变，以满足如下关系：且本专利技术还提出一种多粒度多强度访问控制系统，包括：构建模型模块，用于构建多粒度多强度访问控制模型，包括粗粒度低强度的访问控制模型与细粒度高强度的信息流控制模型，所述多粒度多强度访问控制模型包括的实体为客体的安全标记、主体的安全标记、全局访问控制模式；访问控制模块，用于设置访问控制规则，通过所述访问控制规则进行访问控制。所述粗粒度低强度的访问控制模型为自主访问控制模型，所述细粒度高强度的信息流控制模型为分布式信息流控制模型。所述访问控制模块中所述访问控制规则包括DAC信息流控制规则、DIFC信息流控制规则。用p表示主体，DACInfo(p)表示p的DAC访问控制属性信息，PrivilegeCodeSet(p)表示p的特权码集，用f表示客体，ACL(f)表示f的DAC访问控制列表，PrivilegeCodeSet(f)表示f的特权码集，所述DAC信息流控制规则为：1)如果p与f的安全标记满足以下关系：DACInfo(p)满足ACL(f)中的安全策略，则主体对客体的操作是安全的；2)如果不满足1)中的关系，但满足以下关系：PrivilegeCodeSet(p)拥有PrivilegeCodeSet(f)中特权码，则从主体对客体的操作也是安全的。用p,q表示主体或者客体，Sp表示p的机密性标签集，Ip表示p的完整性标签集，Dp表示p的双权限标签集，Rp表示p的可删除标签集，Ap表示p的可添加标签集，所述DIFC信息流控制规则的控制规则为：1)如果p和q的安全标记满足以下关系且则从p到q的数据流动就是安全的；2)如果不满足1)中的关系，但满足以下关系：且则从p到q的数据流动也是安全的，而且无需改变p，q的安全标记，直接进行通信；如果不满足1)与2)中的关系，但满足以下关系：且则p和q进行通信，但在通信之前，需要将安全标记改变，以满足如下关系：且由以上方案可知，本专利技术的优点在于：本专利技术引入访问控制模式，集成粗粒度低强度的访问控制模型和细粒度高强度的信息流控制模型，得到新模型具备多粒度多强度的访问控制特点；方便全局粗粒度的数据隔离保护和细粒度的数据共享，具备了传统访问控制模型和分布式信息流控制模型的优点；通过设计适用于云平台的管控类型列表，能扩展到云平台的数据保护。附图说明图1为一种多粒度多强度访问控制模型图；图2为引入特权码的DAC模型图；图3为不同访问控制模式下的访问控制特征图。具体实施方式本专利技术提出一种多粒度多强度访问控制方法，构建多粒度多强度访问控制模型，如图1所示：1)引入访问控制模式，集成粗粒度低强度的访问控制模型和细粒度高强度的信息流控制模型；2)提供多粒度的访问控制，不同全局类型的粗粒度管控和不同进程级别的细粒度管控；3)提供多强度的访问控制，传统访问控制模型的弱管控和信息流控制模型的强管控；4)能扩展到云平台的数据保护。粗粒度低强度的访问控制模型和细粒度高强度的信息流控制模型的集成。粗粒度低强度的访问控制模型如自主访问控制模型、基于角色访问控制模型等，细粒度高强度的信息流控制模型如分布式信息流控制模型等。下列叙述以自主访问控制模型和分布式信息流控制模型为例。该模型中用于访问控制的实体如下：客体安全标记，包括三部分：DAC访问控制属性(DACAttribute)、DIFC访问控制属性(DIFCAttribute)和局部访问控制模式(LocalAccessControlMode，LocalACM)。客体的DACAttribute可以是一个传统DAC模型的访问控制列表(ACL)，在ACL中声明了特定主体对该客体执行特定操作的权限；还包括一个特权码集(PrivilegeCodeSet)，用于授权给某个主体一个特权码(PrivilegeCode)从而授权该主体读或写的权限，根据操作不同有不同类型的特权码，如读特权码，写特权码等；客体的DIFCAttribute是一个DIFC安全标记；LocalACM是适用于该客体的访问控制模式，有五个取值Default，OnlyDAC，OnlyDIFC，DACAndDIFC，DACOrDIFC，客体的访问控制模式决定了当主体访问该客体时执行什么安全策略检查：当取值为OnlyDAC时，仅执行自主访问控制模型的策略检查；当取值本文档来自技高网...

【技术保护点】
一种多粒度多强度访问控制方法，其特征在于，包括：步骤1，构建多粒度多强度访问控制模型，包括粗粒度低强度的访问控制模型与细粒度高强度的信息流控制模型，所述多粒度多强度访问控制模型包括的实体为客体的安全标记、主体的安全标记、全局访问控制模式；步骤2，设置访问控制规则，通过所述访问控制规则进行访问控制。

【技术特征摘要】
1.一种多粒度多强度访问控制方法，其特征在于，包括：步骤1，构建多粒度多强度访问控制模型，包括粗粒度低强度的访问控制模型与细粒度高强度的信息流控制模型，所述多粒度多强度访问控制模型包括的实体为客体的安全标记、主体的安全标记、全局访问控制模式；步骤2，设置访问控制规则，通过所述访问控制规则进行访问控制。2.如权利要求1所述的多粒度多强度访问控制方法，其特征在于，所述粗粒度低强度的访问控制模型为自主访问控制模型，所述细粒度高强度的信息流控制模型为分布式信息流控制模型。3.如权利要求1所述的多粒度多强度访问控制方法，其特征在于，所述步骤2中所述访问控制规则包括DAC信息流控制规则、DIFC信息流控制规则。4.如权利要求3所述的多粒度多强度访问控制方法，其特征在于，用p表示主体，DACInfo(p)表示p的DAC访问控制属性信息，PrivilegeCodeSet(p)表示p的特权码集，用f表示客体，ACL(f)表示f的DAC访问控制列表，PrivilegeCodeSet(f)表示f的特权码集，所述DAC信息流控制规则为：1)如果p与f的安全标记满足以下关系：DACInfo(p)满足ACL(f)中的安全策略，则主体对客体的操作是安全的；2)如果不满足1)中的关系，但满足以下关系：PrivilegeCodeSet(p)拥有PrivilegeCodeSet(f)中特权码，则从主体对客体的操作也是安全的。5.如权利要求3所述的多粒度多强度访问控制方法，其特征在于，用p,q表示主体或者客体，Sp表示p的机密性标签集，Ip表示p的完整性标签集，Dp表示p的双权限标签集，Rp表示p的可删除标签集，Ap表示p的可添加标签集，所述DIFC信息流控制规则的控制规则为：1)如果p和q的安全标记满足以下关系且则从p到q的数据流动就是安全的；2)如果不满足1)中的关系，但满足以下关系：且则从p到q的数据流动也是安全的，而且无需改变p，q的安全标记，直接进行通信；如果不满足1)与2)中的关系，但满足以下关系：且则p和q进行通信，但在通信之前，需要将安全标记改变，以满足如下关系：且6.一种多粒度...

【专利技术属性】
技术研发人员：金舒原，郭小兵，何晓位，王燕霞，
申请(专利权)人：中国科学院计算技术研究所，
类型：发明
国别省市：北京;11