一种资产的访问控制方法、装置、设备及介质制造方法及图纸

本申请提供了一种资产的访问控制方法，包括：获取应用链的第一身份特征，该应用链的第一身份特征来自于应用链中的一个或多个应用的自身逻辑，当应用链的第一身份特征与应用特征库记录的应用链的第二身份特征匹配时，允许应用链访问资产。该方法以应用链内在的第一身份特征代替外在的密码学特征进行身份识别，基于身份识别结果对资产进行访问控制，避免了应用被仿冒或被篡改所导致的资产安全隐患，保障了资产安全。了资产安全。了资产安全。

【技术实现步骤摘要】
一种资产的访问控制方法、装置、设备及介质
[0001]本申请要求于2020年10月20日提交中国国家知识产权局、申请号为202011126183.3申请名称为“价值资产的获取方法、装置、服务器及存储介质”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。


[0002]本申请涉及计算机
，尤其涉及一种资产的访问控制方法、装置、设备以及计算机可读存储介质。

技术介绍

[0003]应用是指作为独立实体运行的程序。单个应用或者多个具有调用关系的应用可以形成应用链。应用链可以作为一个整体访问资产。其中，资产是指可以产生效益的资源，例如可以是凭证或者是访问服务的应用程序编程接口(application programming interface，API)。
[0004]随着用户对安全需求的提高，对资产进行访问控制成为了热门研究方向。目前，业界主要是基于密码学特征对应用进行身份识别，例如是基于口令、密钥或者证书等认证因子对应用进行身份识别，然后根据身份识别结果进行访问控制。
[0005]然而，任何获取到目标应用的认证因子的应用都可以仿冒目标应用，从而访问资产。如此给资产安全带来了极大的挑战。业界亟需提供一种可靠的、资产的访问控制方法，保障资产安全。

技术实现思路

[0006]本申请提供了一种资产的访问控制方法，该方法以应用链内在的第一身份特征代替外在的密码学特征进行身份识别，基于身份识别结果对资产进行访问控制，避免了应用被仿冒或被篡改所导致的资产安全隐患，保障了资产安全。本申请还提供了上述方法对应的系统、装置、设备、计算机可读存储介质以及计算机程序产品。
[0007]第一方面，本申请提供了一种资产的访问控制方法。该方法具体用于对应用链访问资产进行控制。其中，应用链包括一个或多个应用。当应用链包括多个应用时，该应用链具体是多个具有调用关系的应用形成的调用链。资产是指可以产生效益的资源。在一些示例中，资产例如可以是访问服务的应用程序编程接口API或者是凭证。其中，凭证具体可以是接入凭证(access token)。该接入凭证可以是API的凭证。
[0008]资产的访问控制方法可以由访问控制系统执行。具体地，访问控制系统获取应用链的第一身份特征，该应用链的第一身份特征来自于应用链中的一个或多个应用的自身逻辑，当应用链的第一身份特征与应用特征库记录的应用链的第二身份特征匹配时，允许应用链访问所述资产。
[0009]由于访问控制系统采用来自于应用链中一个或多个应用的自身逻辑的身份特征进行身份识别，而不是密码、密钥或者证书等外在的密码学特征进行身份识别，由此可以避
免应用被仿冒或被篡改导致的资产安全隐患，保障了资产安全。
[0010]在一些可能的实现方式中，应用链的第一身份特征可以来自该应用链中所有应用的自身逻辑。如此，应用链中所有应用都未被篡改的情况下，应用链的第一身份特征能够通过身份识别，访问控制系统允许该应用链访问资产，如此保障了资产安全。换言之，访问控制系统可以确保能接触到资产的应用链中所有应用都是未被篡改的应用。
[0011]在一些可能的实现方式中，所述应用的自身逻辑包括静态逻辑或动态逻辑。其中，静态逻辑是指应用未执行时的逻辑，例如可以是应用各功能模块的逻辑，包括应用的输入输出模块的逻辑、接口调用模块的逻辑、命令执行模块的逻辑或资源调度模块的逻辑中的任意一种或多种。动态逻辑是指应用执行时的逻辑，例如可以是应用各功能模块执行操作时的行为逻辑，包括输入输出模块执行输入输出操作的逻辑、接口调用模块执行接口调用操作的逻辑、命令执行模块执行命令的逻辑或者是资源调度模块调度资源的逻辑。
[0012]不同应用的自身逻辑如静态逻辑、动态逻辑是不同的，因此，应用很难被仿冒，由此避免了其他应用仿冒当前应用访问资产的情况，保障了资产安全。并且，当应用被篡改时，应用的自身逻辑如静态逻辑或动态逻辑会发生变化，访问控制系统通过来自应用自身逻辑的身份特征进行身份识别，可以有效识别出应用被篡改的情况，避免被篡改的应用访问资产导致的安全隐患，进一步保障了资产安全。
[0013]在一些可能的实现方式中，访问控制系统可以对应用链进行特征提取，从而获得应用链的第一身份特征。具体地，在应用链的一次作业过程中，该应用链首次访问资产前，对应用链进行特征提取，获得应用链的第一身份特征。在作业结束之前，应用链再次访问该资产前，访问控制装置可以直接获取首次访问时进行特征提取所得的第一身份特征。如此可以减少特征提取的次数，减少计算开销。
[0014]在一些可能的实现方式中，访问控制系统可以在所述应用链每次访问所述资产之前对所述应用链进行特征提取，得到应用链的第一身份特征。也即访问控制系统实时对应用链进行特征提取，获得应用链的第一身份特征，如此，可以使得访问控制系统获得的第一身份特征能够真实地表征此时应用链的身份，避免应用链被篡改或被感染病毒，仍以原有身份特征访问资产或目标属性的资产所导致的安全隐患。
[0015]在一些可能的实现方式中，应用链可以包括多个分支，例如包括多个访问资产的分支。访问控制系统可以在应用链执行到访问目标属性的资产的分支时，触发身份识别流程，从而减少对应用链的侵入性。
[0016]具体地，当应用链请求访问资产的属性为目标属性时，获取应用链的第一身份特征。其中，目标属性的资产可以是人为标记的资产，例如人为标记的高价值资产，或者人为标记的高风险资产等等。在一些实施例中，目标属性的资产也可以是系统推荐记录的资产。
[0017]该方法通过在应用链的关键路径上触发身份识别，基于身份识别结果进行访问控制，由此实现了以最小化系统开销获得最大安全收益，最小化访问控制对应用链的影响。
[0018]在一些可能的实现方式中，访问控制系统还可以对身份特征进行过滤，例如通过布隆过滤器得到相应的布隆向量，基于布隆向量确定第一身份特征和第二身份特征是否匹配。具体地，第一身份特征对应的第一布隆向量与应用链的第二身份特征对应的第二布隆向量的距离小于预设距离时，应用链的第一身份特征与应用特征库记录的应用链的第二身份特征匹配。
[0019]该方法通过将身份特征转换为布隆向量，通过向量确定身份特征是否匹配，可以提高身份识别的效率。并且，将身份特征转换为布隆向量，例如将白名单应用的身份特征混杂在一起，构成法再恢复的0、1串，还可以提高安全性。
[0020]在一些可能的实现方式中，访问控制系统可以比对应用链的第一身份特征和本地或远端的应用特征库记录的应用链的第二身份特征。其中，访问控制系统在本地比对应用链的第一身份特征和本地的应用特征库记录的应用链的第二身份特征，可以降低对管理侧的依赖性。远端的应用特征库能够比较及时地更新，因此，访问控制系统比对应用链的第一身份特征和远端的应用特征库记录的应用链的第二身份特征具有较高的准确度。
[0021]在一些可能的实现方式中，本地部署的应用可能会发生变更，例如会新增应用，或者已部署的应用会被修改，基于此，访问控制系统还可以根本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种资产的访问控制方法，其特征在于，所述方法包括：获取应用链的第一身份特征，所述应用链的第一身份特征来自于所述应用链中的一个或多个应用的自身逻辑；当所述应用链的第一身份特征与应用特征库记录的所述应用链的第二身份特征匹配时，允许所述应用链访问所述资产。2.根据权利要求1所述的方法，其特征在于，所述应用的自身逻辑包括：所述应用的输入输出模块或者所述输入输出模块执行输入输出操作的逻辑；所述应用的接口调用模块或者所述接口调用模块执行接口调用操作的逻辑；所述应用的命令执行模块或者所述命令执行模块执行命令的逻辑；或者，所述应用的资源调度模块或者所述资源调度模块调度资源的逻辑。3.根据权利要求1或2所述的方法，其特征在于，所述获取应用链的第一身份特征，包括：对所述应用链进行特征提取，获得所述应用链的第一身份特征。4.根据权利要求3所述的方法，其特征在于，所述对所述应用链进行特征提取，包括：在所述应用链每次访问所述资产之前对所述应用链进行特征提取。5.根据权利要求1至4任一项所述的方法，其特征在于，所述获取应用链的第一身份特征，包括：当所述应用链请求访问资产的属性为目标属性时，获取所述应用链的第一身份特征。6.根据权利要求1至5任一项所述的方法，其特征在于，当所述应用链的第一身份特征对应的第一布隆向量与所述应用链的第二身份特征对应的第二布隆向量的距离小于预设距离时，所述应用链的第一身份特征与所述应用特征库记录的所述应用链的第二身份特征匹配。7.根据权利要求1至6任一项所述的方法，其特征在于，所述方法还包括：比对所述应用链的第一身份特征和本地或远端的所述应用特征库记录的所述应用链的第二身份特征。8.根据权利要求7所述的方法，其特征在于，所述方法还包括：根据远端的应用特征库更新本地的应用特征库。9.根据权利要求1至6任一项所述的方法，其特征在于，所述方法还包括：向管理节点发送所述应用链的第一身份特征，使得所述管理节点比对所述应用链的第一身份特征和远端的应用特征库记录的所述应用链的第二身份特征。10.根据权利要求1至9任一项所述的方法，其特征在于，所述资产包括以下任意一种或多种：本地凭证、远端凭证或者用于访问目标服务的应用程序编程接口。11.根据权利要求1至10任一项所述的方法，其特征在于，所述身份特征包括指纹或行为特征。12.根据权利要求1至11任一项所述的方法，其特征在于，所述方法由部署所述应用链的工作节点执行。13.一种访问控制系统，其特征在于，所述系统包括访问控制节点，所述访问控制节点用于：获取应用链的第一身份特征，所述应用链的身份特征来自于所述应用链中的一个或多
个应用的自身逻辑；当所述应用链的第一身份特征与应用特征库记录的所述应用链的第二身份特征匹配时，允许所述应用链访问所述资产。14.根据权利要求13所述的系统，其特征在于，所述应用的自身逻辑包括：所述应用的输入输出模块或者所述输入输出模块执行输入输出操作的逻辑；所述应用的接口调用模块或者所述...

【专利技术属性】
技术研发人员：王显雷，
申请(专利权)人：华为云计算技术有限公司，
类型：发明
国别省市：