分布式信任管理系统及获取分布式信任证链的方法技术方案

本发明专利技术涉及一种分布式信任管理系统，包括顺次连接的属性权威模块、信任证管理模块、信任证图构建模块、引擎接口模块，以及本地信任证存储模块，与信任证管理模块相连。本发明专利技术还涉及一种获取分布式信任证链的方法包括：接收信任证链发现请求；根据请求构造信任证图；提取信任证图中指定节点间的所有路径，即信任证链，并输出。本发明专利技术在ＲＴＭＬ的基础上加入了深度及属性约束，增强了系统管理的灵活性，并且使信任证链发现算法可以进行剪枝，提高了算法的效率。在信任证查找中本发明专利技术引入了缓存管理机制屏蔽了本地信任证查询与远端信任证查询的差异，并且提高了查找性能，从而进一步提高了系统性能。

【技术实现步骤摘要】
分布式信任管理系统及获取分布式信任证链的方法
本专利技术涉及一种分布式信任管理系统及获取分布式信任证链的方法，尤其是一种基于属性委托并能应用于网格等分布式大规模网络计算环境的信任管理系统及其通过前向和后向搜索算法构建信任证图获取分布式信任证链的方法。
技术介绍
网格计算属于大规模的网络计算，在现阶段已经有效的解决了跨多虚拟组织的动态资源共享和协作的问题，随着大规模网络计算的应用规模及应用范围的不断扩展，在这种网络中的各种应用实体分布范围越来越广，它们往往位于不同的安全域而不相互熟悉，这种信任管理与集中式信任管理是相对的概念；集中式信任管理中服务器需要维护合法用户的身份、属性等信息，而在分布式环境中，由于安全、性能等原因不可能对所有合法用户进行统一管理，因而在节点间应用实体对对方的身份、属性等信息知之甚少甚至一无所知，在不存在统一的身份管理机制的情况下，传统的基于身份的访问控制技术对于这种网络不再有效。近年来出现了很多种的信任管理系统，例如SPKI/SDSI，PolicyMaker，KeyNote，Delegation Logic等，这些信任管理系统都是基于代理的概念而提出的，这种基于代理的概念是和委托相关联的，即一个实体将自身的部分权限通过委托的方式交给其他实体，接受委托的其他实体就成为了该实体的代理。通常在进行访问控制的过程中会涉及一条从权威源到请求者的代理链，即一种包含连续的委托代理关系的关系链，这种代理链的发现是困难的，而-->分布式的代理链发现则更加困难。因为几乎所有的基于代理的信任管理系统都是建立在潜在相关的所有信任证已经收集到一起的假设之上。然而，在大型的网络应用(如网格计算)中出于安全以及性能的考虑，集中式的管理信任证不可行，通常采用分布式存储，这些系统的假设在这种情况下会出现很多无法忽略的问题。除了以上的基于代理的信任管理系统以外，在网格环境中的网格中间件Globus Toolkit(GT)系统提供了一种采用签名、加密等方式保证通信安全和基于身份的访问控制的网格安全基础设施(Grid SecurityInfrastructure，简称GSI)。这种网格中间件的4.X版本中，增加了安全断言标记语言(Security Assertion Markup Language，简称SAML)和可扩展的访问控制标记语言(Extensible Access Control Markup Language，简称XACML)的支持，但这种安全机制仍存在以下的问题：1、委托授权支持不足。虽然GSI采用XACML支持对综合用户属性信息授权，而且基于SAML对用户的属性信息进行封装，并通过类似MyProxy等委托机制传递信任关系，这种MyProxy提供了一种可以用于将用户映射到他们的网格凭证的机制，但由于缺乏基于属性的信任管理机制，因此对跨安全域的大规模动态协作应用的支持能力不够。2、对属性信息支持不足。在目前网格中的鉴别系统中，采用的是类似PKIX的证书链来构造信任关系，但这种证书链只能够对较简单的属性信息进行约束，而无法对复杂的属性信息(一般信任证中的年龄等信息)约束。3、信任链构造机制单一。在目前证书链主要通过服务提供方或服务请求方任意一方来主动构造信任链，不支持从双方出发共同构造信任链的机制。为了弥补之前诸系统的不足，斯坦福大学的Ninghui Li提出了一套基于角色的信任管理语言(RTML)，并提出了相关的分布式信任链发现算法。这种RTML语言在本质上是仍然是一种基于代理的信任管理语言，在RTML中定义角色为核心，每个角色对应一组以实体表示拥有该角色的所有成员。每个-->实体有权定义那些实体是它的角色的成员，一个角色可以被看成一个属性，一个实体是一个角色的成员当且仅当它拥有以该角色的标识为标识的属性。在RT0(RTML的一个版本)中一个访问控制许可表示为一个角色，也就是说我们可以把角色理解为一个实体定义的一种授权。RTML把授权证书限制为四种：1、简单授权，即一个实体是另外一个实体的某个角色的成员；2、普通代理授权，即一个实体的某个角色的成员是另外一个实体的某个角色的成员；3、连接代理授权，即如果B实体是A实体的某个角色r1的成员则B实体的一个指定角色r2的成员是A实体的角色r的成员。4、交代理授权，如果实体是一系列角色的成员，其成员定义可以是前面提到的三种授权定义的任何一种，则它是另外一个实体的某角色的成员。Ninghui Li以角色表示节点，用信任证表示边，通过信任证的颁发者和主体(证书拥有者)关联节点，构造出一幅从主体到颁发者的有向图以表示实体间的信任关系，并提出了一个基于该有向图分布式信任链发现算法。算法中结合前向搜索即查找一个成员的所具有的全部角色，向后搜索即查找一个角色对应的所有实体成员，实现了不同信任证搜索策略下的信任链发现，并证明了该算法的有效性。RTML通过把授权证书限制为前面四种形式，既能满足实际应用中的绝大多数授权要求又能简化角色代理的定义。而且相应的信任证链发现算法复杂度较低，被认为是一种非常希望的信任管理语言。然而，该语言存在一些不足：1.RTML主要考虑的是角色的代理逻辑及信任证链发现算法，没有考虑到在实际应用中安全策略需求的灵活性；2.没有考虑到实际应用中委托机制的委托深度约束，这对于典型应用是一项重要的安全约束信息，否则会出现主体不断扩展信任链，影响系统的可用性和性能；3.对属性约束的支持不足，RTML仅能表达集中典型约束，无法支持更多的约束方法和属性信息；4.到目前为止，仍然没有实用的信任管理系统支持RTML语言表达的功能。-->
技术实现思路
本专利技术的第一目的是针对现有的分布式信任管理系统的诸多缺陷，提供一种分布式信任管理系统，能够为跨安全域的大规模动态协作和资源共享提供分布式的信任管理功能，并且提供更灵活的策略表达。本专利技术的第二目的是针对现有信任证链发现算法的不足，提供一种获取分布式信任证链的方法，能够灵活的根据安全策略需求获取实体间的信任关系，并提高发现效率。为实现上述第一目的，本专利技术提供了一种分布式信任管理系统，包括：属性权威模块，用于根据策略签发属性证书，并向外提供信任证查询；信任证管理模块，与所述属性权威模块相连，用于通过屏蔽本地信任证查询和远端信任证查询的差异为上层应用提供统一的信任证查询接口，并对所有查找到的信任证进行解析、验证和验签操作；信任证图构建模块，与所述信任证管理模块相连，用于利用前向搜索算法及后向搜索算法构建信任证图；引擎接口模块，与所述信任证图构建模块相连，用于接收用户请求调用信任证图构建模块，并负责提取指定节点间的所有路径把结果返回上层应用；本地信任证存储模块，与所述信任证管理模块相连，用于存储本地的信任证。为实现上述第二目的，本专利技术提供了一种获取分布式信任证链的方法，包括以下步骤：步骤1、引擎接口模块接收输入的信任证链构造的请求；步骤2、信任证图构建模块接收所述引擎接口模块发送的构建信任证图的请求后，构造信任证图；步骤3、所述引擎接口模块获取所述约束检查后的信任证图，根据请求提取指定节点间的所有路径并输出。基于以上的技术方案，本专利技术具有以下优点：-->1、本专利技术在RTML的基础上加入了深度及属性约束，增强了访问策略语言的描述本文档来自技高网...

【技术保护点】
一种分布式信任管理系统，其特征在于包括：属性权威模块，用于根据策略签发属性证书，并向外提供信任证查询；信任证管理模块，与所述属性权威模块相连，用于通过屏蔽本地信任证查询和远端信任证查询的差异为上层应用提供统一的信任证查询接口 ，并对所有查找到的信任证进行解析、验证和验签操作；信任证图构建模块，与所述信任证管理模块相连，用于利用前向搜索算法及后向搜索算法构建信任证图；引擎接口模块，与所述信任证图构建模块相连，用于接收用户请求调用信任证图构建模块，并 负责提取指定节点间的所有路径把结果返回上层应用；本地信任证存储模块，与所述信任证管理模块相连，用于存储本地的信任证。

【技术特征摘要】
1、一种分布式信任管理系统，其特征在于包括：属性权威模块，用于根据策略签发属性证书，并向外提供信任证查询；信任证管理模块，与所述属性权威模块相连，用于通过屏蔽本地信任证查询和远端信任证查询的差异为上层应用提供统一的信任证查询接口，并对所有查找到的信任证进行解析、验证和验签操作；信任证图构建模块，与所述信任证管理模块相连，用于利用前向搜索算法及后向搜索算法构建信任证图；引擎接口模块，与所述信任证图构建模块相连，用于接收用户请求调用信任证图构建模块，并负责提取指定节点间的所有路径把结果返回上层应用；本地信任证存储模块，与所述信任证管理模块相连，用于存储本地的信任证。2、根据权利要求1所述的分布式信任管理系统，其特征在于所述信任证管理模块包括：远端信任证查询接口单元，与所述属性权威模块相连，用于对远端属性权威模块进行分布式信任证查找；本地信任证加载单元，与所述本地信任证存储模块相连，用于从所述本地信任证存储模块加载相匹配的本地信任证；信任证解析验证单元，与所述远端信任证查询接口单元和所述本地信任证加载单元相连，用于对信任证进行解析、验证证书文件格式和验证证书数字签名的操作；信任证书缓存管理单元，与所述信任证解析验证单元和所述信任证图构建模块相连，用于对解析验证后的信任证进行统一的缓存管理；3、根据权利要求1所述的分布式信任管理系统，其特征在于所述信任证图构建模块包括：前向信任证图构建单元，与所述信任证管理模块相连，用前向搜索算法构建信任证图；后向信任证图构建单元，与所述信任证管理模块相连，用后向搜索算法构建信任证图；约束检查单元，与所述前向信任证图构建单元、所述后向信任证图构建单元相连，用于在所述前向信任证图构建单元和所述后向信任证构建单元的信任证构建过程中进行委托深度约束检查和属性约束检查；在所述约束检查单元中包括：委托深度约束检查子单元，与所述前向信任证图构建单元、所述后向信任证图构建单元相连，用于信任证图构建过程中进行委托深度约束检查；属性约束检查子单元，所述后向信任证图构建单元相连，用于在后向信任证图构建过程中进行属性约束检查。4、根据权利要求1所述的分布式信任管理系统，其特征在于所述引擎模块包括：信任证图路径提取单元，与所述信任证图构建模块相连，用于从构建出的信任证图中被指定的节点之间的所有信任路径，然后在每个路径返回该路径所涉及的所有信任证的集合；信任证图构建接口单元，与所述信任证图构建模块相连，用于接收上层应用的信任证链发现指令调用所述信任证图构建模块构建信任证图。5、一种获取分布式信任证链的方法，其特征在于包括以下步骤：步骤1、引擎接口模块接收输入的信任证链构造的请求；步骤2、信任证图构建模块接收所述引擎接口模块发送的构建信任证图的请求后，构造信任证图；步骤3、所述引擎接口模块获取所述约束检查后的信任证图，根据请求提取指定节点间的所有路径并输出。6、根据权利要求5所述的获取分布式信任证链的方法，其特征在于所述步骤2中所述构造信任证具体为使用前向搜索算法构造信任证：步骤2a、初始化一个空的节点队列；步骤2b、以起始节点的角色创建一个节点并且加入队列中；步骤2c、取队列中第一个节点；步骤2d、判断所取节点的角色是否是一个普通代理角...

【专利技术属性】
技术研发人员：怀进鹏，胡春明，李建欣，卢伟勤，李沁，
申请(专利权)人：北京航空航天大学，
类型：发明
国别省市：11[中国|北京]