建站
咨詢
售后
建站咨詢
新聞中心
在物聯(lián)網(wǎng)系統(tǒng)中，訪問控制（Access Control）是對用戶合法使用資源的認證和控制，簡單說就是根據(jù)相關(guān)授權(quán)，控制對特定資源的訪問，從而防止一些非法用戶的非法訪問或者合法用戶的不正當使用，以確保整個系統(tǒng)資源能夠被合理正當?shù)乩谩Ｓ捎谖锫?lián)網(wǎng)應用系統(tǒng)是多用戶、多任務的工作環(huán)境，這為非法使用系統(tǒng)資源打開了方便之門，因此，迫切要求我們對計算機及其網(wǎng)絡系統(tǒng)采取有效的安全防范措施，以防止非法用戶進入系統(tǒng)以及合法用戶對系統(tǒng)資源的非法使用。這就需要采用訪問控制系統(tǒng)。
創(chuàng)新互聯(lián)建站主要從事網(wǎng)站設(shè)計、成都網(wǎng)站設(shè)計、網(wǎng)頁設(shè)計、企業(yè)做網(wǎng)站、公司建網(wǎng)站等業(yè)務。立足成都服務夏縣,10年網(wǎng)站建設(shè)經(jīng)驗,價格優(yōu)惠、服務專業(yè),歡迎來電咨詢建站服務:028-86922220
訪問控制包含3方面的含義。
① 合法性：阻止沒有得到正式授權(quán)的用戶違法訪問以及非法用戶的違法訪問。
② 完整性：在包含收集數(shù)據(jù)、傳輸信息、儲存信息等一系列的步驟中，保證數(shù)據(jù)信息的完好無損，不可以隨意增刪與改動。
③ 時效性：在一定時效內(nèi)，保證系統(tǒng)資源不能被非法用戶篡改使用，保障系統(tǒng)在時效內(nèi)的完整。
通過訪問控制，系統(tǒng)可以預防和阻礙未經(jīng)授權(quán)的非法用戶訪問和操作系統(tǒng)資源。
1、訪問控制的基本概念
（1）訪問控制的功能
訪問控制應具備身份認證、授權(quán)、文件保護和審計等主要功能。
1）認證
認證就是證實用戶的身份。認證必須和標識符共同起作用。認證過程首先需要用戶輸入賬戶名、用戶標志或者注冊標志以表明身份。賬戶名應該是秘密的，任何其他用戶不得擁有。但為了防止賬戶名或用戶標志泄露而出現(xiàn)非法用戶訪問，還需要進一步用認證技術(shù)證實用戶的合法身份?？诹钍且环N簡單易行的認證手段，但是因為容易被猜測而比較脆弱，所以易被非法用戶利用。生物技術(shù)是一種嚴格且有前途的認證方法，如指紋識別、視網(wǎng)膜識別、虹膜識別等，但因技術(shù)復雜，目前還沒有被廣泛采用。
2）授權(quán)
系統(tǒng)正確認證用戶后，根據(jù)不同的用戶標志分配給其不同的使用資源，這項任務稱為授權(quán)。授權(quán)的實現(xiàn)是靠訪問控制完成的。訪問控制是一項特殊的任務，它將標志符ID作為關(guān)鍵字來控制用戶訪問的程序和數(shù)據(jù)。訪問控制主要用在關(guān)鍵節(jié)點、主機和服務器，一般節(jié)點使用較少。但如果要在一般節(jié)點上增加訪問控制功能，則系統(tǒng)應該安裝相應的授權(quán)軟件。在實際應用中，通常需要從用戶類型、應用資源以及訪問規(guī)則3個方面來明確用戶的訪問權(quán)限。
① 用戶類型。對于一個已經(jīng)被系統(tǒng)識別和認證了的用戶，系統(tǒng)還要對他的訪問操作實施一定的限制。對于一個通用計算機系統(tǒng)來講，用戶范圍廣，層次與權(quán)限也不同。用戶類型一般有系統(tǒng)管理員、一般用戶、審計用戶和非法用戶。系統(tǒng)管理員權(quán)限最高，可以對系統(tǒng)中的任何資源進行訪問，并具有所有類型的訪問操作權(quán)利。一般用戶的訪問操作要受到一定的限制，系統(tǒng)管理員會根據(jù)需要給這類用戶分配不同的訪問操作權(quán)利。審計用戶負責對整個系統(tǒng)的安全控制與資源使用情況進行審計。非法用戶則是被取消訪問權(quán)利或者被拒絕訪問系統(tǒng)的用戶。
② 應用資源。應用資源是指系統(tǒng)中的每個用戶可共同分享的系統(tǒng)資源。系統(tǒng)內(nèi)需要保護的是系統(tǒng)資源，因此需要對保護的資源定義一個訪問控制包（Access Control Packet，ACP），訪問控制包會給每一個資源或資源組勾畫出一個訪問控制列表（Access Control List，ACL），列表中會描述哪個用戶可以使用哪個資源以及如何使用。
③ 訪問規(guī)則。訪問規(guī)則定義了若干條件，在這些條件下可準許訪問一個資源。一般來講，規(guī)則可使用戶與資源配對，然后指定該用戶可以在該資源上執(zhí)行哪些操作，如只讀、不允許執(zhí)行或不允許訪問等。這些規(guī)則是由負責實施安全政策的系統(tǒng)管理人員根據(jù)最小特權(quán)原則來確定的，即在授予用戶訪問某種資源的權(quán)限時，只給予該資源的最小權(quán)限。例如，用戶需要讀權(quán)限時，不應該授予讀寫權(quán)限。
3）文件保護
文件保護是指對文件提供的附加保護，其可使非授權(quán)用戶不可讀取文件。一般采用對文件加密的附加保護。
4）審計
審計是記錄用戶系統(tǒng)所進行的所有活動的過程，即記錄用戶違反安全規(guī)定使用系統(tǒng)的時間、日期以及用戶活動。因為可能收集的數(shù)據(jù)量非常大，所以，良好的審計系統(tǒng)應具有進行數(shù)據(jù)篩選并報告審計記錄的工具，此外，還應容許工具對審計記錄做進一步的分析和處理。
（2）訪問控制的關(guān)鍵要素
訪問控制是指主體依據(jù)某些控制策略對客體本身或其他資源進行不同權(quán)限的訪問。訪問控制包括3個要素：主體、客體和控制策略。
1）主體
主體是可以在信息客體間流動的一種實體。主體通常指的是訪問用戶，但是作業(yè)或設(shè)備也可以成為主體。所以，對文件進行操作的用戶是一種主體，用戶調(diào)度并運行的某個作業(yè)也是一種主體，檢測電源故障的設(shè)備還是一個主體。大多數(shù)交互式系統(tǒng)的工作過程是：用戶首先在系統(tǒng)中注冊，然后啟動某一進程以完成某項任務，該進程繼承了啟動它的用戶的訪問權(quán)限。在這種情況下，進程也是一個主體。一般來講，審計機制應能對主體涉及的某一客體進行的與安全有關(guān)的所有操作都做相應的記錄和跟蹤。
2）客體
客體本身是一種信息實體，或者是從其他主體或客體接收信息的載體?？腕w不受它所依存的系統(tǒng)的限制，其可以是記錄、數(shù)據(jù)塊、存儲頁、存儲段、文件、目錄、目錄樹、郵箱、信息、程序等，也可以是位、字節(jié)、字、域、處理器、通信線路、時鐘、網(wǎng)絡節(jié)點等。主體有時也可以被當作客體，例如，一個進程可能包含多個子進程，這些子進程就可以被認為是一種客體。在一個系統(tǒng)中，作為一個處理單位的最小信息集合就稱為一個文件，每一個文件都是一個客體。但是，如果文件可以分成許多小塊，并且每個小塊又可以單獨處理，那么每個小塊也都是一個客體。另外，如果文件系統(tǒng)被組織成了一個樹形結(jié)構(gòu)，那么這種文件目錄也是客體。
在有些系統(tǒng)中，邏輯上所有的客體都作為文件處理。每種硬件設(shè)備都作為一種客體來處理，因而，每種硬件設(shè)備都具有相應的訪問控制信息。如果一個主體準備訪問某個設(shè)備，則該主體必須具有適當?shù)脑L問權(quán)，而對設(shè)備的安全校驗機制將對訪問權(quán)進行校驗。例如，某主體想對終端進行寫操作，則需要將想寫入的信息先寫入相應的文件中，安全機制將根據(jù)該文件的訪問信息來決定是否允許該主體對終端進行寫操作。
3）控制策略
控制策略是主體對客體的操作行為集和約束條件集，也是主體對客體的控制規(guī)則集。這個規(guī)則集直接定義了主體對客體可以進行的作用行為和客體對主體的條件約束?？刂撇呗泽w現(xiàn)了一種授權(quán)行為，即客體對主體的權(quán)限允許，這種允許不可超越規(guī)則集。
訪問控制系統(tǒng)的3個要素可以使用三元組（S、O、P）來表示，其中S表示主體，O表示客體，P表示許可。當主體提出一系列正常請求信息I1，I2，…，In時，請求信息會通過物聯(lián)網(wǎng)系統(tǒng)的入口到達控制規(guī)則集監(jiān)視的監(jiān)控器，由控制規(guī)則集來判斷允許或拒絕請求。在這種情況下，必須先確認主體是合法的，而不是假冒的，也就是必須對主體進行認證。主體通過認證后才能訪問客體，但并不保證其有權(quán)限對客體進行操作。客體對主體的具體約束由訪問控制表來控制實現(xiàn)，對主體的驗證一般都是通過鑒別用戶標志和用戶密碼來實現(xiàn)的。用戶標志是一個用來鑒別用戶身份的字符串，每個用戶有且只能有唯一的一個用戶標志，以便與其他用戶有所區(qū)別。當一個用戶在注冊系統(tǒng)時，他必須提供其用戶標志，然后系統(tǒng)才會執(zhí)行一個可靠的審查來確認當前用戶就是對應用戶標志的那個用戶。
當前訪問控制實現(xiàn)的模型普遍采用了主體、客體、授權(quán)的定義和這3個定義之間的關(guān)系的方法來描述。訪問控制模型能夠?qū)τ嬎銠C系統(tǒng)中的存儲元素進行抽象表達。訪問控制要解決的一個基本問題便是主動對象（如進程）如何對被動的受保護對象（如被訪問的文件等）進行訪問，并且按照安全策略進行控制。主動對象稱為主體，被動對象稱為客體。
針對一個安全的系統(tǒng)，或者是將要在其上實施訪問控制的系統(tǒng)，一個訪問可以對被訪問的對象產(chǎn)生以下作用：一是對信息的抽??；二是對信息的插入。對于被訪問對象來說，可以有“只讀不修改”“只讀修改”“只修改不讀”“既讀又修改”4種訪問方式。
訪問控制模型可以根據(jù)具體的安全策略的配置來決定一個主體對客體的訪問屬于以上4種訪問方式中的哪一種，并且可以根據(jù)相應的安全策略來決定是否給予主體相應的訪問權(quán)限。
（3）訪問控制策略的實施
訪問控制策略是物聯(lián)網(wǎng)信息安全的核心策略之一，其任務是保證物聯(lián)網(wǎng)信息不被非法使用和非法訪問，為保證信息基礎(chǔ)的安全性提供一個框架，提供管理和訪問物聯(lián)網(wǎng)資源的安全方法，規(guī)定各要素需要遵守的規(guī)范與應負的責任，為物聯(lián)網(wǎng)系統(tǒng)安全提供可靠依據(jù)。
1）訪問控制策略的基本原則
訪問控制策略的制定與實施必須圍繞主體、客體和控制規(guī)則集三者之間的關(guān)系展開。具體原則如下。
① 最小特權(quán)原則。最小特權(quán)原則指主體執(zhí)行操作時，按照主體所需權(quán)利的最小化原則分配給主體權(quán)利。最小特權(quán)原則的優(yōu)點是最大限度地限制了主體實施授權(quán)行為，可以避免來自突發(fā)事件、錯誤和未授權(quán)用戶主體的危險，即為了達到一定的目的，主體必須執(zhí)行一定的操作，但主體只能做允許范圍內(nèi)的操作。
② 最小泄露原則。最小泄露原則指主體執(zhí)行任務時，按照主體所需要知道的信息最小化的原則分配給主體權(quán)利。
③ 多級安全原則。多級安全原則指主體和客體間的數(shù)據(jù)流向和權(quán)限控制按照安全級別進行劃分，包括絕密、秘密、機密、限制和無級別5級。多級安全原則的優(yōu)點是可避免敏感信息擴散。對于具有安全級別的信息資源，只有安全級別比它高的主體才能夠訪問它。
2）訪問控制策略的實現(xiàn)方式
訪問控制的安全策略有：基于身份的安全策略和基于規(guī)則的安全策略。目前使用這兩種安全策略的基礎(chǔ)都是授權(quán)行為。
① 基于身份的安全策略。
基于身份的安全策略與鑒別行為一致，其目的是過濾對數(shù)據(jù)或資源的訪問，只有能通過認證的主體才有可能正常使用客體的資源?；谏矸莸陌踩呗园ɑ趥€人的安全策略和基于組的安全策略。
基于個人的安全策略是指以用戶為中心建立的一種策略。這種策略由一些列表組成，這些列表限定了針對特定的客體，哪些用戶可以實現(xiàn)何種策略操作行為。
基于組的安全策略是基于個人的安全策略的擴充，指一些用戶被允許使用同樣的訪問控制規(guī)則訪問同樣的客體。
基于身份的安全策略有兩種基本的實現(xiàn)方法：訪問能力表和訪問控制列表。訪問能力表提供了針對主體的訪問控制結(jié)構(gòu)，訪問控制列表提供了針對客體的訪問控制結(jié)構(gòu)。
② 基于規(guī)則的安全策略
基于規(guī)則的安全策略中的授權(quán)通常依賴于敏感性。在一個安全系統(tǒng)中，對數(shù)據(jù)或資源應該標注安全標記。代表用戶進行活動的進程可以得到與其原發(fā)者相應的安全標記。
基于規(guī)則的安全策略在實現(xiàn)時，由系統(tǒng)通過比較用戶的安全級別和客體資源的安全級別來判斷是否允許用戶進行訪問。
2、訪問控制的分類
訪問控制可以限制用戶對應用中關(guān)鍵資源的訪問，防止非法用戶進入系統(tǒng)及合法用戶對系統(tǒng)資源的非法使用。在傳統(tǒng)的訪問控制中，一般采用自主訪問控制和強制訪問控制。隨著分布式應用環(huán)境的出現(xiàn)，又發(fā)展出了基于對象的訪問控制、基于任務的訪問控制、基于角色的訪問控制、基于屬性的訪問控制等多種訪問控制技術(shù)。
1）自主訪問控制
自主訪問控制（Discreytionary Access Control，DAC）是指用戶有權(quán)對自身所創(chuàng)建的訪問對象（如文件、數(shù)據(jù)表等）進行訪問，并可將對這些對象的訪問權(quán)授予其他用戶和從授予權(quán)限的用戶處收回其訪問權(quán)限。
2）強制訪問控制
強制訪問控制（Mandatory Access Control，MAC）是指由系統(tǒng)（通過專門設(shè)置的系統(tǒng)安全員）對用戶所創(chuàng)建的對象進行統(tǒng)一的強制性控制，按照規(guī)定的規(guī)則決定哪些用戶可以對哪些對象進行什么樣的操作系統(tǒng)類型的訪問，即使是創(chuàng)建者用戶，其在創(chuàng)建一個對象后，也可能無權(quán)訪問該對象。
3）基于對象的訪問控制
DAC或MAC模型的主要任務都是對系統(tǒng)中的訪問主體和受控對象進行一維的權(quán)限管理。當用戶數(shù)量多、處理的信息數(shù)據(jù)量巨大時，用戶權(quán)限的管理任務將變得十分繁重且難以維護，這就會降低系統(tǒng)的安全性和可靠性。
對于海量的數(shù)據(jù)和差異較大的數(shù)據(jù)類型，需要用專門的系統(tǒng)和專門的人員加以處理，如果采用基于角色的訪問控制模型，安全管理員除了需要維護用戶和角色的關(guān)聯(lián)關(guān)系外，還需要將龐大的信息資源訪問權(quán)限賦予有限個角色。
當信息資源的種類增加或減少時，安全管理員必須更新所有角色的訪問權(quán)限設(shè)置，如果受控對象的屬性發(fā)生變化，以及需要將受控對象不同屬性的數(shù)據(jù)分配給不同的訪問主體進行處理時，則安全管理員將不得不增加新的角色，還必須更新原來所有角色的訪問權(quán)限設(shè)置以及訪問主體的角色分配設(shè)置。
這樣的訪問控制需求變化往往是不可預知的，這會導致訪問控制管理難度增加工作量變大。因此，在這種情況下，有必要引入基于受控對象的訪問控制模型。
控制策略和控制規(guī)則是基于對象的訪問控制（Object-based Access Control，OBAC）系統(tǒng)的核心所在。在基于受控對象的訪問控制模型中，會將訪問控制列表與受控對象或受控對象的屬性相關(guān)聯(lián)，并會將訪問控制選項設(shè)計成為用戶、組或角色及其對應權(quán)限的集合；同時允許對策略和規(guī)則進行重用、繼承和派生操作。這樣，不僅可以對受控對象本身進行訪問控制，也可以對受控對象的屬性進行訪問控制，而且派生對象可以繼承父對象的訪問控制設(shè)置，這對于信息量巨大、信息內(nèi)容更新變化頻繁的信息管理系統(tǒng)非常有益，可以減輕由信息資源的派生、演化和重組等帶來的分配、設(shè)定角色權(quán)限等工作量。
OBAC系統(tǒng)從信息系統(tǒng)的數(shù)據(jù)差異變化和用戶需求出發(fā)，有效地解決了信息數(shù)據(jù)量大、數(shù)據(jù)種類繁多、數(shù)據(jù)更新變化頻繁的大型信息管理系統(tǒng)的安全管理問題。同時，從受控對象的角度出發(fā)，將訪問主體的訪問權(quán)限直接與受控對象相關(guān)聯(lián)。一方面，定義對象的訪問控制列表，使增、刪、修改訪問控制項易于操作；另一方面，當受控對象的屬性發(fā)生改變，或者受控對象發(fā)生繼承和派生行為時，無須更新訪問主體的權(quán)限，只須修改受控對象的相應訪問控制項即可，從而減少了訪問主體的權(quán)限管理，降低了授權(quán)數(shù)據(jù)管理的復雜性。
4）基于任務的訪問控制
基于任務的訪問控制（Task-based Access Control，TBAC）是從應用和企業(yè)層面來解決安全問題的，從任務（活動）的角度來建立安全模型和實現(xiàn)安全機制，在任務處理的過程中提供動態(tài)、實時的安全管理。
在TBAC模型中，對象的訪問權(quán)限控制并不是靜止不變的，而是會隨著執(zhí)行任務的上下文環(huán)境發(fā)生變化。TBAC首要考慮的是在工作流的環(huán)境中對信息的保護問題：在工作流環(huán)境中，數(shù)據(jù)的處理與上一次的處理相關(guān)聯(lián)，相應的訪問控制也是如此，因此TBAC是一種上下文相關(guān)的訪問控制模型。其次，TBAC不僅能對不同的工作流實行不同的訪問控制策略，還能對同一工作流的不同任務實例實行不同的訪問控制策略。從這個意義上說，TBAC是基于任務的，這也表明，TBAC是一種基于實例（instance-based）的訪問控制模型。
TBAC模型由工作流、授權(quán)結(jié)構(gòu)體、受托人集、許可集這4部分組成。
任務（task）是工作流中的一個邏輯單元，是一個可區(qū)分的動作，與多個用戶相關(guān)，也可能包括幾個子任務。授權(quán)結(jié)構(gòu)體（authorization unit）是任務在計算機中進行控制的一個實例。任務中的子任務對應于授權(quán)結(jié)構(gòu)體中的授權(quán)步。
授權(quán)結(jié)構(gòu)體是由一個或多個授權(quán)步（authorization step）組成的結(jié)構(gòu)體，它們在邏輯上是聯(lián)系在一起的。授權(quán)結(jié)構(gòu)體分為一般授權(quán)結(jié)構(gòu)體和原子授權(quán)結(jié)構(gòu)體。一般授權(quán)結(jié)構(gòu)體內(nèi)的授權(quán)步依次執(zhí)行，原子授權(quán)結(jié)構(gòu)體內(nèi)的每個授權(quán)步緊密聯(lián)系，其中任何一個授權(quán)步失敗都會導致整個結(jié)構(gòu)體的失敗。
授權(quán)步表示一個原始授權(quán)處理步，是指在一個工作流中對處理對象的一次處理過程。授權(quán)步是訪問控制所能控制的最小單元，由受托人集（trustee-set）和多個許可集（permissions-set）組成。
受托人集是可被授予執(zhí)行授權(quán)步的用戶的集合，許可集則是受托集的成員被授予授權(quán)步時擁有的訪問許可。在授權(quán)步初始化以后，一個來自受托人集中的成員將被授予授權(quán)步，我們稱這個受托人為授權(quán)步的執(zhí)行委托者，該受托者執(zhí)行授權(quán)步過程中所須許可的集合稱為執(zhí)行者許可集。授權(quán)步之間或授權(quán)結(jié)構(gòu)體之間的相互關(guān)系稱為依賴（dependency），依賴反映了基于任務的訪問控制的原則。授權(quán)步的狀態(tài)變化一般由自身管理，即依據(jù)執(zhí)行的條件自動變遷狀態(tài)，但有時也可以由管理員進行調(diào)配。
一個工作流的業(yè)務流程由多個任務構(gòu)成，而一個任務對應于一個授權(quán)結(jié)構(gòu)體，每個授權(quán)結(jié)構(gòu)體由特定的授權(quán)步組成。授權(quán)結(jié)構(gòu)體之間以及授權(quán)步之間通過依賴關(guān)系聯(lián)系在一起。在TBAC中，一個授權(quán)步的處理可以決定后續(xù)授權(quán)步對處理對象的操作許可，這些許可的集合稱為激活許可集。執(zhí)行者許可集和激活許可集一起稱為授權(quán)步的保護態(tài)。
TBAC模型一般用五元組（S，O，P，L，AS）表示，其中S表示主體，O表示客體，P表示許可，L表示生命期（lifecycle），AS表示授權(quán)步。由于任務都是有時效性的，所以在基于任務的訪問控制中，用戶對于授予他的權(quán)限的使用也是有時效性的。因此，若P是授權(quán)步AS所激活的權(quán)限，那么L就是授權(quán)步AS的存活期限。在授權(quán)步AS被激活之前，它的保護態(tài)是無效的，其中包含的許可不可使用。當授權(quán)步AS被觸發(fā)時，它的執(zhí)行委托者開始擁有執(zhí)行者許可集中的權(quán)限，同時它的生命期開始倒記時。在其生命期間，五元組（S，O，P，L，AS）有效；生命期終止時，五元組（S，O，P，L，AS）無效，執(zhí)行委托者所擁有的權(quán)限被回收。
TBAC的訪問政策及其內(nèi)部組件關(guān)系一般由系統(tǒng)管理員直接配置。通過授權(quán)步的動態(tài)權(quán)限管理。TBAC支持最小特權(quán)原則和最小泄露原則，在執(zhí)行任務時只給用戶分配所需的權(quán)限，未執(zhí)行任務或任務終止后用戶不再擁有所分配的權(quán)限；而且在執(zhí)行任務過程中，當某一權(quán)限不再被使用時，授權(quán)步會自動將該權(quán)限回收；另外，對于敏感的任務需要不同的用戶執(zhí)行，可以通過授權(quán)步之間的分權(quán)依賴加以實現(xiàn)。
TBAC從工作流中的任務角度建模，可以依據(jù)任務和任務狀態(tài)的不同，對權(quán)限進行動態(tài)管理。因此，TBAC非常適合分布式計算和多點訪問控制的信息處理控制以及在工作流、分布式處理和事務管理系統(tǒng)中的決策制定。
5）基于角色的訪問控制
基于角色的訪問控制（Role-based Access Control，RBAC）的基本思想是將訪問許可權(quán)分配給一定的角色，用戶通過飾演不同的角色來獲得角色所擁有的訪問許可權(quán)。這是因為在很多實際應用中，用戶并不是可以訪問的客體信息資源的所有者（這些信息屬于企業(yè)或公司）。因此，訪問控制應該基于員工的職務而不是基于員工在哪個組或誰是信息的所有者，即訪問控制是由各個用戶在部門中所擔任的角色來確定的。例如，一個學?？梢杂欣蠋?、學生和其他管理人員等角色。
RBAC從控制主體的角度出發(fā)，根據(jù)管理中相對穩(wěn)定的職權(quán)和責任來劃分角色，將訪問權(quán)限與角色相聯(lián)系，這點與傳統(tǒng)的MAC和DAC將權(quán)限直接授予用戶的方式不同。RBAC通過給用戶分配合適的角色，讓用戶與訪問權(quán)限相聯(lián)系。角色成為了訪問控制中訪問主體和受控對象之間的一座橋梁。
角色可以被看作一組操作的集合，不同的角色具有不同的操作集，這些操作集是由系統(tǒng)管理員分配給角色的。在下面的實例中，我們假設(shè)Tch1，Tch2，Tch3，…，Tchi是老師，Stud1，Stud2，Stud3，…，Studj是學生，Mng1，Mng2，Mng3，…，Mngk是教務處管理人員，那么老師的權(quán)限為TchMN={查詢成績、上傳所教課程的成績}；學生的權(quán)限為Stud MN={查詢成績、反映意見}；教務處管理人員的權(quán)限為MngMN={查詢成績、修改成績、打印成績清單}。
依據(jù)角色的不同，每個主體只能執(zhí)行自己所制定的訪問功能。用戶在一定的部門中具有一定的角色，其所執(zhí)行的操作與其所扮演的角色的職能相匹配，這正是基于角色的訪問控制（RBAC）的根本特征：依據(jù)RBAC策略，系統(tǒng)定義了各種角色，每種角色可以完成一定的職能，不同的用戶根據(jù)其職能和責任被賦予相應的角色，一旦某個用戶成為某角色的成員，則該用戶就可以完成該角色所具有的職能。
因為企業(yè)擔心冗長而復雜的實施過程，并且雇員訪問權(quán)要發(fā)生變化，所以許多企業(yè)往往不愿意實施基于角色的訪問控制。完成基于角色的矩陣可能是一個需要企業(yè)花費幾年時間的復雜過程。有一些新方法可以縮短這個過程，例如，企業(yè)可以將人力資源系統(tǒng)作為數(shù)據(jù)源，收集所有雇員的部門、職位以及企業(yè)的層次結(jié)構(gòu)等信息，并將這些信息用于創(chuàng)建每個訪問級別的角色，從活動目錄等位置獲得當前的權(quán)利，實現(xiàn)不同角色的雇員的數(shù)據(jù)共享。
6）基于屬性的訪問控制
基于屬性的訪問控制（Attribute-based Access Control，ABAC）主要針對面向服務的體系結(jié)構(gòu)和開放式網(wǎng)絡環(huán)境，在這種環(huán)境中，能夠基于訪問的上下文建立訪問控制策略，處理主體和客體的異構(gòu)性和變化性。RBAC已不能適應這樣的環(huán)境。RBAC不能直接在主體和客體之間定義授權(quán)，而是需要將他們關(guān)聯(lián)的屬性作為授權(quán)決策的基礎(chǔ)，并利用屬性表達式描述訪問策略。ABAC能夠根據(jù)相關(guān)實體屬性的變化，適時更新訪問控制決策，從而提供一種更細粒度的、更加靈活的訪問控制方法。
屬性雖然是一個變量，但是相對而言它的規(guī)則策略是穩(wěn)定且不易改變的。ABAC之所以能運用于用戶動態(tài)變化的訪問控制中，就是因為它利用了策略的固定性所產(chǎn)生的作用。
3、訪問控制的基本原則
訪問控制機制是用來實施對資源訪問加以限制的策略的機制，這種策略把對資源的訪問權(quán)限只授于了那些被授權(quán)用戶。應該建立起申請、建立、發(fā)出和關(guān)閉用戶授權(quán)的嚴格的制度，以及管理和監(jiān)督用戶操作責任的機制。
為了獲取系統(tǒng)的安全，授權(quán)應該遵守訪問控制的3個基本原則。
1）最小特權(quán)原則
最小特權(quán)原則是系統(tǒng)安全中最基本的原則之一。最小特權(quán)（Least Privilege）指的是“在完成某種操作時所賦予網(wǎng)絡中每個主體（用戶或進程）必不可少的特權(quán)”。最小特權(quán)原則是指“應限定網(wǎng)絡中每個主體所需的最小特權(quán)，以確?？赡艿氖鹿?、錯誤、網(wǎng)絡部件的篡改等原因造成的損失最小”。
最小特權(quán)原則使用戶所擁有的權(quán)力不能超過它執(zhí)行工作時所需的權(quán)限。最小特權(quán)原則一方面給予主體“必不可少”的特權(quán)，保證了所有的主體都能在所賦予的特權(quán)之下完成所需要完成的任務或操作；另一方面，它只給予主體“必不可少”的特權(quán)，這也限制了每個主體所能進行的操作。
2）多人負責原則
多人負責即授權(quán)分散化，在功能上劃分關(guān)鍵的任務由多人來共同承擔，以保證沒有任何個人具有完成任務的全部授權(quán)或信息，如將責任做分解以確保沒有一個人具有完整的密鑰。
3）職責分離原則
職責分離是保障安全的一個基本原則。職責分離是指將不同的責任分派給不同的人員以期達到互相牽制的作用，消除一個人執(zhí)行兩項不相容的工作的風險，如收款員、出納員、審計員應由不同的人擔任。計算機環(huán)境下也要有職責分離，為避免安全上的漏洞，有些許可不能同時被同一用戶獲得。
4、BLP訪問控制
BLP模型是由戴維和萊納德于1973年提出并于1976年整合、完善的安全模型。BLP模型的基本安全策略是“下讀上寫”，即主體對客體向下讀、向上寫。主體可以讀安全級別比它低或相等的客體，可以寫安全級別比它高或相等的客體?！跋伦x上寫”的安全策略保證了數(shù)據(jù)庫中的所有數(shù)據(jù)只能按照安全級別從低到高流動，從而保證了敏感數(shù)據(jù)不泄露。
（1）BLP安全模型
BLP安全模型是一種訪問控制模型，它通過制定主體對客體的訪問規(guī)則和操作權(quán)限來保證系統(tǒng)信息的安全性。BLP模型中基本的安全控制方法有2種。
1）強制訪問控制（MAC）
MAC主要是通過“安全級”來進行的。訪問控制通過引入“安全級”“組集”和“格”的概念，為每個主體規(guī)定了一系列的操作權(quán)限和范圍?！鞍踩墶蓖ǔＳ伞捌胀?、秘密、機密、絕密”4個不同的等級構(gòu)成，用以表示主體的訪問能力和客體的訪問要求?！敖M集”就是主體能訪問客體所從屬的區(qū)域的集合，如“部門”“科室”“院系”等。通過“格”定義一種比較規(guī)則，只有在這種規(guī)則下，主體控制客體時才允許主體訪問客體。MAC是BLP模型實現(xiàn)控制手段的主要方法。
作為實施強制型安全控制的依據(jù)，主體和客體均要求被賦予一定的 “安全級”。其中，人作為安全主體，其部門集表示它可以涉獵哪些范圍內(nèi)的信息，而一個信息的部門集則表示該信息所涉及的范圍，這里有3點要求：
① 主體的安全級高于客體，當且僅當主體的密級高于客體的密級，且主體的部門集包含客體的部門集；
② 主體可以讀客體，當且僅當主體的安全級高于或等于客體的安全級；
③ 主體可以寫客體，當且僅當主體的安全級低于或等于客體的安全級。
BLP模型給每個用戶及文件賦予一個訪問級別，如最高秘密級（Top Secret）、秘密級（Secret）、機密級（Confidential）及無級別級（Unclassified）。其級別由高到低為T＞S＞C＞U，系統(tǒng)根據(jù)主體和客體的敏感標記來決定訪問模式。訪問模式包括以下4種。
下讀（read down）：用戶級別大于文件級別的讀操作。
上寫（write up）：用戶級別小于文件級別的寫操作。
下寫（write down）：用戶級別大于文件級別的寫操作。
上讀（read up）：用戶級別小于文件級別的讀操作。
2）自主訪問控制（DAC）
DAC也是BLP模型中非常重要的實現(xiàn)控制的方法。DAC通過客體的屬主自行決定其訪問范圍和方式，實現(xiàn)對不同客體的訪問控制。在BLP模型中，DAC是MAC的重要補充和完善。
主體對其擁有的客體有權(quán)決定自己和他人對該客體應具有怎樣的訪問權(quán)限。最終的結(jié)果是，在BLP模型的控制下，主體要獲取對客體的訪問，必須同時通過MAC和DAC這兩種安全控制設(shè)施。
依據(jù)BLP模型所制定的原則是利用不上讀或不下寫來保證數(shù)據(jù)的保密性，如圖1所示，既不允許低信任級別的用戶讀高敏感度的信息，也不允許高敏感度的信息寫入低敏感度區(qū)域，禁止信息從高級別流向低級別。MAC通過這種梯度安全標簽實現(xiàn)信息的單向流通。
圖1 BLP模型
（2）BLP模型的優(yōu)缺點
BLP模型的優(yōu)點如下。
① BLP模型是一種嚴格的形式化描述。
② BLP模型控制信息只能由低向高流動，這能滿足軍事部門這一類對數(shù)據(jù)保密性要求特別高的機構(gòu)的需求。
BLP模型的缺點如下。
① 上級對下級發(fā)文受到限制。
② 部門之間信息的橫向流動被禁止。
③ 缺乏靈活、安全的授權(quán)機制。
5、基于角色的訪問控制
基于角色的訪問控制（Role-based Access Control，RBAC）是美國NIST提出的一種新的訪問控制技術(shù)。該技術(shù)的基本思想是將用戶劃分成與其所在組織結(jié)構(gòu)體系相一致的角色，并將權(quán)限授予角色而不是直接授予主體，主體通過角色分派來得到客體操作權(quán)限從而實現(xiàn)授權(quán)。由于角色在系統(tǒng)中具有相對于主體的穩(wěn)定性，更便于直觀地理解，因此可以大大降低系統(tǒng)授權(quán)管理的復雜性，減少安全管理員的工作量。
在RBAC的發(fā)展過程中，最早出現(xiàn)的是RBAC96模型和ARBAC模型，此處只對RBAC96模型進行介紹。RBAC96模型的成員包括RBAC0、RBAC1、RBAC2和RBAC3。RBAC0是基于角色訪問控制模型的基本模型，規(guī)定了RBAC模型的最小需求；RBAC1為角色層次模型，在RBAC0的基礎(chǔ)上加入了角色繼承關(guān)系，可以根據(jù)組織內(nèi)部職責和權(quán)利來構(gòu)造角色與角色之間的層次關(guān)系；RBAC2為角色的限制模型，在RBAC0的基礎(chǔ)上加入了各種用戶與角色之間、權(quán)限與角色之間以及角色與角色之間的限制關(guān)系，如角色互斥、角色最大成員數(shù)、前提角色和前提權(quán)限等；RBAC3為統(tǒng)一模型，它不僅包括角色的繼承關(guān)系，還包括限制關(guān)系，是RBAC1和RBAC2的集成。
基于角色訪問控制的要素包括用戶、角色、許可等基本定義。在RBAC中，用戶就是一個可以獨立訪問計算機系統(tǒng)中的數(shù)據(jù)或者用數(shù)據(jù)表示的其他資源的主體。角色是指一個組織或任務中的工作或者位置，它代表了一種權(quán)利、資格和責任。許可（特權(quán)）就是允許對一個或多個客體執(zhí)行操作。一個用戶可經(jīng)授權(quán)而擁有多個角色，一個角色可由多個用戶構(gòu)成；每個角色可擁有多種許可，每個許可也可授權(quán)給多個不同的角色。每個操作可施加于多個客體（受控對象），每個客體也可以接受多個操作。上述要素的實現(xiàn)形式介紹如下。
① 用戶表（USERS）包括用戶標志、用戶姓名、用戶登錄密碼。用戶表是系統(tǒng)中的個體用戶集，會隨用戶的添加與刪除動態(tài)變化。
② 角色表（ROLES）包括角色標識、角色名稱、角色基數(shù)、角色可用標識。角色表是系統(tǒng)角色集，角色是由系統(tǒng)管理員來定義的。
③ 客體表（OBJECTS）包括對象標志、對象名稱?？腕w表是系統(tǒng)中所有受控對象的集合。
④ 操作算子表（OPERATIONS）包括操作標志、操作算子名稱。系統(tǒng)中所有受控對象的操作算子構(gòu)成了操作算子表。
⑤ 許可表（PERMISSIONS）包括許可標志、許可名稱、受控對象、操作標志。許可表給出了受控對象與操作算子的對應關(guān)系。
RBAC系統(tǒng)由RBAC數(shù)據(jù)庫、身份認證模塊、系統(tǒng)管理模塊和會話管理模塊組成。RBAC數(shù)據(jù)庫與各模塊的對應關(guān)系如圖2所示。
圖2 RBAC數(shù)據(jù)庫與各模塊的對應關(guān)系
身份認證模塊通過用戶標志和用戶口令來確認用戶身份。此模塊僅使用RBAC數(shù)據(jù)庫中的USERS表。
系統(tǒng)管理模塊主要完成用戶增減（使用USERS表）、角色增減（使用ROLES表）、用戶/角色的分配（使用USERS表、ROLES表、用戶/角色分配表、用戶/角色授權(quán)表）、角色/許可的分配（使用ROLES表、PERMISSIONS表、角色/許可授權(quán)表）、角色間關(guān)系的定義（使用ROLES表、角色層次表、靜態(tài)互斥角色表、動態(tài)互斥角色表），其中每個操作都帶有參數(shù)，也都有一定的前提條件。操作可使RBAC數(shù)據(jù)庫發(fā)生動態(tài)變化。系統(tǒng)管理員可使用該模塊來初始化和維護RBAC數(shù)據(jù)庫。
系統(tǒng)管理模塊的操作包括添加用戶、刪除用戶、添加角色、刪除角色、設(shè)置角色可用性、為角色增加許可、取消角色的某個許可、為用戶分配角色、取消用戶的某個角色、設(shè)置用戶授權(quán)角色的可用性、添加角色繼承關(guān)系、取消角色繼承、添加一個靜態(tài)角色互斥關(guān)系、刪除一個靜態(tài)角色互斥關(guān)系、添加一個動態(tài)角色互斥關(guān)系、刪除一個動態(tài)角色互斥關(guān)系、設(shè)置角色基數(shù)等。
會話管理模塊會結(jié)合RBAC數(shù)據(jù)庫來管理會話，包括會話的創(chuàng)建與取消以及對活躍角色的管理。此模塊會使用USERS表、ROLES表、動態(tài)互斥角色表、會話表和活躍角色表來執(zhí)行操作。
RBAC系統(tǒng)的運行步驟如下。
① 用戶登錄時向身份認證模塊發(fā)送用戶標志、用戶口令，確認用戶身份。
② 會話管理模塊在RBAC數(shù)據(jù)庫中檢索該用戶的授權(quán)角色集并將其送回用戶。
③ 用戶從中選擇本次會話的活躍角色集，在此過程中會話管理模塊維持動態(tài)角色互斥。
④ 會話創(chuàng)建成功，本次會話的授權(quán)許可體現(xiàn)在菜單與按扭上，若不可用，則顯示為灰色。
⑤ 在此會話過程中，系統(tǒng)管理員若要更改角色或許可，則可在此會話結(jié)束后進行，或者在終止此會話后立即進行。
圖3給出了基于RBAC的用戶集合、角色集合和資源集合之間的多對多的關(guān)系。理論上，一個用戶可以通過多個角色訪問不同資源。但是，在實際應用系統(tǒng)中，通常給一個用戶授予一個角色，只允許其訪問一種資源，這樣就可以更好地保證資源的安全性。
圖3 RBAC中用戶集合、角色集合和資源集合的關(guān)系
6、基于信任評估的動態(tài)訪問控制
在物聯(lián)網(wǎng)環(huán)境中，用戶可以自由地加入或退出網(wǎng)絡，而且用戶數(shù)量可能相當龐大，為每個用戶定義訪問控制策略并不現(xiàn)實，因此，需要提出一種新的機制來解決物聯(lián)網(wǎng)環(huán)境的動態(tài)訪問控制問題。
（1）基于信任評估的動態(tài)訪問控制模型
我們在對用戶信任度進行評估的基礎(chǔ)上，根據(jù)用戶的信任度對用戶進行分組，對用戶集合進行角色的分配和訪問控制，提出了基于信任評估的動態(tài)訪問控制（Trust Evaluation-based Dynamic Role Access Control，TE-DAC）模型。該模型將信任度與訪問控制相結(jié)合，可以體現(xiàn)系統(tǒng)的動態(tài)性。
TE-DAC模型綜合了信任管理和訪問控制的優(yōu)勢，通過對用戶進行信任評估，確定用戶的信任度，進而即可根據(jù)其信任度和獲得的角色對用戶進行訪問授權(quán)。TE-DAC模型擴展了RBAC模型，增加了上下文監(jiān)測、用戶會話監(jiān)控、用戶信任度評估、根據(jù)用戶信任度對用戶角色進行權(quán)限指派等功能；同時通過將角色分為禁止狀態(tài)（disable）、允許狀態(tài)（enable）和激活狀態(tài)（active），使得模型具有了更好的靈活性，方便用戶的職責分離（Separation of Duty，SoD）。TE-DAC模型如圖4所示。
圖4 TE-DAC模型
TE-DAC模型的一個重要的特征是區(qū)分了角色的允許狀態(tài)和激活狀態(tài)。在該模型中，角色可以有3種狀態(tài)：禁止狀態(tài)、允許狀態(tài)和激活狀態(tài)。若角色處于禁止狀態(tài)，則該角色不可以在任何用戶會話的過程中使用，例如，用戶不能獲得分配給該角色的任何權(quán)限。允許狀態(tài)表示在滿足條件時用戶可以激活該角色，即如果一個用戶激活了某個角色，該角色就變?yōu)榱思せ顮顟B(tài)。處于激活狀態(tài)的角色表示至少一個用戶激活了該角色，若只有一個用戶使用該角色，則執(zhí)行一次休眠操作后，該角色就會轉(zhuǎn)變?yōu)樵试S狀態(tài)；若有N個用戶使用該角色，則執(zhí)行N次休眠操作后，該角色才會轉(zhuǎn)變?yōu)樵试S狀態(tài)，否則，其仍是激活狀態(tài)。角色處于激活狀態(tài)時，重復激活不改變其狀態(tài)。若有禁止事件發(fā)生，則角色會轉(zhuǎn)變?yōu)榻範顟B(tài)，不管其原來處于允許狀態(tài)還是激活狀態(tài)。
（2）基于信任評估的動態(tài)訪問控制過程
TE-DAC系統(tǒng)與傳統(tǒng)的訪問控制系統(tǒng)的一個重要區(qū)別是可以在一個適當?shù)牧６认驴刂圃L問請求和計算資源。信任作為一個計算參數(shù)，反映了用戶行為的可信度。在物聯(lián)網(wǎng)系統(tǒng)中，用戶的每次訪問請求，都由訪問認證中心（Access Authorization Center，AAC）進行信任度檢查，以判斷用戶是否滿足允許訪問的條件。在該模型中，信任度被作為用戶的一個屬性而進行綜合認證。認證模塊由策略執(zhí)行點和策略決策點組成。
用戶登錄系統(tǒng)后，根據(jù)用戶的身份為其分配相應的角色，此時的角色沒有被指派任何屬性，角色無任何權(quán)限，處于禁止狀態(tài)，因此，用戶不能進行任何操作。通過信任評估模塊獲得用戶的信任度后，將其和其他屬性作為角色屬性賦予角色，然后查詢策略庫中的角色權(quán)限表，為角色分配相應的操作權(quán)限，此時，角色的狀態(tài)轉(zhuǎn)變?yōu)樵试S狀態(tài)，可被激活，用戶可通過事件激活角色以進行相應的操作。TE-DAC模型的訪問控制過程如圖5所示。
圖5 TE-DAC模型的訪問控制過程
訪問控制過程包含6個步驟。
① 用戶（User）將訪問請求發(fā)送給安全管理中心（Security Management Engine，SME），訪問請求中包含用戶ID、密碼等認證信息。
② SME通過對用戶進行身份認證和信任評估，根據(jù)訪問控制策略生成用戶的訪問授權(quán)策略并將其返回給用戶。該步驟更詳細的介紹如下：
a. 用戶的計算請求提交給策略執(zhí)行點（Policy Enforcement Point，PEP）；
b. PEP向策略決策點（Policy Decision Point，PDP）發(fā)出訪問決策請求，該請求包括用戶的身份信息及服務類型信息；
c. PDP向身份認證系統(tǒng)提交用戶的安全憑證，以驗證用戶身份是否合法。如果認證失敗，則生成終止訪問的信息并執(zhí)行步驟h；
d. 若用戶通過了身份認證，則PDP會根據(jù)用戶身份為該用戶分配相應的角色，此時的角色處于禁止狀態(tài)；
e. PDP向信任評估引擎（Trust Evaluation Engine，TEE）發(fā)出信任評估請求，TEE通過查詢信任數(shù)據(jù)庫評估用戶的行為信任度，并將評估結(jié)果返回給PDP，同時用新的信任度更新信任數(shù)據(jù)庫；
f. PDP查詢策略庫中的角色屬性表；
g. PDP將步驟e中獲得的用戶信任度和步驟f中獲得的角色屬性指派給該用戶的角色，然后查詢策略庫中的權(quán)限分配表（Permissions Assignment Table，PAT），獲取角色當前對應的權(quán)限。PDP檢查該權(quán)限與用戶請求的權(quán)限，若二者相同或該權(quán)限包含用戶請求的權(quán)限，則允許該次訪問請求，并生成允許訪問的信息；若該權(quán)限小于用戶請求的權(quán)限，則拒絕該次訪問請求，并生成拒絕訪問的信息；
h. PEP執(zhí)行PDP的決定，如果收到允許訪問的信息，則激活用戶的角色；如果收到拒絕訪問的信息，則將其返回給用戶；更新策略庫。
③ 用戶向資源管理器（Resource Manager，RM）提交資源請求服務。
④ RM啟動資源調(diào)度算法，為用戶分配相應的服務提供者，然后使用分發(fā)程序?qū)⒂脩羧蝿辗职l(fā)到相應的服務提供者進行執(zhí)行。調(diào)度時，將服務提供者的信任作為調(diào)度算法的參數(shù)可以更有效地進行資源調(diào)度控制，提高資源利用率。
⑤ 在此次交互結(jié)束時，用戶可以基于資源的性能等特性計算服務提供者的信任度，并將計算結(jié)果發(fā)送給SME以進行服務提供者的信任更新。
⑥ 同時，服務提供者也會對用戶進行同樣的信任更新。
7、基于信任關(guān)系的動態(tài)服務授權(quán)
對于服務（資源）提供者來說，其可根據(jù)服務請求者的不同OTD，把服務請求者分別映射到不同的角色。同時，服務提供者在接到多個服務請求者請求的情況下，也需要按照不同的策略來分配資源，授權(quán)用戶訪問資源。
（1）形式化描述
下面從服務提供者的角度給出一種基于信任關(guān)系的動態(tài)服務授權(quán)策略的形式化描述。
設(shè)實體Pj向服務提供者Pi請求某種服務，Pi對Pj的總體信任度Γ(Pi,Pj)有P個評估等級c1,c2,…,cP，其中0≤cp≤1（p=1,2,…,P）。評估等級空間記作U，表示為U={c1,c2,…,cP}，若評估等級空間U具有如下性質(zhì)：ci∩cj=?(i≠j)，且c1 設(shè)實體Pi可提供P個級別的服務S={s1,s2,…,sP}，且S是一個有序分割類，S和總體信任度Γ(Pi,Pj)之間的映射函數(shù)Ψ表示為： 分界點c1,c2,…,cP可以根據(jù)信任度的實數(shù)空間的邊界點確定，實體Pj向服務提供者Pi請求某種服務，Pi首先要根據(jù)Pj的信任度級別Γ(Pi,Pj)決定它所能得到的服務質(zhì)量，這樣既可以分級對不同的實體提供不同的服務，又有利于降低系統(tǒng)可能存在的風險。 （2）基于信任關(guān)系的動態(tài)服務選擇 在物聯(lián)網(wǎng)系統(tǒng)中，服務雙方通過身份認證和訪問控制后，為對方提供多少資源也是一個非常重要的問題。如果交易一方提供虛假計算或存儲資源，則預先確定的任務可能會被延期執(zhí)行；如果交易一方惡意撤銷計算或存儲資源，則預先確定的任務將無法完成。針對這些問題，需要從信任評估的角度來實現(xiàn)交易雙方的服務資源選擇。 下面是從服務請求者的角度給出的一種基于信任度的資源選擇方法。 令?Pi∈S為計算市場中的服務請求者，O={Pj,j∈[1,M]}為服務提供者（資源的集合），?Pi∈S向?Pj∈O請求服務的過程定義為Pi和Pj的交易，而交易回饋信息則包含了Pi對Pj的信任評分及相關(guān)認證信息。 設(shè)ΓD(Pi,Pj)為Pi對Pj的直接信任度，表示Pi根據(jù)其與Pj的直接交易回饋信息而得到的信任關(guān)系。設(shè)ΓI(Pi,Pj)表示Pi根據(jù)其他節(jié)點的反饋而得到的其對Pj的信任，即反饋信任度。設(shè)Γ(Pi,Pj)為由ΓD(Pi,Pj)和ΓI(Pi,Pj)聚合而得到的Pi對Pj的總體信任評價（OTD）。 物聯(lián)網(wǎng)系統(tǒng)中基于信任的資源選擇算法步驟如下。 ① 從資源信息中心獲取可用資源的列表O={Pj,j∈[1,M]}； ② 根據(jù)操作系統(tǒng)、體系結(jié)構(gòu)和CPU個數(shù)等硬性需求，過濾掉不滿足條件的計算資源； ③ 根據(jù)相關(guān)算法計算每一個資源的總體信任度Γ(Pi,Pj)，根據(jù)用戶作業(yè)的信任需求閾值，過濾掉信任度低于該閾值的資源； ④ 根據(jù)計算得到的每一個資源的OTD，對可選資源進行排序； ⑤ 根據(jù)排序結(jié)果，選擇OTD值最大的資源，并提交作業(yè)到該資源； ⑥ 等待作業(yè)結(jié)果，如果作業(yè)被按時成功執(zhí)行，則進行后續(xù)工作，如支付報酬、下載結(jié)果文件等，然后回饋正面的評價，并根據(jù)相關(guān)算法增加直接信任度； ⑦ 如果執(zhí)行作業(yè)超時或失敗，則回饋較低的評價，根據(jù)相關(guān)算法降低直接信任度，并從排序列表中刪除該資源。 ⑧ 跳轉(zhuǎn)到步驟③，直到作業(yè)完成。 現(xiàn)在分析這個算法的優(yōu)缺點。假設(shè)每個服務請求者都是自私的，希望自己獲得的服務是最好的。如果對某個服務請求者來說，能夠為其提供服務的提供者有很多，那么他將選擇信任度高的提供者來為自己服務。然而，這種方式對于信任度高的服務提供者來說卻有兩點不利： ① 信任度越高的服務提供者，其提供服務所消耗的資源越多； ② 信任度高的服務提供者和信任度低的服務提供者在這種方式下會獲得相同的利益。 因此，在一個實際應用系統(tǒng)中，需要對這一不利因素進行改進，例如，可以對多個服務提供者的OTD進行排名，然后設(shè)定OTD的閾值，挑選出比閾值高的所有服務提供者，從中隨機選擇一個作為目標，向其請求服務。這樣就在一定程度上減輕了信譽高的域節(jié)點的負載。又如，除了服務提供者的OTD因素外，還可以考慮服務請求者在價格和風險方面的偏好等因素。 （3）面向FTP的動態(tài)資源訪問控制 設(shè)有一個提供文件共享服務的站點P，為了保證網(wǎng)絡系統(tǒng)的安全性，該FTP站點引入了信任評估機制，對所有的服務請求者節(jié)點進行信任度的評估，根據(jù)信任度的評估結(jié)果，對不同信任度的節(jié)點提供不同類別的服務質(zhì)量。假設(shè)站點P可以提供3個等級的服務質(zhì)量，設(shè)服務類別的等級用集合S表示，站點P的S可以定義為：S={s1, s2, s3,}，其中s1表示拒絕服務，s2表示只讀，s3表示既可以讀也可以寫。則可以定義如下的服務決策函數(shù)： 設(shè)節(jié)點P通過本書的計算方法得到某實體Pj的總體信任度為Γ(P,Pj)=0.19，則根據(jù)決策函數(shù)Ψ可得決策過程為Ψ(Γ(P,Pj))=Ψ(0.19)=s1，這說明節(jié)點Pj的信任級別較低，站點P將拒絕為Pj提供服務。若Γ(P,Pj)=0.40，則Ψ(Γ(P,Pj))=Ψ(0.40)=s2，表示節(jié)點Pj可以讀節(jié)點P的資源。若Γ(Pi,Pj)=0.90，則Ψ(Γ(P,Pj))=Ψ(0.90)=s3，表示節(jié)點Pj既可以讀節(jié)點P的資源，也可以將數(shù)據(jù)保存（上傳）到P的存儲器中。
當前標題：物聯(lián)網(wǎng)安全：訪問控制
網(wǎng)站URL：http://www.fisionsoft.com.cn/article/coosiig.html
