本發(fā)明涉及訪問控制，特別涉及一種多粒度分布式信息流控制方法及系統(tǒng)。

背景技術(shù)：

數(shù)據(jù)安全由于其在實(shí)際應(yīng)用中的基礎(chǔ)性地位，已經(jīng)成為最亟待突破和解決的首要問題。

在研究和實(shí)踐過程中，本發(fā)明的發(fā)明人發(fā)現(xiàn)：傳統(tǒng)訪問控制模型如自主訪問控制模型，權(quán)限授予基本單位為用戶，管控粒度較粗，但管理方便，實(shí)際應(yīng)用較多；分布式信息流控制模型，可管控進(jìn)程級(jí)的行為，管控粒度較細(xì)，但管理復(fù)雜，實(shí)際應(yīng)用相對(duì)較少。

技術(shù)實(shí)現(xiàn)要素：

針對(duì)現(xiàn)有技術(shù)的不足，本發(fā)明提出一種多粒度分布式信息流控制方法及系統(tǒng)。

本發(fā)明提出一種多粒度分布式信息流控制方法，包括：

步驟1，設(shè)置多粒度管控類別列表，所述多粒度管控類別列表包括多個(gè)管控類別，通過相應(yīng)的管控類別，對(duì)數(shù)據(jù)進(jìn)行多粒度的訪問控制，其中每個(gè)所述管控類別對(duì)應(yīng)一種全局級(jí)別管控與一種全局進(jìn)程級(jí)別管控；

步驟2，創(chuàng)建全局能力表與細(xì)粒度能力表，并設(shè)置信息流控制規(guī)則，通過所述全局能力表、所述細(xì)粒度能力表、所述信息流控制規(guī)則，對(duì)數(shù)據(jù)進(jìn)行多粒度多強(qiáng)度訪問控制，其中所述全局能力表用于粗粒度能力授予，其與所述多粒度管控類別列表相對(duì)應(yīng)。

用于訪問控制的主體為：客體標(biāo)記、主體標(biāo)記。

用p,q表示主體或者客體，S_p表示p的機(jī)密性標(biāo)簽集，I_p表示p的完整性標(biāo)簽集，D_p表示p的雙權(quán)限標(biāo)簽集，R_p表示p的可刪除標(biāo)簽集，A_p表示p的可添加標(biāo)簽集，所述信息流控制規(guī)則為：

1)如果p和q的安全標(biāo)記滿足以下關(guān)系

且

則從p到q的數(shù)據(jù)流動(dòng)為安全；

2)如果不滿足1)的關(guān)系，但是滿足

且

則從p到q的數(shù)據(jù)流動(dòng)為安全的，而且無需改變p，q的安全標(biāo)記，直接進(jìn)行通信；

3)如果不滿足1)和2)的關(guān)系，但是滿足

且

則p和q可以進(jìn)行通信，但在通信之前，將安全標(biāo)記改變，以滿足且

粗粒度能力授權(quán)的授權(quán)粒度為全局授權(quán)粒度，并有多種的全局粒度級(jí)別，對(duì)應(yīng)各自的全局能力表；細(xì)粒度能力授權(quán)的授權(quán)粒度關(guān)聯(lián)到某一類進(jìn)程，并有多種的細(xì)粒度級(jí)別，對(duì)應(yīng)各自的細(xì)粒度能力表。

還包括全局能力授權(quán)方式：主體將創(chuàng)建的能力添加到全局能力表，實(shí)現(xiàn)對(duì)全局粒度級(jí)別的數(shù)據(jù)保護(hù)隔離和共享；

細(xì)粒度能力授權(quán)方式：主體將創(chuàng)建的能力添加到細(xì)粒度能力表，實(shí)現(xiàn)對(duì)細(xì)粒度級(jí)別的數(shù)據(jù)共享；

細(xì)粒度能力申請(qǐng)方式：主體向能力創(chuàng)建者申請(qǐng)所述能力，能力創(chuàng)建者判斷是否授予能力，若授予能力，則將所述能力添加到相應(yīng)列表。

本發(fā)明還提出一種多粒度分布式信息流控制系統(tǒng)，包括：

設(shè)置多粒度管控類別列表模塊，用于設(shè)置多粒度管控類別列表，所述多粒度管控類別列表包括多個(gè)管控類別，通過相應(yīng)的管控類別，對(duì)數(shù)據(jù)進(jìn)行多粒度的訪問控制，其中每個(gè)所述管控類別對(duì)應(yīng)一種全局級(jí)別管控與一種全局進(jìn)程級(jí)別管控；

訪問控制模塊，用于創(chuàng)建全局能力表與細(xì)粒度能力表，并設(shè)置信息流控制規(guī)則，通過所述全局能力表、所述細(xì)粒度能力表、所述信息流控制規(guī)則，對(duì)數(shù)據(jù)進(jìn)行多粒度多強(qiáng)度訪問控制，其中所述全局能力表用于粗粒度能力授予，其與所述多粒度管控類別列表相對(duì)應(yīng)。

用于訪問控制的主體為：客體標(biāo)記、主體標(biāo)記。

用p,q表示主體或者客體，S_p表示p的機(jī)密性標(biāo)簽集，I_p表示p的完整性標(biāo)簽集，D_p表示p的雙權(quán)限標(biāo)簽集，R_p表示p的可刪除標(biāo)簽集，A_p表示p的可添加標(biāo)簽集，所述信息流控制規(guī)則為：

1)如果p和q的安全標(biāo)記滿足以下關(guān)系

且

則從p到q的數(shù)據(jù)流動(dòng)為安全；

2)如果不滿足1)的關(guān)系，但是滿足

且

則從p到q的數(shù)據(jù)流動(dòng)為安全的，而且無需改變p，q的安全標(biāo)記，直接進(jìn)行通信；

3)如果不滿足1)和2)的關(guān)系，但是滿足

且

則p和q可以進(jìn)行通信，但在通信之前，將安全標(biāo)記改變，以滿足且

粗粒度能力授權(quán)的授權(quán)粒度為全局授權(quán)粒度，并有多種的全局粒度級(jí)別，對(duì)應(yīng)各自的全局能力表；細(xì)粒度能力授權(quán)的授權(quán)粒度關(guān)聯(lián)到某一類進(jìn)程，并有多種的細(xì)粒度級(jí)別，對(duì)應(yīng)各自的細(xì)粒度能力表。

還包括全局能力授權(quán)方式：主體將創(chuàng)建的能力添加到全局能力表，實(shí)現(xiàn)對(duì)全局粒度級(jí)別的數(shù)據(jù)保護(hù)隔離和共享；

細(xì)粒度能力授權(quán)方式：主體將創(chuàng)建的能力添加到細(xì)粒度能力表，實(shí)現(xiàn)對(duì)細(xì)粒度級(jí)別的數(shù)據(jù)共享；

細(xì)粒度能力申請(qǐng)方式：主體向能力創(chuàng)建者申請(qǐng)所述能力，能力創(chuàng)建者判斷是否授予能力，若授予能力，則將所述能力添加到相應(yīng)列表。

由以上方案可知，本發(fā)明的優(yōu)點(diǎn)在于：

第一、在分布式信息流模型基礎(chǔ)上添加多粒度能力授權(quán)方案，方便全局粗粒度的數(shù)據(jù)隔離保護(hù)和細(xì)粒度的數(shù)據(jù)共享，具備了傳統(tǒng)訪問控制模型和分布式信息流控制模型的優(yōu)點(diǎn)；第二、提供全面的能力授權(quán)方式和零機(jī)密主體能力授權(quán)機(jī)制，方便了能力授權(quán)，進(jìn)而方便了數(shù)據(jù)的隔離保護(hù)和共享；第三、通過設(shè)計(jì)適用于云平臺(tái)的多粒度管控類型列表，能擴(kuò)展到云平臺(tái)的數(shù)據(jù)保護(hù)。

附圖說明

圖1為一種多粒度能力授權(quán)方案圖；

圖2為全面的能力授權(quán)方式圖；

圖3為零機(jī)密進(jìn)程能力授權(quán)機(jī)制圖。

具體實(shí)施方式

本發(fā)明提出一種多粒度分布式信息流控制模型：

特征1)提供多粒度的能力授權(quán)，包括粗粒度能力授權(quán)和細(xì)粒度能力授權(quán)；

特征2)提供全面的能力授權(quán)方式；

特征3)使用零機(jī)密主體實(shí)施能力授權(quán)；

特征4)可同時(shí)實(shí)現(xiàn)傳統(tǒng)訪問控制的粗粒度管控和分布式信息流控制的細(xì)粒度管控的能力；

特征5)能擴(kuò)展到云平臺(tái)的數(shù)據(jù)保護(hù)。

多粒度分布式信息流控制模型擁有多粒度管控類別列表：ControlTypeList＝[ControlType1,ControlType2,ControlType3,…,ControlT ypeN]；一個(gè)多粒度管控類別列表包含多個(gè)管控類別，通過不同的管控類別，實(shí)現(xiàn)對(duì)數(shù)據(jù)的不同粒度的訪問控制；每一種管控類別可對(duì)應(yīng)一種全局級(jí)別管控和一種全局進(jìn)程級(jí)別管控。如圖1所示，為當(dāng)ControlTypeList＝[OSGroup,OSRole,OSUser]時(shí)的多粒度能力授權(quán)方案。。

在傳統(tǒng)訪問控制模型中，可包含的管控類別有：用戶組(OSGroup)，角色(OSRole)，用戶(OSUser)。則多粒度管控類別列表為OSControlTypeList＝[OSGroup,OSRole,OSUser]。

該模型中用于訪問控制的實(shí)體如下：

客體標(biāo)記，包括安全標(biāo)簽、安全屬性?？腕w的安全標(biāo)簽，包括機(jī)密性標(biāo)簽和完整性標(biāo)簽，表達(dá)了客體創(chuàng)建者對(duì)客體添加的安全屬性，用于保護(hù)客體的機(jī)密性和完整性。主體在創(chuàng)建客體時(shí)，可創(chuàng)建標(biāo)簽，并向該客體添加標(biāo)簽。客體的安全屬性，包括用于訪問控制的客體屬性，如客體所屬主體(客體創(chuàng)建者)；

客體標(biāo)記可設(shè)計(jì)為：[TagSets(IntegrityTagSet,SecurityTagSet)；SecurityAttribute]

主體標(biāo)記，包括安全標(biāo)簽、安全能力、安全屬性。主體的安全標(biāo)簽，包括機(jī)密性標(biāo)簽和完整性標(biāo)簽，表達(dá)了主體的安全屬性，也表達(dá)了主體的操作權(quán)限。主體可通過自身能力添加標(biāo)簽和刪除標(biāo)簽。主體的安全能力，每個(gè)標(biāo)簽對(duì)應(yīng)可添加標(biāo)簽和可刪除標(biāo)簽，分別實(shí)現(xiàn)向主體添加標(biāo)簽和刪除標(biāo)簽，所以一共有四種能力。主體在創(chuàng)建客體時(shí)，可以創(chuàng)建標(biāo)簽，同時(shí)產(chǎn)生可添加標(biāo)簽?zāi)芰涂蓜h除標(biāo)簽?zāi)芰?。主體向客體添加標(biāo)簽，設(shè)置客體的安全屬性和訪問要求；也可以通過能力授權(quán)，將能力分享出去，實(shí)現(xiàn)對(duì)客體數(shù)據(jù)共享。主體的能力可來自自己創(chuàng)建標(biāo)簽時(shí)產(chǎn)生的能力，也可來自其它主體的能力授予。主體的安全屬性，包括用于訪問控制的客體屬性，如主體的用戶組，主體的角色,主體的用戶等；

主體標(biāo)記可設(shè)計(jì)為：[TagSets(IntegrityTagSet,SecurityTagSet)；CapSets(AddIntegrityTagSet,AddSecurityTagSet,RemoveIntegrityTagSet,RemoveSecurityTagSet)；SecurityAttribute]

全局能力表，用于實(shí)現(xiàn)粗粒度能力授予，與多粒度控制類別列表對(duì)應(yīng)；

全局能力表可包含：GlobalCapList＝[ControlType1,ControlType2,ControlType3,…,ControlTypeN]，即OSGlobalCapList＝[OSGroupList,OSRoleList,OSUserList]

細(xì)粒度能力表，用于實(shí)現(xiàn)細(xì)粒度的能力授予，與多粒度控制類別列表對(duì)應(yīng)；

細(xì)粒度能力表可包含：

ProcessCapList＝[ControlType1,ControlType2,ControlType3,…,Contr olTypeN]，即

OSProcessCapList＝[OSGroupProcessList,OSRoleProcessList,OSUserProces sList]

客體是指被訪問的資源，如文件等。主體是指可訪問資源的進(jìn)程或線程，同一個(gè)可執(zhí)行文件運(yùn)行的2個(gè)進(jìn)程，認(rèn)為是不同的主體，如果其屬性不同，則安全屬性也不同。全局能力表用于實(shí)現(xiàn)粗粒度的信息流控制；細(xì)粒度能力表用于實(shí)現(xiàn)細(xì)粒度的信息流控制；

該模型的信息流控制規(guī)則如下：

用p,q表示主體或者客體，S_p表示p的機(jī)密性標(biāo)簽集，I_p表示p的完整性標(biāo)簽集，D_p表示p的雙權(quán)限標(biāo)簽集，R_p表示p的可刪除標(biāo)簽集，A_p表示p的可添加標(biāo)簽集。安全的信息流動(dòng)規(guī)則如下：

S1，如果p和q的安全標(biāo)記滿足以下關(guān)系

且

那么從p到q的數(shù)據(jù)流動(dòng)就是安全的。

S2，如果不滿足上述關(guān)系(1)，但是滿足

且

那么從p到q的數(shù)據(jù)流動(dòng)也是安全的，而且不需要改變p，q的安全標(biāo)記，就可以直接進(jìn)行通信。上述關(guān)系式說明p，q可以通過改變自身標(biāo)記去完成安全通信，而且通信結(jié)束還可以將標(biāo)記還原到通信前狀態(tài)。

S3，如果不滿足上述關(guān)系(1)和(2)，但是滿足

且

那么p和q也可以進(jìn)行通信，但是在通信之前，需要通過自身能力將安全標(biāo)記改變，以滿足如下關(guān)系

且

這種情況下，并不能保證通信結(jié)束后p和q能將標(biāo)記還原到通信前狀態(tài)，所以要改變自身安全標(biāo)記之后才能進(jìn)行通信。

根據(jù)數(shù)據(jù)的類別，又將信息流控制劃分為讀寫文件、進(jìn)程間通信和網(wǎng)絡(luò)通信等。

特征1)提供多粒度能力授權(quán)，通過粗粒度能力授權(quán)實(shí)現(xiàn)粗粒度的數(shù)據(jù)保護(hù)隔離及共享；通過細(xì)粒度能力授權(quán)方法實(shí)現(xiàn)細(xì)粒度的數(shù)據(jù)保護(hù)隔離及共享，如圖1所示：

粗粒度能力授權(quán)的授權(quán)粒度是全局授權(quán)粒度，并有不同的全局粒度級(jí)別，對(duì)應(yīng)不同的全局能力表。細(xì)粒度能力授權(quán)的授權(quán)粒度關(guān)聯(lián)到某一類特定進(jìn)程(如，一般一個(gè)應(yīng)用啟動(dòng)的多個(gè)進(jìn)程屬于一類進(jìn)程，每類進(jìn)程中的所有進(jìn)程擁有相同的能力集合，但是它們標(biāo)簽集合可以不同，從而可以完成不同的任務(wù))，并有不同的細(xì)粒度級(jí)別，對(duì)應(yīng)不同的細(xì)粒度能力表。

特征2)全面的能力授權(quán)方式，包括分布式授權(quán)方式和集中式授權(quán)方式，如圖2所示：

S1-1，分布式授權(quán)方式由能力創(chuàng)建者實(shí)施，前兩種是分布式主動(dòng)授權(quán)方式，第三種是分布式被動(dòng)授權(quán)方式，包括：

全局能力授權(quán)方式：主體將創(chuàng)建的能力添加到全局能力表，實(shí)現(xiàn)對(duì)該全局粒度級(jí)別的數(shù)據(jù)保護(hù)隔離和共享。其它主體可從自身對(duì)應(yīng)的全局能力表中獲取到能力。

細(xì)粒度能力授權(quán)方式：主體將創(chuàng)建的能力添加到細(xì)粒度能力表，實(shí)現(xiàn)對(duì)該細(xì)粒度級(jí)別的數(shù)據(jù)共享。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

細(xì)粒度能力申請(qǐng)方式：其它主體向能力創(chuàng)建者申請(qǐng)?jiān)撃芰?，能力?chuàng)建者判斷授予能力或不授予能力，此時(shí)授予直接將能力添加到OSUserProcessList。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

S1-2，集中式授權(quán)方式由管理員或管理進(jìn)程實(shí)施，前兩種是集中式主動(dòng)授權(quán)方式，第三種是集中式被動(dòng)授權(quán)方式，包括：

全局能力授權(quán)方式：管理員或管理進(jìn)程將創(chuàng)建的能力添加到全局能力表，實(shí)現(xiàn)對(duì)該全局粒度級(jí)別的數(shù)據(jù)保護(hù)隔離和共享。其它主體可從自身對(duì)應(yīng)的全局能力表中獲取到能力。

細(xì)粒度能力授權(quán)方式：管理員或管理進(jìn)程將創(chuàng)建的能力添加到細(xì)粒度能力表，實(shí)現(xiàn)對(duì)該細(xì)粒度級(jí)別的數(shù)據(jù)共享。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

細(xì)粒度能力申請(qǐng)方式：其它主體向管理員或管理進(jìn)程申請(qǐng)?jiān)撃芰?，管理員或管理進(jìn)程判斷授予能力或不授予能力，此時(shí)授予直接將能力添加到OSUserProcessList。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

特征3)使用零機(jī)密主體實(shí)施能力授權(quán)，以靈活的共享數(shù)據(jù)。此處主要指零機(jī)密主體實(shí)施分布式能力授權(quán)，集中式能力授權(quán)由管理員或管理進(jìn)程實(shí)施。如圖3所示：

零機(jī)密主體指一個(gè)主體只擁有其自己創(chuàng)建的標(biāo)簽。

如果一個(gè)主體擁有外來標(biāo)簽(非自己創(chuàng)建的標(biāo)簽)，且該標(biāo)簽是一個(gè)機(jī)密性標(biāo)簽，那么該主體可能讀取了該標(biāo)簽所保護(hù)的敏感數(shù)據(jù)。如果此時(shí)主體進(jìn)行能力授權(quán)，會(huì)改變授權(quán)對(duì)象的安全屬性，此時(shí)會(huì)產(chǎn)生隱通道，泄露機(jī)密數(shù)據(jù)。而如果此時(shí)該主體是零機(jī)密主體，即該主體沒有外來獲取到的機(jī)密性數(shù)據(jù)，則不會(huì)泄露機(jī)密數(shù)據(jù)。在集中式能力授權(quán)方式中，由管理員或管理進(jìn)程實(shí)施能力授權(quán)，修改授權(quán)對(duì)象的安全屬性，其它主體無法控制這種行為，所以不會(huì)產(chǎn)生隱通道泄露機(jī)密數(shù)據(jù)。所以在本發(fā)明模型中如果某個(gè)主體包含外來標(biāo)簽，則其不能執(zhí)行能力授權(quán)等操作。每個(gè)主體在執(zhí)行授權(quán)操作時(shí)，需要由對(duì)應(yīng)的零機(jī)密主體實(shí)施能力授權(quán)。

一個(gè)應(yīng)用程序同時(shí)執(zhí)行多次，可有多個(gè)應(yīng)用進(jìn)程。如果進(jìn)程在加載后是零機(jī)密進(jìn)程，此時(shí)可以進(jìn)行能力授權(quán)；在獲取外來標(biāo)簽后，變成非零機(jī)密進(jìn)程，不能再進(jìn)行能力授權(quán)，如果此時(shí)需要進(jìn)行能力授權(quán)則需要由其它零進(jìn)程實(shí)施能力授權(quán)。零機(jī)密主體必須保證，該主體不能訪問到非零機(jī)密主體的數(shù)據(jù)，例如內(nèi)存數(shù)據(jù)等。

特征4)可同時(shí)實(shí)現(xiàn)傳統(tǒng)訪問控制的粗粒度管控和分布式信息流控制的細(xì)粒度管控的能力。

實(shí)現(xiàn)傳統(tǒng)訪問控制的粗粒度管控的能力：本發(fā)明的訪問控制模型是在經(jīng)典分布式信息流控制模型的基礎(chǔ)上添加了不同粒度的能力授權(quán)，通過支持全局能力表支持粗粒度能力授權(quán)以實(shí)現(xiàn)粗粒度的數(shù)據(jù)保護(hù)和共享，同時(shí)支持集中式能力授權(quán)方式，所以可以實(shí)現(xiàn)傳統(tǒng)訪問控制的粗粒度管控。

實(shí)現(xiàn)分布式信息流控制的細(xì)粒度管控的能力：本發(fā)明的訪問控制模型是在經(jīng)典分布式信息流控制模型的基礎(chǔ)上添加了不同粒度的能力授權(quán)，訪問控制實(shí)施是進(jìn)程粒度級(jí)別，且提供了進(jìn)程粒度級(jí)別的能力授權(quán)方式，所以仍具有細(xì)粒度管控能力。

使用本發(fā)明模型，可同時(shí)根據(jù)粗粒度管控和細(xì)粒度管控的優(yōu)缺點(diǎn)，設(shè)計(jì)符合實(shí)際應(yīng)用場(chǎng)景的訪問策略。

特征5)能擴(kuò)展到云平臺(tái)的數(shù)據(jù)保護(hù)。在不同的應(yīng)用場(chǎng)景，可設(shè)計(jì)不同的多粒度管控列表。設(shè)計(jì)適應(yīng)于云平臺(tái)的多粒度管控列表，能將現(xiàn)有模型擴(kuò)展到云平臺(tái)的數(shù)據(jù)保護(hù)。

在云平臺(tái)基礎(chǔ)設(shè)施即服務(wù)中，可包含的管控類別有(以openstack為例)：云域(CloudDomain)，云項(xiàng)目(CloudProject)，云實(shí)例(CloudInstance)，云組(CloudGroup)，云用戶(CloudUser)，云角色(CloudRole)，用戶(OSUser)，用戶組(OSGroup)，角色(OSRole)。則多粒度管控類別列表為IaaSControlTypeList＝[CloudDomain,CloudProject,CloudInstance,CloudGroup,CloudUser,CloudRole,OSUser,OSGroup,OSRole]。此處的云域等概念和openstack中有區(qū)別，此處是用于保護(hù)云平臺(tái)數(shù)據(jù)的，而在openstack中用于保護(hù)云服務(wù)的API。

在云平臺(tái)軟件即服務(wù)中，可包含的管控類別有：云域(CloudDomain)，云項(xiàng)目(CloudProject)，云實(shí)例(CloudInstance)，云組(CloudGroup)，云用戶(CloudUser)，云角色(CloudRole)。則多粒度管控類別列表為SaaSControlTypeList＝[CloudDomain,CloudProject,CloudInstance,CloudGroup,CloudUser,CloudRole]。此處的云域等概念是用于保護(hù)云應(yīng)用的數(shù)據(jù)。

本發(fā)明還提出一種多粒度分布式信息流控制系統(tǒng)，包括：

設(shè)置多粒度管控類別列表模塊，用于設(shè)置多粒度管控類別列表，所述多粒度管控類別列表包括多個(gè)管控類別，通過相應(yīng)的管控類別，對(duì)數(shù)據(jù)進(jìn)行多粒度的訪問控制，其中每個(gè)所述管控類別對(duì)應(yīng)一種全局級(jí)別管控與一種全局進(jìn)程級(jí)別管控；

訪問控制模塊，用于創(chuàng)建全局能力表與細(xì)粒度能力表，并設(shè)置信息流控制規(guī)則，通過所述全局能力表、所述細(xì)粒度能力表、所述信息流控制規(guī)則，對(duì)數(shù)據(jù)進(jìn)行多粒度多強(qiáng)度訪問控制，其中所述全局能力表用于粗粒度能力授予，其與所述多粒度管控類別列表相對(duì)應(yīng)。

用于訪問控制的主體為：客體標(biāo)記、主體標(biāo)記。

用p,q表示主體或者客體，S_p表示p的機(jī)密性標(biāo)簽集，I_p表示p的完整性標(biāo)簽集，D_p表示p的雙權(quán)限標(biāo)簽集，R_p表示p的可刪除標(biāo)簽集，A_p表示p的可添加標(biāo)簽集，所述信息流控制規(guī)則為：

1)如果p和q的安全標(biāo)記滿足以下關(guān)系

且

則從p到q的數(shù)據(jù)流動(dòng)為安全；

2)如果不滿足1)的關(guān)系，但是滿足

且

則從p到q的數(shù)據(jù)流動(dòng)為安全的，而且無需改變p，q的安全標(biāo)記，直接進(jìn)行通信；

3)如果不滿足1)和2)的關(guān)系，但是滿足

且

則p和q可以進(jìn)行通信，但在通信之前，將安全標(biāo)記改變，以滿足且

粗粒度能力授權(quán)的授權(quán)粒度為全局授權(quán)粒度，并有多種的全局粒度級(jí)別，對(duì)應(yīng)各自的全局能力表；細(xì)粒度能力授權(quán)的授權(quán)粒度關(guān)聯(lián)到某一類進(jìn)程，并有多種的細(xì)粒度級(jí)別，對(duì)應(yīng)各自的細(xì)粒度能力表。

還包括全局能力授權(quán)方式：主體將創(chuàng)建的能力添加到全局能力表，實(shí)現(xiàn)對(duì)全局粒度級(jí)別的數(shù)據(jù)保護(hù)隔離和共享；

細(xì)粒度能力授權(quán)方式：主體將創(chuàng)建的能力添加到細(xì)粒度能力表，實(shí)現(xiàn)對(duì)細(xì)粒度級(jí)別的數(shù)據(jù)共享；

細(xì)粒度能力申請(qǐng)方式：主體向能力創(chuàng)建者申請(qǐng)所述能力，能力創(chuàng)建者判斷是否授予能力，若授予能力，則將所述能力添加到相應(yīng)列表。

本發(fā)明通過如下技術(shù)方案實(shí)現(xiàn)。實(shí)例為基于Openstack云計(jì)算平臺(tái)基礎(chǔ)設(shè)施即服務(wù)的訪問控制模型的具體設(shè)計(jì)。

本發(fā)明提出一種多粒度分布式信息流控制模型。

在云平臺(tái)基礎(chǔ)設(shè)施即服務(wù)中，可包含的管控類別有(以openstack為例)：云域(CloudDomain)，云項(xiàng)目(CloudProject)，云實(shí)例(CloudInstance)，云組(CloudGroup)，云用戶(CloudUser)，云角色(CloudRole)，用戶(OSUser)，用戶組(OSGroup)，角色(OSRole)。則多粒度管控類別列表為IaaSControlTypeList＝[CloudDomain,CloudProject,CloudInstance,CloudGroup,CloudUser,CloudRole,OSUser,OSGroup,OSRole]。此處的云域等概念和openstack中有區(qū)別，此處是用于保護(hù)云平臺(tái)數(shù)據(jù)的，而在openstack中用于保護(hù)云服務(wù)的API。CloudGroup，CloudRole和CloudUser提供云平臺(tái)范圍的訪問控制，而OSGroup，CloudRole和OSUser提供具體虛擬機(jī)實(shí)例內(nèi)的訪問控制。允許多個(gè)CloudUser使用不同的OSUser登錄一個(gè)虛擬機(jī)實(shí)例，同一個(gè)CloudUser在不同的虛擬機(jī)實(shí)例中可使用不同的OSUser。

該模型中用于訪問控制的安全結(jié)構(gòu)有：

客體標(biāo)記可設(shè)計(jì)為：[TagSets(IntegrityTagSet,SecurityTagSet)；SecurityAttribute]

主體標(biāo)記可設(shè)計(jì)為：[TagSets(IntegrityTagSet,SecurityTagSet)；CapSets(AddIntegrityTagSet,AddSecurityTagSet,RemoveIntegrityTagSet,RemoveSecurityTagSet)；SecurityAttribute]

全局能力表可設(shè)計(jì)為：IaaSGlobalCapList＝[CloudDomainList,CloudProjectList,CloudInstanceList,CloudGroupList,CloudUserList,CloudRoleList,OSUserList,OSGroupList,OSRoleList]

細(xì)粒度能力表可設(shè)計(jì)為：IaaSProcessCapList＝[CloudDomainProcessList,CloudProjectProcessList,CloudInstanceProcessList,CloudGroupProcessList,CloudUserProcessList,CloudRoleProcessList,OSUserProcessList,OSGroupProcessList,OSRoleProcessList]

該模型的信息流控制規(guī)則如下：

用p,q表示主體或者客體，S_p表示p的機(jī)密性標(biāo)簽集，I_p表示p的完整性標(biāo)簽集，D_p表示p的雙權(quán)限標(biāo)簽集，R_p表示p的可刪除標(biāo)簽集，A_p表示p的可添加標(biāo)簽集。安全的信息流動(dòng)規(guī)則如下：

如果p和q的安全標(biāo)記滿足以下關(guān)系

且

那么從p到q的數(shù)據(jù)流動(dòng)就是安全的。

如果不滿足上述關(guān)系(1)，但是滿足

且

那么從p到q的數(shù)據(jù)流動(dòng)也是安全的，而且不需要改變p，q的安全標(biāo)記，就可以直接進(jìn)行通信。上述關(guān)系式說明p，q可以通過改變自身標(biāo)記去完成安全通信，而且通信結(jié)束還可以將標(biāo)記還原到通信前狀態(tài)。

如果不滿足上述關(guān)系(1)和(2)，但是滿足

且

那么p和q也可以進(jìn)行通信，但是在通信之前，需要通過自身能力將安全標(biāo)記改變，以滿足如下關(guān)系

且

這種情況下，并不能保證通信結(jié)束后p和q能將標(biāo)記還原到通信前狀態(tài)，所以要改變自身安全標(biāo)記之后才能進(jìn)行通信。

根據(jù)數(shù)據(jù)的類別，又將信息流控制劃分為讀寫文件、進(jìn)程間通信和網(wǎng)絡(luò)通信等。

粗粒度能力授權(quán)的不同全局粒度級(jí)別，對(duì)應(yīng)不同的全局能力表，有：[CloudDomainList,CloudProjectList,CloudInstanceList,CloudGroupList,CloudUserList,CloudRoleList,OSUserList,OSGroupList,OSRoleList]

細(xì)粒度能力授權(quán)的不同的細(xì)粒度級(jí)別，對(duì)應(yīng)不同的細(xì)粒度能力表，有：[CloudDomainProcessList,CloudProjectProcessList,CloudInstanceProcessList,CloudGroupProcessList,CloudUserProcessList,CloudRoleProcessList,OSUserProcessList,OSGroupProcessList,OSRoleProcessList]

可提供能力授權(quán)方式如下：

分布式全局能力授權(quán)方式：由零機(jī)密主體將創(chuàng)建的能力添加到全局能力表，實(shí)現(xiàn)對(duì)該全局粒度級(jí)別的數(shù)據(jù)保護(hù)隔離和共享。其它主體可從自身對(duì)應(yīng)的全局能力表中獲取到能力。

分布式細(xì)粒度能力授權(quán)方式：由零機(jī)密主體將創(chuàng)建的能力添加到細(xì)粒度能力表，實(shí)現(xiàn)對(duì)該細(xì)粒度級(jí)別的數(shù)據(jù)共享。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

分布式細(xì)粒度能力申請(qǐng)方式：由其它主體向能力創(chuàng)建者的零機(jī)密主體申請(qǐng)?jiān)撃芰?，該零機(jī)密主體判斷授予能力或不授予能力，此時(shí)授予直接將能力添加到CloudUserProcessList。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

集中式全局能力授權(quán)方式：由管理員將創(chuàng)建的能力添加到全局能力表，實(shí)現(xiàn)對(duì)該全局粒度級(jí)別的數(shù)據(jù)保護(hù)隔離和共享。其它主體可從自身對(duì)應(yīng)的全局能力表中獲取到能力。

集中式細(xì)粒度能力授權(quán)方式：由管理員將創(chuàng)建的能力添加到細(xì)粒度能力表，實(shí)現(xiàn)對(duì)該細(xì)粒度級(jí)別的數(shù)據(jù)共享。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

集中式細(xì)粒度能力申請(qǐng)方式：由其它主體向管理員申請(qǐng)?jiān)撃芰?，管理員判斷授予能力或不授予能力，此時(shí)授予直接將能力添加到CloudUserProcessList。其它主體可從自身對(duì)應(yīng)的細(xì)粒度能力表中獲取到能力。

結(jié)合零機(jī)密主體的機(jī)制，一種具體的能力授權(quán)方案如下：在進(jìn)程啟動(dòng)時(shí)，進(jìn)程是零機(jī)密進(jìn)程，可以進(jìn)行分布式主動(dòng)能力授權(quán)；在獲取到外來標(biāo)簽后，由零機(jī)密進(jìn)程實(shí)施分布式被動(dòng)能力授權(quán)；任何時(shí)候管理員都可以進(jìn)行集中式能力授權(quán)。

使用本發(fā)明的訪問控制模型，通過使用全局能力表授權(quán)能力，實(shí)現(xiàn)粗粒度的數(shù)據(jù)保護(hù)隔離，是粗粒度的信息流管控；通過使用細(xì)粒度能力表授權(quán)能力，實(shí)現(xiàn)細(xì)粒度的數(shù)據(jù)共享，結(jié)合進(jìn)程級(jí)的信息流控制執(zhí)行，是細(xì)粒度的信息流管控。

本模型中可通過粗粒度能力授權(quán)實(shí)現(xiàn)弱管控，通過細(xì)粒度能力授權(quán)實(shí)現(xiàn)強(qiáng)管控，方便根據(jù)需要制定訪問控制策略。

該訪問控制模型的實(shí)現(xiàn)需要以下模塊。

數(shù)據(jù)存儲(chǔ)模塊：可采用數(shù)據(jù)庫存儲(chǔ)或文件存儲(chǔ)等方式，存儲(chǔ)客體安全標(biāo)記、主體安全標(biāo)記、審計(jì)日志及其它訪問控制信息。

攔截系統(tǒng)調(diào)用模塊：用于攔截系統(tǒng)讀寫等操作，為訪問控制策略執(zhí)行做準(zhǔn)備。

策略管理模塊：為權(quán)限授予和訪問控制策略執(zhí)行等提供服務(wù)，獲取和更改主體和客體的安全標(biāo)記。

策略執(zhí)行模塊：根據(jù)主客體安全標(biāo)記，實(shí)施訪問控制，決策信息流動(dòng)。

審計(jì)模塊：負(fù)責(zé)審計(jì)關(guān)鍵事件和記錄日志的工作。

管理進(jìn)程或管理員：接收能力申請(qǐng)和實(shí)施能力授予。