一種基于安全策略的云數據訪問控制優化技術

蘇 雪, 宋國新

(1.武漢鐵路職業技術學院,武漢 430205;2.華東理工大學信息科學與工程學院,上海 200237)

一種基于安全策略的云數據訪問控制優化技術

蘇 雪1, 宋國新2

(1.武漢鐵路職業技術學院,武漢 430205;2.華東理工大學信息科學與工程學院,上海 200237)

云存儲安全給訪問控制技術帶來了新的挑戰。提出了一種基于安全策略的云數據訪問控制優化方法,基本思想是利用數據關聯關系進行安全策略精化,基于屬性的安全策略中融合了角色和信譽特征。利用數據關聯關系對云數據進行細粒度劃分,得到相應的數據塊;對策略中的規則和數據塊進行匹配和沖突消除,得到精化的安全策略。理論分析和實驗結果表明,本文方法對于數據量大的云數據訪問控制具有較高的效率。

云存儲; 安全策略; 信譽; 訪問控制; 優化

數據安全是云計算應用面臨的主要挑戰之一[1],訪問控制是數據安全和網絡通信安全的基本方法。以DAC,MAC,RBAC[2-3]為代表的訪問控制方法在操作系統、數據庫安全領域已經得到廣泛應用,基于安全策略的訪問控制方法適合于網絡環境下托管數據的安全管理。XACML(eXtensible Access Control Markup Language) 是一種基于XML格式的訪問控制標準,被廣泛應用于網絡應用和網絡服務中[4]。XACML是一種層次化語言模型,它提供了策略集、策略和規則3種對象及對象之間的融合算法,用于仲裁安全規則之間的沖突并設定默認解決方案,從而保證訪問控制決策的一致性。

基于XACML的訪問控制研究已有大量成果。Hu等[5]提出了一種應用于Web訪問控制中基于邏輯的XACML策略管理機制,并對規則的沖突和冗余進行檢測和消除。Wang等[6]提出一種相關類型的策略優化引擎,并對層次化的XACML利用樹狀圖分析和優化。然而上述文獻并未充分考慮到策略的安全性,同時基于策略本身的優化方法,效率依然取決于策略長度,并未從根本上優化決策算法的復雜度。Pei等[7]提出了規則優化方法,但策略中沒有考慮角色和信譽的因素。Said[8]提出了一個評估策略執行效率的框架,并形式化地描述了XACML及策略相似性的度量方法。Bertolino等[9]對XACML的自動測試方法進行了研究,但對于具體的優化方式并未給出可行性方案。

本文在基于屬性的安全策略中融合了角色和信譽特征,并提出了一種基于策略的云數據訪問控制優化算法pbacPDP (policy-based access control Policy Decision Point)。利用數據關聯關系對云數據進行劃分,對策略和數據塊進行匹配和沖突消除,得到優化的安全策略。

1 安全策略模型

1.1 策略的描述

一個XACML策略可以包含多條規則,在一個規則中,主體、資源、行為構成其基本屬性,同時規則可以具有執行條件約束。規則具有“允許”和“拒絕”兩種效用。由多個規則構成的策略具有一個融合算法,用來解決規則之間的沖突。同樣,策略集也具有融合算法,解決策略之間的沖突。XACML自帶的融合算法有4種,分別為允許優先算法(Permit-Override)、拒絕優先算法(Deny-Override)、首次適用算法(First-Applicable)和唯一適用算法(Only-one-Applicable)。XACML安全策略模型的形式化描述如下:Policyset::=,{|}+,

Policy::=,{}+,

rule::=(,,,)

target::={(,