论文部分内容阅读
基于X.509数字证书的PKI体系提供了网络计算环境中良好的信任机制,并能提供通用的安全服务如机密性、完整性和不可否认性等.它已经成为信息安全服务的具有普遍性的安全基础设施,它可以为各种网络应用提供强有力的信息安全保障.但PKI仅仅解决了网络中的身份认证,不能满足信息安全中对授权(用户属性信息)的需求.于是,ITU在2000年发布的X.509 V4中提出了基于属性证书(Attribute Certificate,AC)的特权管理基础设施(Privilege Management Infrastructure,PMI),为网络授权指明了研究方向.本文的第五章详细介绍了作者提出的一个可行的RBPMI模型,对该模型的运行机制作了简要介绍,重点阐述了该模型实现中的关键技术.该模型是作者在深入学习、吸收前人的研究成果的基础上,综合参考X.509和X.812等国际标准后而提出的,具有一定的理论价值和现实意义.该模型吸收了PMI、RBAC和标准访问控制框架ISO 10181-3三者的优点,可以用来实现网络应用中的授权管理和访问控制.该模型灵活使用了"推"、"拉"两种模式,综合了两者的优点,遵循标准和开放的原则,具有良好的可扩展性和可移植性.该模型的实现过程中主要有以下一些关键问题:证书编解码、证书库设计、授权策略的表达与实现和证书撤销的实现.其中,授权策略的定义是使用PMI应用的最大挑战.作者综合参考了前人的研究成果,具体结合本模型,定义了模型的授权策略,并基于XML实现了这些授权策略.该模型的授权策略具体包含以下几个部分:主体策略(Subiect Policy)、SOA策略(SOAPolicy)、角色策略(Role Policy)、角色分配策略(Role Assignment Policy)、对象策略(Object Policy)、操作策略(Operation Policy)和对象访问策略(Object Access Policy).针对每一种策略,本文都给出了XML示例并讨论了策略的管理.对于证书编解码,本文给出了基于DER(Distinguished Encoding Rules)的解决方案,并给出了关键Java代码示例.对于证书库设计,一般有三种方法:基于文件系统实现、基于数据库实现和基于目录服务实现.由于LDAP(Lightweight Directory Access Protocol)使用简便,它自身带有多种灵活的项目检索、匹配和维护等功能与安全机制,还有众多友好的开发工具,另外它针对大量的访问操作进行了设计与优化,所以本模型中我们采用LDAP目录服务设计证书库.对于证书撤销,本文对证书撤销的两种实现机制CRL和OCSP都给出了解决方案.本文第五章还展示了模型实现后的系统概貌并对该模型的特点进行了总结.文章的最后,对整个课题的研究与实现作了总结,并对进一步的工作方向作了展望.