一种基于安全策略的云数据访问控制优化技术

苏 雪, 宋国新

(1.武汉铁路职业技术学院,武汉 430205;2.华东理工大学信息科学与工程学院,上海 200237)

一种基于安全策略的云数据访问控制优化技术

苏 雪1, 宋国新2

(1.武汉铁路职业技术学院,武汉 430205;2.华东理工大学信息科学与工程学院,上海 200237)

云存储安全给访问控制技术带来了新的挑战。提出了一种基于安全策略的云数据访问控制优化方法,基本思想是利用数据关联关系进行安全策略精化,基于属性的安全策略中融合了角色和信誉特征。利用数据关联关系对云数据进行细粒度划分,得到相应的数据块;对策略中的规则和数据块进行匹配和冲突消除,得到精化的安全策略。理论分析和实验结果表明,本文方法对于数据量大的云数据访问控制具有较高的效率。

云存储; 安全策略; 信誉; 访问控制; 优化

数据安全是云计算应用面临的主要挑战之一[1],访问控制是数据安全和网络通信安全的基本方法。以DAC,MAC,RBAC[2-3]为代表的访问控制方法在操作系统、数据库安全领域已经得到广泛应用,基于安全策略的访问控制方法适合于网络环境下托管数据的安全管理。XACML(eXtensible Access Control Markup Language) 是一种基于XML格式的访问控制标准,被广泛应用于网络应用和网络服务中[4]。XACML是一种层次化语言模型,它提供了策略集、策略和规则3种对象及对象之间的融合算法,用于仲裁安全规则之间的冲突并设定默认解决方案,从而保证访问控制决策的一致性。

基于XACML的访问控制研究已有大量成果。Hu等[5]提出了一种应用于Web访问控制中基于逻辑的XACML策略管理机制,并对规则的冲突和冗余进行检测和消除。Wang等[6]提出一种相关类型的策略优化引擎,并对层次化的XACML利用树状图分析和优化。然而上述文献并未充分考虑到策略的安全性,同时基于策略本身的优化方法,效率依然取决于策略长度,并未从根本上优化决策算法的复杂度。Pei等[7]提出了规则优化方法,但策略中没有考虑角色和信誉的因素。Said[8]提出了一个评估策略执行效率的框架,并形式化地描述了XACML及策略相似性的度量方法。Bertolino等[9]对XACML的自动测试方法进行了研究,但对于具体的优化方式并未给出可行性方案。

本文在基于属性的安全策略中融合了角色和信誉特征,并提出了一种基于策略的云数据访问控制优化算法pbacPDP (policy-based access control Policy Decision Point)。利用数据关联关系对云数据进行划分,对策略和数据块进行匹配和冲突消除,得到优化的安全策略。

1 安全策略模型

1.1 策略的描述

一个XACML策略可以包含多条规则,在一个规则中,主体、资源、行为构成其基本属性,同时规则可以具有执行条件约束。规则具有“允许”和“拒绝”两种效用。由多个规则构成的策略具有一个融合算法,用来解决规则之间的冲突。同样,策略集也具有融合算法,解决策略之间的冲突。XACML自带的融合算法有4种,分别为允许优先算法(Permit-Override)、拒绝优先算法(Deny-Override)、首次适用算法(First-Applicable)和唯一适用算法(Only-one-Applicable)。XACML安全策略模型的形式化描述如下:Policyset::=,{|}+,

Policy::=,{}+,

rule::=(,,,)

target::={(,