基于任務(wù)的訪問控制模型在高校圖書館的應(yīng)用

摘要：訪問控制是為了提高效益，增強(qiáng)競(jìng)爭(zhēng)力，保障信息管理系統(tǒng)的安全而產(chǎn)生的一種信息安全技術(shù)?；谌蝿?wù)的訪問控制模型(TBAC)是從應(yīng)用的角度來解決安全問題，是基于主動(dòng)式安全模型，以面向任務(wù)的觀點(diǎn)來建立安全模型和實(shí)現(xiàn)安全機(jī)制，在任務(wù)處理的過程中提供動(dòng)態(tài)實(shí)時(shí)的安全管理。將這種技術(shù)利用于高校數(shù)字圖書館可以有效的提高系統(tǒng)的效率，實(shí)現(xiàn)靈活的授權(quán)機(jī)制。
關(guān)鍵詞：訪問控制技術(shù)；TBAC；工作流；動(dòng)態(tài)權(quán)限管理

    伴隨著數(shù)據(jù)庫、網(wǎng)絡(luò)和分布式計(jì)算的發(fā)展，組織任務(wù)進(jìn)一步自動(dòng)化，與服務(wù)相關(guān)的信息進(jìn)一步計(jì)算機(jī)化，這促使人們將安全問題方面的注意力從獨(dú)立的計(jì)算機(jī)系統(tǒng)中靜態(tài)的主體和客體保護(hù)，轉(zhuǎn)移到隨著任務(wù)的執(zhí)行而進(jìn)行動(dòng)態(tài)授權(quán)的保護(hù)上。

l TBAC的出現(xiàn)
    傳統(tǒng)的訪問控制技術(shù)模型主要有三種，即自主訪問控制模型(DAC)，強(qiáng)制訪問控制模型(MAC)和基于角色的訪問控制模型(RBAC)。而傳統(tǒng)的訪問控制模型都是從系統(tǒng)的角度出發(fā)去保護(hù)資源(控制環(huán)境是靜態(tài)的)，在進(jìn)行權(quán)限的控制時(shí)沒有考慮執(zhí)行的上下文環(huán)境。此外，傳統(tǒng)的訪問控制模型不能記錄主體對(duì)客體權(quán)限的使用，權(quán)限沒有時(shí)間限制，只要主體擁有對(duì)客體的訪問權(quán)限，主體就可以無數(shù)次地執(zhí)行該權(quán)限。
    考慮到上述原因，引入工作流的概念加以闡述。工作流是為完成某一目標(biāo)而由多個(gè)相關(guān)的任務(wù)(活動(dòng))構(gòu)成的業(yè)務(wù)流程。工作流所關(guān)注的問題是處理過程的自動(dòng)化，對(duì)人和其他資源進(jìn)行協(xié)調(diào)管理，從而完成某項(xiàng)工作。當(dāng)數(shù)據(jù)在工作流中流動(dòng)時(shí)，執(zhí)行操作的用戶在改變，用戶的權(quán)限也在改變，這與數(shù)據(jù)處理的上下文環(huán)境相關(guān)。傳統(tǒng)的DAC(自主訪問控制模型)和MAC(強(qiáng)制訪問控制模型)訪問控制技術(shù)，則無法予以實(shí)現(xiàn)，而RBAC(基于角色的控制模型)如今在數(shù)字圖書館中應(yīng)用很多，效果也很不錯(cuò)，但該模型需要頻繁地更換角色，且不適合工作流程的運(yùn)轉(zhuǎn)。這就迫使我們必須考慮新的模型機(jī)制，也就是在基于角色的基礎(chǔ)上發(fā)展基于任務(wù)的訪問控制模型。

2 TBAC的基本概念
    不同于傳統(tǒng)的訪問控制模型，TBAC(基于任務(wù)的訪問控制模型，Task—Based Access Control)傾向于基于應(yīng)用層的控制，而且是基于主動(dòng)式安全模型，以面向任務(wù)的觀點(diǎn)，從任務(wù)(活動(dòng))的角度來建立安全模型和實(shí)現(xiàn)安全機(jī)制，在任務(wù)處理的過程中提供動(dòng)態(tài)實(shí)時(shí)的安全管理。
    在TBAC中，對(duì)象的訪問權(quán)限控制并不是靜止不變的，而是隨著執(zhí)行任務(wù)的上下文環(huán)境發(fā)生變化。這種控制模型，更多的從活動(dòng)或任務(wù)的角度看待安全和實(shí)施的控制問題，它抽象出了一種控制機(jī)制，用于任務(wù)運(yùn)行期間的管理。其同時(shí)也抽象出任務(wù)之間的一些訪問/授權(quán)關(guān)聯(lián)關(guān)系。TBAC首要考慮的是在工作流的環(huán)境中對(duì)信息的保護(hù)問題：在工作流環(huán)境中，數(shù)據(jù)的處理與上一次的處理相關(guān)聯(lián)，相應(yīng)的訪問控制也如此，因而TBAC是一種上下文相關(guān)的訪問控制模型。其次，TBAC不僅能對(duì)不同工作流實(shí)行不同的訪問控制策略，而且還能對(duì)同一工作流的不同任務(wù)實(shí)例實(shí)行不同的訪問控制策略。從這個(gè)意義上說，TBAC是基于任務(wù)的，這也表明，TBAC是一種基于實(shí)例(instance-based)的訪問控制模型。

3 TBAC的構(gòu)成
    TBAC模型由工作流、授權(quán)結(jié)構(gòu)體、受托人集、許可集四部分組成。
    任務(wù)(task)是工作流程中的一個(gè)邏輯單元，是一個(gè)可區(qū)分的動(dòng)作，與多個(gè)用戶相關(guān)，也可能包括幾個(gè)子任務(wù)。授權(quán)結(jié)構(gòu)體是任務(wù)在計(jì)算機(jī)中進(jìn)行控制的一個(gè)實(shí)例。任務(wù)中的子任務(wù)，對(duì)應(yīng)于授權(quán)結(jié)構(gòu)體中的授權(quán)步。
    授權(quán)結(jié)構(gòu)體(authorization unit)：是由一個(gè)或多個(gè)授權(quán)步組成的結(jié)構(gòu)體，它們?cè)谶壿嬌鲜锹?lián)系在一起的。授權(quán)結(jié)構(gòu)體分為一般授權(quán)結(jié)構(gòu)體和原子授權(quán)結(jié)構(gòu)體。一般授權(quán)結(jié)構(gòu)體內(nèi)的授權(quán)步依次執(zhí)行，原子授權(quán)結(jié)構(gòu)體內(nèi)部的每個(gè)授權(quán)步緊密聯(lián)系，其中任何—個(gè)授權(quán)步失敗都會(huì)導(dǎo)致整個(gè)結(jié)構(gòu)體的失敗。授權(quán)步(authorization step)表示一個(gè)原始授權(quán)處理步，是指在一個(gè)工作流程中對(duì)處理對(duì)象的一次處理過程。授權(quán)步是訪問控制所能控制的最小單元，由受托人集(trustee-set)和多個(gè)許可集(peilnissions set)組成。
    受托人集是可被授予執(zhí)行授權(quán)步的用戶的集合，許可集則是受托集的成員被授予授權(quán)步時(shí)擁有的訪問許可。當(dāng)授權(quán)步初始化以后，一個(gè)來自受托人集中的成員將被授予授權(quán)步，我們稱這個(gè)受托人為授權(quán)步的執(zhí)行委托者，該受托人執(zhí)行授權(quán)步過程中所需許可的集合稱為執(zhí)行者許可集。授權(quán)步之間或授權(quán)結(jié)構(gòu)體之間的相互關(guān)系稱為依賴(dependen—cy)，依賴反映了基于任務(wù)的訪問控制的原則。授權(quán)步的狀態(tài)變化一般自我管理，依據(jù)執(zhí)行的條件而自動(dòng)變遷狀態(tài)，但有時(shí)也可以由管理員進(jìn)行調(diào)配。
    一個(gè)工作流的業(yè)務(wù)流程由多個(gè)任務(wù)構(gòu)成。而一個(gè)任務(wù)對(duì)應(yīng)于一個(gè)授權(quán)結(jié)構(gòu)體，每個(gè)授權(quán)結(jié)構(gòu)體由特定的授權(quán)步組成。授權(quán)結(jié)構(gòu)體之間以及授權(quán)步之間通過依賴關(guān)系聯(lián)系在一起。在TBAC中，一個(gè)授權(quán)步的處理可以決定后續(xù)授權(quán)步對(duì)處理對(duì)象的操作許可，上述許可集合稱為激活許可集。執(zhí)行者許可集和激活許可集一起稱為授權(quán)步的保護(hù)態(tài)。

4 高校圖書館TBAC的設(shè)計(jì)
    隨著計(jì)算機(jī)技術(shù)、通信技術(shù)和網(wǎng)絡(luò)技術(shù)的迅速發(fā)展，圖書館信息管理系統(tǒng)逐步發(fā)展起來，現(xiàn)在大多數(shù)高校已經(jīng)采用了先進(jìn)的計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)來實(shí)現(xiàn)“數(shù)字圖書館”的功能，這就使的系統(tǒng)對(duì)訪問控制有了較高的要求，這里采用基于任務(wù)的訪問控制模型來簡(jiǎn)單設(shè)計(jì)一下高校圖書館的訪問控制體系。
    先將TBAC模型用五元組(S，O，P，L，AS)來表示，其中S表示主體，O表示客體，P表示許可，L表示生命期(1ifecy—cle)，AS表示授權(quán)步。由于任務(wù)都是有時(shí)效性的，所以在基于任務(wù)的訪問控制中，用戶對(duì)于授予他的權(quán)限的使用也是有時(shí)效性的。因此，若P是授權(quán)步AS所激活的權(quán)限，那么L則是授權(quán)步AS的存活期限。在授權(quán)步AS被激活之前，它的保護(hù)態(tài)是無效的，其中包含的許可不可使用。當(dāng)授權(quán)步AS被觸發(fā)時(shí)，它的委托執(zhí)行者開始擁有執(zhí)行者許可集中的權(quán)限，同時(shí)它的生命期開始倒記時(shí)。在生命期期間，五元組(S，O，P，L，AS)有效。生命期終止時(shí)，五元組(S，0，P，L，AS)無效，委托執(zhí)行者所擁有的權(quán)限被回收。
    假設(shè)圖書館有教授閱覽者、副教授閱覽者、講師閱覽者、學(xué)生閱覽者四個(gè)主體，則客體集合為0={O1、O2、O3、O4}，Ol～O4分別表示教授閱覽室、副教授閱覽室、講師閱覽室、學(xué)生閱覽室四個(gè)客體。
    四類主體的操作可由歸為兩種：閱讀、借閱。由此可以得到許可集P為(見表1)。

    現(xiàn)假設(shè)某講師去圖書館執(zhí)行以下操作：借閱并閱讀講師閱覽室資料，借閱學(xué)生閱覽室資料，借閱副教授閱覽室資料，閱讀教授閱覽室資料。其所需權(quán)限可分別表示為P12、P21、P22、P32、P41。
    如果僅采用基于角色的訪問控制技術(shù)，該講師需要變化三個(gè)角色來實(shí)現(xiàn)以上操作。而采用基于任務(wù)的訪問控制模型后，該講師可首先以講師的角色登陸系統(tǒng)，AS激活，從而擁有閱讀(P21)、借閱(P22)講師閱覽室資料的權(quán)限，權(quán)限時(shí)限L為退出系統(tǒng)為止。在不更換角色的條件下，可以直接進(jìn)入低級(jí)別的學(xué)生閱覽室，激活該AS，擁有借閱(P12)和閱讀權(quán)限，權(quán)限時(shí)限L為退出學(xué)生閱覽室為止。不更換角色的條件下，在擁有副教授專屬密鑰(為每一名副教授分配的閱覽室通行密碼)的前提下進(jìn)入較高級(jí)別的副教授閱覽室，激活A(yù)S，擁有借閱(P32)的權(quán)限，權(quán)限時(shí)限L為退出副教授閱覽室為止。還可在擁有專屬教授密鑰(為每一名教授分配的閱覽室通行密碼)的基礎(chǔ)上進(jìn)入高級(jí)別的教授閱覽室，進(jìn)入后，激活A(yù)S，擁有教授的權(quán)利，閱讀(P41)該閱覽室的資料，權(quán)限時(shí)限L為退出教授閱覽室為止。
    TBAC的訪問政策及其內(nèi)部組件關(guān)系一般由系統(tǒng)管理員直接配置。通過授權(quán)步的動(dòng)態(tài)權(quán)限管理，TBAC支持最小特權(quán)原則和最小泄漏原則，在執(zhí)行任務(wù)時(shí)只給用戶分配所需的權(quán)限，未執(zhí)行任務(wù)或任務(wù)終止后用戶不再擁有所分配的權(quán)限；而且在執(zhí)行任務(wù)過程中，當(dāng)某一權(quán)限不再使用時(shí)，授權(quán)步自動(dòng)將該權(quán)限回收；另外，對(duì)于重要的任務(wù)需要不同的用戶執(zhí)行，這可通過授權(quán)步之間的分權(quán)依賴實(shí)現(xiàn)。

5 結(jié)束語
    通過以上訪問控制體系可以看出，TBAC從工作流中的任務(wù)角度建模，可以依據(jù)任務(wù)和任務(wù)狀態(tài)的不同，對(duì)權(quán)限進(jìn)行動(dòng)態(tài)管理。因此，TBAC非常適合分布式計(jì)算和多點(diǎn)訪問控制的圖書館管理系統(tǒng)，TBAC可以把實(shí)際應(yīng)用中的工作流和訪問控制所需的各種關(guān)系整體地結(jié)合在一起，可以清晰地表達(dá)復(fù)雜工作流的控制機(jī)制。從現(xiàn)有國內(nèi)外經(jīng)驗(yàn)來看，如果能將TBAC與RBAC兩種訪問機(jī)制相互結(jié)合的應(yīng)用于高校圖書館，訪問控制將可以得到更好的效果。