CN107194269A - 一种基于rbac的密码机及访问控制方法 - Google Patents

一种基于rbac的密码机及访问控制方法 Download PDF

Info

Publication number
CN107194269A
CN107194269A CN201710213616.0A CN201710213616A CN107194269A CN 107194269 A CN107194269 A CN 107194269A CN 201710213616 A CN201710213616 A CN 201710213616A CN 107194269 A CN107194269 A CN 107194269A
Authority
CN
China
Prior art keywords
user
role
cipher machine
authority
rbac
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201710213616.0A
Other languages
English (en)
Inventor
孙大军
李婷
朱书杉
冯磊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shandong Chaoyue Numerical Control Electronics Co Ltd
Original Assignee
Shandong Chaoyue Numerical Control Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shandong Chaoyue Numerical Control Electronics Co Ltd filed Critical Shandong Chaoyue Numerical Control Electronics Co Ltd
Priority to CN201710213616.0A priority Critical patent/CN107194269A/zh
Publication of CN107194269A publication Critical patent/CN107194269A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Databases & Information Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种基于RBAC(Role‑Based Access Control，基于角色的访问控制)的密码机及访问控制方法，构造″用户‑角色‑权限″的授权模型。通过每个用户对应特定的角色、每种角色对应特定的权限、每种权限绑定一种数据加密算法和工作密钥的方式，保证合法用户按照密码机规定访问和存储对应数据。此种权限管理方式灵活方便，可以通过对角色‑权限的修改完成一类用户的权限更新、数据机密性要求更新，也可修改角色配置关系对用户进行管理。

Description

一种基于RBAC的密码机及访问控制方法
技术领域
本发明涉及信息安全领域，尤其涉及一种基于RBAC的密码机及访问控制方法。
背景技术
密码机已经广泛应用于金融、军队、政务等重要的领域中，密码机对传输的数据提供加解密服务，以保证数据的安全性。但是，密码机面临机密性、完整性的威胁。
机密性的威胁是通过密码机直接获得用户存储的数据，可能是非法用户突破或者绕过身份认证机制获取数据的访问权限；也可能使合法用户通过某种手段访问或者获取不属于其的数据。
完整性的威胁是用户所有者授权对数据的篡改，所带来的后果是用户数据被非法执行创建、修改等改变数据内容的操作。
发明内容
为解决上述技术问题，本发明提出了一种基于RBCA(Role-Based AccessControl，基于角色的访问控制)的访问控制机制。
第一方面，本发明提供一种基于RBAC的密码机，包括身份录入模块、身份认证模块、权限控制模块、密码模块、数据存储模块；身份录入模块完成用户基本信息的录入；身份认证模块用于对用户的登录进行验证；权限控制模块对不同用户进行授权管理；密码模块完成数据加解密处理；存储模块负责存储加密后的数据。
进一步的，在用户注册时，用户输入个人基本信息PI，并录入用户的身份认证信息，用户基本信息加密存储在密码机中，用户通过注册时录入的身份认证信息进行密码机登录。
进一步的，用户经过身份认证登录密码机后，权限控制模块读取用户的基本信息PI，并根据密码机的角色表、角色-权限映射表为其分配相应的角色，用户根据对应的角色获取对应权限的数据加密算法和工作密钥，对数据存储模块存储的数据进行访问和存储。
进一步的，安全管理人员对角色、角色-权限映射表进行设定；用户管理员对用户与角色之间的映射进行设定，并导入用户的基本信息PI。
进一步的，用户登录密码机后，用户注册时输入的个人基本信息与用户管理员导入的用户基本信息的核心数据进行比对，若比对成功，根据用户与角色的映射表为用户分配对应的角色，否则，为此用户分配最少权限的角色。
进一步的，工作密钥通过角色ID、随机数与密钥分量通过函数变换生成。
第二方面，本发明提供一种基于RBAC的密码机访问控制方法，包括以下步骤：
SS1：用户通过身份认证信息进行密码机登录；
SS2：用户登录后，用户注册时输入的个人基本信息与用户管理员导入的用户基本信息的核心数据进行比对，若比对成功，根据用户与角色的映射表为用户分配对应的角色，否则，为此用户分配最少权限的角色；
SS3：根据角色-权限关系表，为用户分配相应的角色；
SS4：用户根据对应的角色获取对应权限的数据加密算法和工作密钥，对数据存储模块存储的数据进行访问和存储。
进一步的，步骤SS1中的身份认证信息由用户注册时录入，同时注册时用户输入个人基本信息PI，用户基本信息加密存储在密码机中。
进一步的，安全管理人员对角色、角色-权限映射表进行设定。
进一步的，用户管理员对用户与角色之间的映射进行设定，并导入用户的基本信息PI。
通过本发明的技术方案可以保证密码机中存储数据的机密性与安全性，防止密码机中存储的数据被合法用户越权限操作，对密码机所保护的数据进行权限控制。
附图说明
图1示出本发明基于RBAC的密码机结构框图。
图2示出本发明权限管理模型图。
图3示出本发明基于RBAC的密码机访问控制方法流程图。
具体实施方式
以下结合说明书附图及具体实施例进一步说明本发明的技术方案。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本发明公开了一种基于RBCA(Role-Based Access Control，基于角色的访问控制)的访问控制机制，通过用户与权限的逻辑分离、权限与数据加密算法和工作密钥绑定的方式，使得合法用户根据密码机的角色配置对密码机所存储的数据进行数据访问和操作。
图1示出本发明基于RBAC的密码机结构框图。
如图1所示，基于RBAC的密码机包括身份录入模块、身份认证模块、权限控制模块、密码模块、数据存储模块；身份录入模块完成用户基本信息的录入；身份认证模块用于对用户的登录进行验证；权限控制模块对不同用户进行授权管理；密码模块完成数据加解密处理；存储模块负责存储加密后的数据。
在用户注册时，用户输入个人基本信息PI，如公司、部门、职位等基本信息，并录入用户的身份认证信息，如口令、生物特征、IC等。用户基本信息加密存储在密码机中。
用户通过注册时录入的身份认证信息进行密码机登录。
用户登录密码机后，用户注册时输入的个人基本信息与用户管理员导入的用户基本信息的核心数据进行比对，若比对成功，根据用户与角色的映射表为用户分配对应的角色。否则，为此用户分配最少权限的角色。
权限控制模块根据角色-权限关系表，为用户其分配相应的角色。
用户可根据获取对应权限的数据加密算法和工作密钥对数据存储模块的加密数据进行访问和操作。
图2示出本发明权限管理模型图。
如图2所示，基于RBAC的权限控制可分为两部分：权限与角色关联、角色与用户关联，从而实现用户与权限的隔离。经研究表明，角色与用户之间的变化要比角色与权限之间的变化更加频繁，且角色与用户间的管理要比角色与权限间的要简单。因实现了用户与权限的逻辑分离，基于RBCA的权限管理要更加灵活、方便。在密码机的权限访问策略中，每个用户可以拥有多个角色，每个角色可拥有多种权限，每种权限与一种数据加密算法、工作密钥绑定，以保证密码机存储的数据按照其机密性要求进行保护。
安全管理人员根据实际需求对角色进行设定，如部门员工、部门管理员、用户管理员、***管理员、审计员等，对角色和权限对应表进行设定，并根据数据机密性要求对权限的数据加密算法和工作密钥进行确定。其中为保证工作密钥的安全性，安全管理人员设定工作密钥对应的密钥分量，工作密钥通过角色ID、随机数与密钥分量通过函数变换生成。权限控制模块存储角色表、角色-权限关系表、权限对应的密钥分量。
用户管理员根据实际需求对用户与角色之间的映射进行设计，并导入用户的基本信息PI。
用户经过身份认证登录密码机后，权限控制模块读取用户的基本信息PI，并根据密码机现有的角色表、角色-权限映射表为其分配相应的角色，如某部门的普通用户，某部门的管理人员、安全管理人员、审计员、管理员等角色。用户根据对应的角色获取对应权限的数据加密算法和工作密钥，对数据存储模块存储的数据进行访问和存储，防止合法用户的越权访问。
在用户录入个人信息、身份认证、数据操作及加解密业务时，密码机自动记录用户的操作日志和业务日志。所有的日志均使用审计员角色对应权限的工作密钥加密存储，保证所有日志信息仅由审计员审计使用。
图3示出本发明基于RBAC的密码机访问控制方法流程图。
如图3所示，基于RBAC的密码机访问控制方法包括：
SS1：用户通过身份认证信息进行密码机登录；
SS2：用户登录后，用户注册时输入的个人基本信息与用户管理员导入的用户基本信息的核心数据进行比对，若比对成功，根据用户与角色的映射表为用户分配对应的角色；否则，为此用户分配最少权限的角色；
SS3：根据角色-权限关系表，为用户分配相应的角色；
SS4：用户根据对应的角色获取对应权限的数据加密算法和工作密钥，对数据存储模块存储的数据进行访问和存储。
安全管理人员根据实际需求对角色进行设定，如部门员工、部门管理员、用户管理员、***管理员、审计员等，对角色和权限对应表进行设定，并根据数据机密性要求对权限的数据加密算法和工作密钥进行确定。其中为保证工作密钥的安全性，安全管理人员设定工作密钥对应的密钥分量，工作密钥通过角色ID、随机数与密钥分量通过函数变换生成。权限控制模块存储角色表、角色-权限关系表、权限对应的密钥分量。
用户管理员根据实际需求对用户与角色之间的映射进行设计，并导入用户的基本信息PI。
用户经过身份认证登录密码机后，权限控制模块读取用户的基本信息PI，并根据密码机现有的角色表、角色-权限映射表为其分配相应的角色，如某部门的普通用户，某部门的管理人员、安全管理人员、审计员、管理员等角色。用户根据对应的角色获取对应权限的数据加密算法和工作密钥，对数据存储模块存储的数据进行访问和存储，防止合法用户的越权访问。
在用户录入个人信息、身份认证、数据操作及加解密业务时，密码机自动记录用户的操作日志和业务日志。所有的日志均使用审计员角色对应权限的工作密钥加密存储，保证所有日志信息仅由审计员审计使用。
本发明提出的基于RBAC的访问控制的实现方式，构造″用户-角色-权限″的授权模型。通过每个用户对应特定的角色、每种角色对应特定的权限、每种权限绑定一种数据加密算法和工作密钥的方式，保证合法用户按照密码机规定访问和存储对应数据。此种权限管理方式灵活方便，可以通过对角色-权限的修改完成一类用户的权限更新、数据机密性要求更新，也可修改角色配置关系对用户进行管理。
尽管在装置的上下文中已描述了一些方面，但明显的是这些方面也表示对应方法的描述，其中块或设备与方法步骤或方法步骤的特征相对应。类似地，在方法步骤的上下文中所描述的各方面也表示对应的块或项目或者对应装置的特征的描述。可以通过(或使用)如微处理器、可编程计算机、或电子电路之类的硬件装置来执行方法步骤中的一些或所有。可以通过此类装置来执行最重要的方法步骤中的某一个或多个。
所述实现可以采用硬件或采用软件或可以使用例如软盘、DVD、蓝光、CD、ROM、PROM、EPROM、EEPROM、或闪存之类的具有被存储在其上的电子可读控制信号的数字存储介质来执行，所述电子可读控制信号与可编程计算机***配合(或能够与其配合)以使得执行相应的方法。可以提供具有电子可读控制信号的数据载体，所述电子可读控制信号能够与可编程计算机***配合以使得执行本文所描述的方法。
所述实现还可以采用具有程序代码的计算机程序产品的形式，当计算机程序产品在计算机上运行时，程序代码进行操作以执行该方法。可以在机器可读载体上存储程序代码。
以上所描述的仅是说明性，并且要理解的是，本文所描述的布置和细节的修改和变化对于本领域技术人员而言将是明显的。因此，意在仅由所附权利要求的范围而不是由通过以上描述和解释的方式所呈现的特定细节来限制。

Claims (10)

1.一种基于RBAC的密码机，其特征在于，包括身份录入模块、身份认证模块、权限控制模块、密码模块、数据存储模块；身份录入模块完成用户基本信息的录入；身份认证模块用于对用户的登录进行验证；权限控制模块对不同用户进行授权管理；密码模块完成数据加解密处理；存储模块负责存储加密后的数据。
2.根据权利要求1所述的基于RBAC的密码机，其特征在于，在用户注册时，用户输入个人基本信息PI，并录入用户的身份认证信息，用户基本信息加密存储在密码机中，用户通过注册时录入的身份认证信息进行密码机登录。
3.根据权利要求2所述的基于RBAC的密码机，其特征在于，用户经过身份认证登录密码机后，权限控制模块读取用户的基本信息PI，并根据密码机的角色表、角色-权限映射表为其分配相应的角色，用户根据对应的角色获取对应权限的数据加密算法和工作密钥，对数据存储模块存储的数据进行访问和存储。
4.根据权利要求3所述的基于RBAC的密码机，其特征在于，安全管理人员对角色、角色-权限映射表进行设定；用户管理员对用户与角色之间的映射进行设定，并导入用户的基本信息PI。
5.根据权利要求3所述的基于RBAC的密码机，其特征在于，用户登录密码机后，用户注册时输入的个人基本信息与用户管理员导入的用户基本信息的核心数据进行比对，若比对成功，根据用户与角色的映射表为用户分配对应的角色，否则，为此用户分配最少权限的角色。
6.根据权利要求3所述的基于RBAC的密码机，其特征在于，工作密钥通过角色ID、随机数与密钥分量通过函数变换生成。
7.一种基于RBAC的密码机访问控制方法，其特征在于，包括以下步骤：
SS1：用户通过身份认证信息进行密码机登录；
SS2：用户登录后，用户注册时输入的个人基本信息与用户管理员导入的用户基本信息的核心数据进行比对，若比对成功，根据用户与角色的映射表为用户分配对应的角色，否则，为此用户分配最少权限的角色；
SS3：根据角色-权限关系表，为用户分配相应的角色；
SS4：用户根据对应的角色获取对应权限的数据加密算法和工作密钥，对数据存储模块存储的数据进行访问和存储。
8.根据权利要求7所述的基于RBAC的密码机访问控制方法，其特征在于，步骤SS1中的身份认证信息由用户注册时录入，同时注册时用户输入个人基本信息PI，用户基本信息加密存储在密码机中。
9.根据权利要求7所述的基于RBAC的密码机访问控制方法其特征在于，安全管理人员对角色、角色-权限映射表进行设定。
10.根据权利要求7所述的基于RBAC的密码机访问控制方法，其特征在于，用户管理员对用户与角色之间的映射进行设定，并导入用户的基本信息PI。
CN201710213616.0A 2017-04-01 2017-04-01 一种基于rbac的密码机及访问控制方法 Pending CN107194269A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710213616.0A CN107194269A (zh) 2017-04-01 2017-04-01 一种基于rbac的密码机及访问控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710213616.0A CN107194269A (zh) 2017-04-01 2017-04-01 一种基于rbac的密码机及访问控制方法

Publications (1)

Publication Number Publication Date
CN107194269A true CN107194269A (zh) 2017-09-22

Family

ID=59871844

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710213616.0A Pending CN107194269A (zh) 2017-04-01 2017-04-01 一种基于rbac的密码机及访问控制方法

Country Status (1)

Country Link
CN (1) CN107194269A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112084528A (zh) * 2020-08-28 2020-12-15 杭州数云信息技术有限公司 基于数据模型的客户隐私数据识别和保护方法
CN112182522A (zh) * 2019-07-05 2021-01-05 北京地平线机器人技术研发有限公司 访问控制方法和装置

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080270408A1 (en) * 2007-04-26 2008-10-30 Hewlett-Packard Development Company, L.P. Data Processing System And Method
CN101321064A (zh) * 2008-07-17 2008-12-10 上海众恒信息产业有限公司 一种基于数字证书技术的信息***的访问控制方法及装置
CN102724215A (zh) * 2012-07-07 2012-10-10 成都国腾实业集团有限公司 基于用户登录密码安全存放用户密钥并提高云平台数据安全的方法
CN203039715U (zh) * 2012-07-06 2013-07-03 徐州工程学院 一种电子文档安全集中管控***
CN103457739A (zh) * 2013-09-06 2013-12-18 北京握奇智能科技有限公司 一种动态令牌参数获取方法与设备
CN106330934A (zh) * 2016-08-31 2017-01-11 天津南大通用数据技术股份有限公司 一种分布式数据库***权限管理方法及装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080270408A1 (en) * 2007-04-26 2008-10-30 Hewlett-Packard Development Company, L.P. Data Processing System And Method
CN101321064A (zh) * 2008-07-17 2008-12-10 上海众恒信息产业有限公司 一种基于数字证书技术的信息***的访问控制方法及装置
CN203039715U (zh) * 2012-07-06 2013-07-03 徐州工程学院 一种电子文档安全集中管控***
CN102724215A (zh) * 2012-07-07 2012-10-10 成都国腾实业集团有限公司 基于用户登录密码安全存放用户密钥并提高云平台数据安全的方法
CN103457739A (zh) * 2013-09-06 2013-12-18 北京握奇智能科技有限公司 一种动态令牌参数获取方法与设备
CN106330934A (zh) * 2016-08-31 2017-01-11 天津南大通用数据技术股份有限公司 一种分布式数据库***权限管理方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
王晓明 等: "密码管理中心的设计与实现", 《计算机应用与软件》 *
胥磊: "安全文件管理***的设计与实现", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112182522A (zh) * 2019-07-05 2021-01-05 北京地平线机器人技术研发有限公司 访问控制方法和装置
CN112084528A (zh) * 2020-08-28 2020-12-15 杭州数云信息技术有限公司 基于数据模型的客户隐私数据识别和保护方法
CN112084528B (zh) * 2020-08-28 2024-02-02 杭州数云信息技术有限公司 基于数据模型的客户隐私数据识别和保护方法

Similar Documents

Publication Publication Date Title
US10540520B2 (en) Selectively wiping a remote device
CN103561034B (zh) 一种安全文件共享***
CN101710380B (zh) 电子文件安全防护方法
US20080310619A1 (en) Process of Encryption and Operational Control of Tagged Data Elements
CN101512490A (zh) 在网络化环境中保护数据安全
CN101953111A (zh) 用于保密数据的***和方法
CN101894242B (zh) 移动电子设备信息安全保护***及方法
CN104778954B (zh) 一种光盘分区加密方法及***
CN104657670A (zh) 一种基于数据加密的配置文件安全使用方法
CN111768523B (zh) 一种基于ctid的nfc智能门锁开锁方法、***、设备及介质
CN100547598C (zh) 基于对称密钥加密保存和检索数据
US7412603B2 (en) Methods and systems for enabling secure storage of sensitive data
CN107358122A (zh) 一种存储数据的访问管理方法及***
US20050044366A1 (en) Method for making databases secure
Wilson Certificates and trust in electronic commerce
CN107194269A (zh) 一种基于rbac的密码机及访问控制方法
KR101349762B1 (ko) 개인정보를 보호하고 관리하는 방법
TWI381285B (zh) 電子檔案權限控管系統
CN101826964A (zh) 支持协同工作的外发文件安全管理***
JP2005165738A (ja) 電子コンテンツ管理システム、電子コンテンツ管理方法、及びそのプログラム
CN100525176C (zh) 一种协同工作环境下信息泄漏防范***及其实现方法
TWI444849B (zh) 透過伺服器驗證並授權解密以監控個資檔案之系統及方法
CN110689463A (zh) 一种教学管理平台
Naranjo Rico Holistic business approach for the protection of sensitive data: study of legal requirements and regulatory compliance at international level to define and implement data protection measures using encryption techniques
WO2001035253A1 (en) Legal-based or fiduciary-based data management process

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20170922

RJ01 Rejection of invention patent application after publication