CN115065529A - 一种基于融合主客体关键信息的可信标签的访问控制方法 - Google Patents

一种基于融合主客体关键信息的可信标签的访问控制方法 Download PDF

Info

Publication number
CN115065529A
CN115065529A CN202210666156.8A CN202210666156A CN115065529A CN 115065529 A CN115065529 A CN 115065529A CN 202210666156 A CN202210666156 A CN 202210666156A CN 115065529 A CN115065529 A CN 115065529A
Authority
CN
China
Prior art keywords
information
user
key information
label
trusted
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210666156.8A
Other languages
English (en)
Other versions
CN115065529B (zh
Inventor
商学璟
余洋
邱代兵
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Universal Sky Information Technology Co ltd
Original Assignee
Beijing Universal Sky Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Universal Sky Information Technology Co ltd filed Critical Beijing Universal Sky Information Technology Co ltd
Priority to CN202210666156.8A priority Critical patent/CN115065529B/zh
Publication of CN115065529A publication Critical patent/CN115065529A/zh
Application granted granted Critical
Publication of CN115065529B publication Critical patent/CN115065529B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于融合主客体关键信息的可信标签的访问控制方法，其步骤包括：1)用户所登录客户端收集访问主体的关键信息和所访问客体的关键信息；2)所述客户端利用该用户的用户信息，以及该主体、客体的关键信息为当前访问请求生成一可信标签；3)客户端将所述可信标签嵌入到访问请求中并将其发送至服务端；4)服务端从该访问请求中提取所述可信标签并对其进行验证，然后结合验证结果下发访问控制策略，决定是否授予该用户对该可信标签中的客体所请求的操作权限。本发明能够满足相同用户通过不同主体针对不同客体、不同操作类型的灵活权限授予，以及同一用户通过不同主体针对同一客体、不同操作类型的灵活权限授予。

Description

一种基于融合主客体关键信息的可信标签的访问控制方法
技术领域
本发明涉及网络安全技术领域，特别涉及一种基于可信标签的访问控制方法，更具体地，涉及一种基于融合主客体关键信息的可信标签的访问控制方法。
背景技术
在大数据时代，为了能够安全可控地使用数据，需要多种技术手段作为保障，其中，访问控制是一种对资源的访问和获取进行授权管理的重要技术。访问控制技术通常是在鉴别用户的合法身份后允许资源访问、限制访问范围、或阻止未授权的资源访问和使用。身份是访问控制的基础，为了实现用户合法身份鉴别，需要生成可信标签并附加在资源访问请求中，通过对用户的准确身份、或所属身份类别等信息做标识，提供给被访问端进行验证，从而做出访问控制策略。
利用可信标签对用户身份做标识需要满足2个原则：唯一性、稳定性。唯一性，即标签应具有极低的碰撞率，每一个访问主体都应具有独一无二且有个体辨识度的标签。稳定性，即标签信息是不易发生变化的，不受访问时间、访问次数等无关因素的影响。
近年来，零信任理念的完善和演进给访问控制带来了新的解决方案。零信任理念认为，企业内外部的任何人、事、物在验证前均不可信，强调资源的使用按需分配，仅授予执行任务所需的最小权限。最小权限原则给访问控制的身份验证和权限授予的颗粒度提出了更精细的要求。
传统的访问控制方法在可信标签生成方面还存在灵活性、细致性不足的情况。可信标签应该回答2个问题：访问的主体是谁、访问主体对于访问客体拥有什么样的权限。然而传统方法无法实现资源按需动态分配的访问控制。
发明内容
基于上述背景，本发明提出了一种基于融合主客体关键信息的可信标签的访问控制方法。本发明在传统访问控制方法注重访问主体信息的基础上，融合访问客体的关键信息，以动态最小权限的访问控制为目标进行可信标签的生成，综合考虑访问主体与访问客体的关键信息并进行融合，从而在对访问主体和用户身份进行验证的基础上，满足相同用户通过不同主体针对不同客体、不同操作类型的灵活权限授予，以及同一用户通过不同主体针对同一客体、不同操作类型的灵活权限授予。
为达到上述目的，本发明采取的具体技术方案是：
一种基于融合主客体关键信息的可信标签的访问控制方法，包括以下步骤：
1)用户所登录客户端收集访问主体的关键信息。
2)客户端收集访问客体的关键信息。
3)客户端利用主客体关键信息和用户信息进行可信标签的生成。
4)客户端将可信标签嵌入到访问请求的数据包中，将访问请求发送至服务端。
5)服务端从访问请求中提取可信标签，进行标签验证，结合验证结果下发访问控制策略，决定是否授予该用户对该可信标签中特定客体所请求的特定操作的权限。通过细粒度地对不同的客体、不同的操作类型制定不同的访问控制策略，实现灵活授权。
进一步地，步骤1)中，访问主体包含设备、***和应用等，具体来说，人员通过操作所持有的设备上所装载的***上所安装的应用来提出访问请求。为了增强可信标签的唯一性和身份标识能力，本发明对各访问主体的关键信息进行提取和整合。由此，当同一人员通过不同的应用、设备、***进行同一资源的访问请求时，其可信标签是不同的。
进一步地，根据使用应用类型的差异，在可信标签选取的字段上也有所不同，具体来说：
①当人员通过浏览器进行资源访问时，选取人员登录客户端的账户信息、浏览器指纹信息、设备信息、***信息。
②当人员通过其他应用进行资源访问时，选取人员登录客户端的账户信息、应用程序信息、设备信息、***信息。
账户信息包括但不限于用户名、用户ID、用户组/部门、用户角色、用户职级等。
进一步地，各类主体用于生成可信标签的信息如下：
①设备信息包括但不限于MAC地址、内网IP地址、外网IP地址、设备类型、硬盘序列号、设备串号等；
②***信息包括但不限于***类型、***版本、时区、屏幕分辨率、色彩深度、默认语言、默认字体、GPU厂商、CPU厂商等。
③浏览器指纹信息包括但不限于浏览器版本、Cookie值、User-Agent、Canvas指纹、WebGL指纹、Audio指纹、CPU指纹等。其中，Canvas指纹通过利用不同浏览器的图像处理引擎、导出选项、压缩等级生成；WebGL指纹利用在浏览器中呈现交互式3D图形的API获取，可获取用户的硬件信息，比如显卡名称、显卡型号、显卡制造商等；Audio指纹是指通过专门处理音频的API来调用振荡器API产生周期波形，再通过实时频域和时域分析转换为频率域，最后生成指纹，浏览器和处理音频信号硬件的细微差别导致产生不同的音频结果，保证了指纹的唯一性；CPU指纹通过侧信道测量得到，在浏览器中通过侧信道技术测量可识别CPU的内核数、超线程技术可用性、SSE2指令集可用性、ASE-NI可用性以及CPU系列类型等信息。
④应用程序信息包括但不限于应用程序名称、版本号等。
进一步地，步骤2)中，访问客体包括应用、接口、数据、服务等资源，以事先定义的资源ID作为生成可信标签的关键信息。
进一步地，步骤3)中，将用户信息(比如账户信息)、各类主客体关键信息值按规定的顺序进行拼接，形成字符串，采用消息摘要算法对字符串进行哈希处理，生成可信标签。
进一步地，步骤5)中，服务端通过哈希匹配的方式验证可信标签中的用户信息、访问主体信息、访问客体信息，根据匹配结果，决定是否赋予用户通过访问主体所申请的对某客体资源的某操作类型的权限，并输出决策结果。
需要说明的是，由于部分主体、客体关键信息并非绝对稳定，因此需要按照一定的策略对可信标签进行更新，包括定期更新、按需更新。定期更新指，设定一定的时间间隔，在客户端重新生成可信标签，与服务端进行同步；按需更新指，若访问主体信息发生的合理的变化，如设备更换、软件更新等，则重新生成可信标签，与服务端进行同步。
本发明的优势总结如下：
1.本发明提出的可信标签生成考虑了多种场景的主体信息，包括通过浏览器进行访问和通过应用程序进行访问，在通过浏览器进行访问的场景中，利用了浏览器指纹信息，增强了可信标签的身份标识能力。
2.融合了访问客体的关键信息，能够支撑向同一主体对不同客体、不同操作类型的访问权限的区别赋予，细粒度的可信标签生成增强了访问控制的灵活性和动态性，可以更好地满足最小权限原则。
附图说明
图1是基于融合主客体关键信息的可信标签的访问控制流程图。
具体实施方式
为使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的目的、特征和优点能够更加明显易懂，下面结合附图和事例对本发明中技术核心作进一步的详细说明。
本实施例提供一种基于融合主客体关键信息的可信标签的访问控制方法，如图1所示融合主客体关键信息的可信标签生成流程图，具体包括以下步骤：
步骤100：用户通过客户端在每一次发出访问请求时进行关键信息收集，包括用户的账户信息、访问主体关键信息与访问客体关键信息。
步骤200：将用户的账户信息、主客体关键信息值按照规定的顺序拼接，利用消息摘要算法得到固定长度的哈希值，生成可信标签。
步骤300：将可信标签嵌入到访问请求的数据包中。
步骤400：可信标签跟随访问请求发送到访问控制服务端。
步骤500：在访问控制服务端上从流量中提取出可信标签，进行标签内容匹配，根据匹配结果做出访问控制决策。若可信标签可以匹配成功，则授予其所申请的权限；若匹配失败，则拒绝其所申请的权限。
最后所应说明的是，以上实施案例仅用以说明本发明的技术方案而非限制，尽管使用事例对本发明进行了详细说明，本领域的普通技术人员应当理解，可对本发明的技术方案进行修改或者等价替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (9)

1.一种基于融合主客体关键信息的可信标签的访问控制方法，其步骤包括：
1)用户所登录客户端收集访问主体的关键信息和所访问客体的关键信息；
2)所述客户端利用该用户的用户信息，以及该主体、客体的关键信息为当前访问请求生成一可信标签；
3)客户端将所述可信标签嵌入到访问请求中并将其发送至服务端；
4)服务端从该访问请求中提取所述可信标签并对其进行验证，然后结合验证结果下发访问控制策略，决定是否授予该用户对该可信标签中的客体所请求的操作权限。
2.根据权利要求1所述的方法，其特征在于，同一用户通过不同的主体对同一客体进行访问时，所生成的可信标签不同。
3.根据权利要求1所述的方法，其特征在于，所述主体包含设备、***、应用；所述主体的关键信息包括客户端所在应用信息、***信息、设备信息、访问所述客体所采用的应用信息和设备上运行的***信息。
4.根据权利要求3所述的方法，其特征在于，所述应用为浏览器；用户通过浏览器访问客体时，利用用户的账户信息、浏览器的指纹信息、承载浏览器的***信息、***所在的设备信息和所访问客体的关键信息生成所述可信标签。
5.根据权利要求3所述的方法，其特征在于，所述应用为浏览器之外的其他应用时，利用用户的账户信息、应用程序信息、承载应用程序的***信息、***所在的设备信息和所访问客体的关键信息生成所述可信标签。
6.根据权利要求4或5所述的方法，其特征在于，所述账户信息包括但不限于用户名、用户ID、用户组或部门、用户角色、用户职级；所述设备信息包括但不限于MAC地址、内网IP地址、外网IP地址、设备类型、硬盘序列号、设备串号；所述***信息包括但不限于***类型、***版本、时区、屏幕分辨率、色彩深度、默认语言、默认字体、GPU厂商、CPU厂商。
7.根据权利要求4所述的方法，其特征在于，所述浏览器指纹信息包括但不限于浏览器版本、Cookie值、User-Agent、Canvas指纹、WebGL指纹、Audio指纹、CPU指纹。
8.根据权利要求1～5任一所述的方法，其特征在于，所述客体包括应用、接口、数据、服务；所述客体的关键信息为客体的ID。
9.根据权利要求1～5任一所述的方法，其特征在于，将主体、客体关键信息值按规定的顺序进行拼接，形成字符串，采用消息摘要算法对所述字符串进行哈希处理，生成所述可信标签。
CN202210666156.8A 2022-06-13 2022-06-13 一种基于融合主客体关键信息的可信标签的访问控制方法 Active CN115065529B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210666156.8A CN115065529B (zh) 2022-06-13 2022-06-13 一种基于融合主客体关键信息的可信标签的访问控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210666156.8A CN115065529B (zh) 2022-06-13 2022-06-13 一种基于融合主客体关键信息的可信标签的访问控制方法

Publications (2)

Publication Number Publication Date
CN115065529A true CN115065529A (zh) 2022-09-16
CN115065529B CN115065529B (zh) 2023-11-03

Family

ID=83200900

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210666156.8A Active CN115065529B (zh) 2022-06-13 2022-06-13 一种基于融合主客体关键信息的可信标签的访问控制方法

Country Status (1)

Country Link
CN (1) CN115065529B (zh)

Citations (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102307185A (zh) * 2011-06-27 2012-01-04 北京大学 适用于存储云内的数据隔离方法
CN102495988A (zh) * 2011-12-19 2012-06-13 北京诺思恒信科技有限公司 一种基于域的访问控制方法及***
CN103004135A (zh) * 2011-07-25 2013-03-27 华为技术有限公司 访问控制方法及访问控制服务器
JP2013069142A (ja) * 2011-09-22 2013-04-18 Fujitsu Ltd アクセス制御プログラム、アクセス制御方法及びアクセス制御装置
CN103701801A (zh) * 2013-12-26 2014-04-02 四川九洲电器集团有限责任公司 一种资源访问控制方法
CN105262776A (zh) * 2015-11-13 2016-01-20 浪潮电子信息产业股份有限公司 一种基于标记及策略的云安全管理方法
CN105634741A (zh) * 2015-12-24 2016-06-01 上海莱柏信息科技有限公司 基于可信标签的身份认证方法及其认证***
CN109995752A (zh) * 2019-02-14 2019-07-09 中山大学 一种面向云计算的组织-标签访问控制方法
US20190372993A1 (en) * 2018-06-05 2019-12-05 The Toronto-Dominion Bank Methods and systems for controlling access to a protected resource
CN111639307A (zh) * 2020-05-28 2020-09-08 全球能源互联网研究院有限公司 可信资源授权***、软件可信认证***及其方法
CN112491902A (zh) * 2020-12-01 2021-03-12 北京中软华泰信息技术有限责任公司 一种基于URL的web应用权限访问控制***及方法
CN112513857A (zh) * 2018-07-27 2021-03-16 百可德罗德公司 可信执行环境中的个性化密码安全访问控制
CN113792315A (zh) * 2021-09-17 2021-12-14 长春理工大学 一种支持块级加密去重的云数据访问控制方法及控制***
CN114021186A (zh) * 2021-11-01 2022-02-08 航天科工网络信息发展有限公司 一种基于运行时hook的web***行列细粒度访问控制方法
US20220043902A1 (en) * 2020-08-04 2022-02-10 International Business Machines Corporation Verifiable labels for mandatory access control
CN114048508A (zh) * 2021-11-23 2022-02-15 北京神舟航天软件技术股份有限公司 一种基于标签的信息资产强制访问控制方法
CN114297708A (zh) * 2021-12-27 2022-04-08 奇安信科技集团股份有限公司 访问控制方法、装置、设备和存储介质

Patent Citations (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102307185A (zh) * 2011-06-27 2012-01-04 北京大学 适用于存储云内的数据隔离方法
CN103004135A (zh) * 2011-07-25 2013-03-27 华为技术有限公司 访问控制方法及访问控制服务器
JP2013069142A (ja) * 2011-09-22 2013-04-18 Fujitsu Ltd アクセス制御プログラム、アクセス制御方法及びアクセス制御装置
CN102495988A (zh) * 2011-12-19 2012-06-13 北京诺思恒信科技有限公司 一种基于域的访问控制方法及***
CN103701801A (zh) * 2013-12-26 2014-04-02 四川九洲电器集团有限责任公司 一种资源访问控制方法
CN105262776A (zh) * 2015-11-13 2016-01-20 浪潮电子信息产业股份有限公司 一种基于标记及策略的云安全管理方法
CN105634741A (zh) * 2015-12-24 2016-06-01 上海莱柏信息科技有限公司 基于可信标签的身份认证方法及其认证***
US20190372993A1 (en) * 2018-06-05 2019-12-05 The Toronto-Dominion Bank Methods and systems for controlling access to a protected resource
CN112513857A (zh) * 2018-07-27 2021-03-16 百可德罗德公司 可信执行环境中的个性化密码安全访问控制
CN109995752A (zh) * 2019-02-14 2019-07-09 中山大学 一种面向云计算的组织-标签访问控制方法
CN111639307A (zh) * 2020-05-28 2020-09-08 全球能源互联网研究院有限公司 可信资源授权***、软件可信认证***及其方法
US20220043902A1 (en) * 2020-08-04 2022-02-10 International Business Machines Corporation Verifiable labels for mandatory access control
CN112491902A (zh) * 2020-12-01 2021-03-12 北京中软华泰信息技术有限责任公司 一种基于URL的web应用权限访问控制***及方法
CN113792315A (zh) * 2021-09-17 2021-12-14 长春理工大学 一种支持块级加密去重的云数据访问控制方法及控制***
CN114021186A (zh) * 2021-11-01 2022-02-08 航天科工网络信息发展有限公司 一种基于运行时hook的web***行列细粒度访问控制方法
CN114048508A (zh) * 2021-11-23 2022-02-15 北京神舟航天软件技术股份有限公司 一种基于标签的信息资产强制访问控制方法
CN114297708A (zh) * 2021-12-27 2022-04-08 奇安信科技集团股份有限公司 访问控制方法、装置、设备和存储介质

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
L. BO等: ""A User Access Policy Based on Dynamic Sensitivity Label"", 《 2011 INTERNATIONAL CONFERENCE ON NETWORK COMPUTING AND INFORMATION SECURITY》 *
沈晴霓;杨雅辉;禹熹;张力哲;陈钟;: "一种面向多租户云存储平台的访问控制策略", 小型微型计算机***, no. 11 *

Also Published As

Publication number Publication date
CN115065529B (zh) 2023-11-03

Similar Documents

Publication Publication Date Title
US10432609B2 (en) Device-bound certificate authentication
US8375425B2 (en) Password expiration based on vulnerability detection
US20050234859A1 (en) Information processing apparatus, resource managing apparatus, attribute modifiability judging method, and computer-readable storage medium
US8813185B2 (en) Ad-hoc user account creation
US20190229922A1 (en) Authentication and authorization using tokens with action identification
US20050193211A1 (en) Management of user authentication information together with authentication level
US9934310B2 (en) Determining repeat website users via browser uniqueness tracking
US20230370265A1 (en) Method, Apparatus and Device for Constructing Token for Cloud Platform Resource Access Control
CN101594232B (zh) 动态口令的认证方法、***及相应认证设备
KR20090103670A (ko) 네트워크의 디바이스 보안 등급 조절 방법 및 장치
WO2013011730A1 (ja) 文書を処理する装置及び方法
CN102571874B (zh) 一种分布式***中的在线审计方法及装置
CN112738100A (zh) 数据访问的鉴权方法、装置、鉴权设备和鉴权***
CN114301678B (zh) 一种数据访问方法及装置、电子设备、存储介质
CN115242546A (zh) 一种基于零信任架构的工业控制***访问控制方法
CN116108416A (zh) 一种应用程序接口安全防护方法及***
EP1209577A1 (en) Web page browsing limiting method and server system
CN113067802B (zh) 一种用户标识方法、装置、设备及计算机可读存储介质
US11075922B2 (en) Decentralized method of tracking user login status
CN107948682B (zh) 业务域名的配置方法、业务服务器及终端设备
EP1668438A1 (en) Method and system for authenticating a user
JP2019036781A (ja) 認証システムおよび認証方法
CN111917760A (zh) 一种基于标识解析的网络协同制造跨域融合信任管控方法
CN115065529B (zh) 一种基于融合主客体关键信息的可信标签的访问控制方法
CN115021995B (zh) 多渠道登录方法、装置、设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant