基于細(xì)粒度訪問控制的大數(shù)據(jù)安全防護(hù)方法

王繼業(yè)，范 永，余文豪，韓麗芳

(中國電力科學(xué)研究院有限公司，北京 100192)

0 引 言

隨著信息技術(shù)和網(wǎng)絡(luò)技術(shù)的快速變革，以及物聯(lián)網(wǎng)、云計算、人工智能等新興技術(shù)的發(fā)展與應(yīng)用，大體量、豐富結(jié)構(gòu)、復(fù)雜類型、智能分析的大數(shù)據(jù)服務(wù)時代已經(jīng)來臨[1-4]。

但是大數(shù)據(jù)服務(wù)時代在數(shù)據(jù)安全上也存在很大的隱患和挑戰(zhàn)[5]。大數(shù)據(jù)安全問題主要體現(xiàn)在3個方面：第一是信息泄密[6]。開放的互聯(lián)網(wǎng)使海量的大數(shù)據(jù)處于裸奔狀態(tài)，國內(nèi)網(wǎng)絡(luò)設(shè)備主要依賴國外技術(shù)，很容易因為“漏洞”、“后門”造成信息泄露。第二是數(shù)據(jù)非授權(quán)訪問[7]。主要是復(fù)雜關(guān)系的多用戶存儲在云盤、大數(shù)據(jù)平臺等共享平臺的數(shù)據(jù)所有權(quán)歸屬及訪問問題。第三是網(wǎng)絡(luò)攻擊[8]。大數(shù)據(jù)服務(wù)時代的大規(guī)模數(shù)據(jù)存儲，只提供單一的訪問服務(wù)接口，易遭受黑客的大規(guī)模網(wǎng)絡(luò)攻擊，進(jìn)而影響大規(guī)模用戶的正常數(shù)據(jù)使用。

大數(shù)據(jù)服務(wù)采用分布式方法存儲數(shù)據(jù)，并基于大數(shù)據(jù)平臺將海量的數(shù)據(jù)資源鏈接起來，構(gòu)建大規(guī)模的數(shù)據(jù)開放共享平臺。所有位于大數(shù)據(jù)環(huán)境中的數(shù)據(jù)所有者，將數(shù)據(jù)存放于大數(shù)據(jù)平臺進(jìn)行統(tǒng)一管理，進(jìn)而構(gòu)成一個巨大的數(shù)據(jù)服務(wù)中心。大數(shù)據(jù)中心不僅能夠為數(shù)據(jù)所有者提供存儲和訪問服務(wù)，又能夠支持各種復(fù)雜的數(shù)據(jù)運算。在大數(shù)據(jù)服務(wù)環(huán)境下，傳統(tǒng)架構(gòu)模式下的單一數(shù)據(jù)中心消失，而是以分布式數(shù)據(jù)存儲的形式存在。數(shù)據(jù)資源的存儲分配從單一的主機(jī)存儲分配變?yōu)槎嘀鳈C(jī)、分布式的存儲分配。數(shù)據(jù)資源的訪問也從單一用戶單一主機(jī)訪問變?yōu)槎嘤脩舳鄶?shù)據(jù)域的數(shù)據(jù)訪問，從而引出了大數(shù)據(jù)服務(wù)環(huán)境下的復(fù)雜用戶多數(shù)據(jù)資源域的訪問問題。訪問控制模型的構(gòu)建是解決數(shù)據(jù)訪問的重要方法。因此，在深入研究傳統(tǒng)訪問控制模型的基礎(chǔ)上，文中提出了面向大數(shù)據(jù)服務(wù)環(huán)境下的基于細(xì)粒度訪問控制模型的安全防護(hù)方法。

1 相關(guān)研究

傳統(tǒng)訪問控制模型分為三個主要類型:自主訪問控制模型、強制訪問控制模型和基于角色的訪問控制模型。傳統(tǒng)的訪問控制模型通常是基于表示或者特定的身份，對數(shù)據(jù)資源進(jìn)行分組的訪問管理。但是這種方式存在局限性，只能用于結(jié)構(gòu)簡單的封閉式網(wǎng)絡(luò)環(huán)境。由于大數(shù)據(jù)環(huán)境面臨用戶數(shù)量多且用戶關(guān)系復(fù)雜的問題，數(shù)據(jù)資源需求存在很多不確定性，權(quán)限的授權(quán)與取消必須是動態(tài)變化的。更復(fù)雜的是，用戶的訪問請求可能涉及不同邏輯區(qū)域的分布式數(shù)據(jù)存儲資源。由此可見，傳統(tǒng)的訪問控制模型不適用于分布式下的大數(shù)據(jù)環(huán)境。

當(dāng)前，國內(nèi)研究者針對大數(shù)據(jù)環(huán)境的訪問控制需求的特點，提出了很多訪問控制模型，其本質(zhì)上是對傳統(tǒng)訪問控制模型進(jìn)行的擴(kuò)展和改造。

崔新會等[9]對大數(shù)據(jù)環(huán)境給訪問控制領(lǐng)域帶來的問題進(jìn)行了系統(tǒng)分析，提出了5個迫切問題：授權(quán)管理、細(xì)粒度訪問控制、訪問控制策略描述、個人隱私等，并給出了若干建議，但沒有進(jìn)行實質(zhì)性的研究。惠榛等[10]以大數(shù)據(jù)醫(yī)療為背景，提供了一種基于風(fēng)險的訪問控制模型，能夠適應(yīng)性地調(diào)整醫(yī)生的訪問能力，保護(hù)患者隱私。但是此方法需要分析醫(yī)生的訪問歷史來量化風(fēng)險，推斷訪問權(quán)限，對數(shù)據(jù)質(zhì)量及環(huán)境要求較高，不能適用于統(tǒng)一化、標(biāo)準(zhǔn)化的大數(shù)據(jù)處理平臺。王小明等[11]針對大數(shù)據(jù)的強動態(tài)性及強隱私性，籠統(tǒng)地給出了基于屬性訪問控制模型各個階段的研究點及解決方法，沒有提出具體的模型。路艷軍等[12]提供了基于代理技術(shù)的大數(shù)據(jù)平臺的訪問控制方法，實現(xiàn)了代理式的數(shù)據(jù)資源的統(tǒng)一訪問接口，但是沒有給出細(xì)粒度的訪問策略。胡坤等[13]提出了大數(shù)據(jù)安全和隱私保護(hù)風(fēng)險，給出了大數(shù)據(jù)安全防護(hù)策略，但是沒有提出具體的防護(hù)方法。閆璽璽等[14]將屬性加密技術(shù)和控制技術(shù)相結(jié)合，提出了針對敏感數(shù)據(jù)的融合訪問控制機(jī)制，通過加密技術(shù)提高了策略分發(fā)的安全性，但是控制訪問只是粗粒度的訪問策略。

基于國內(nèi)大數(shù)據(jù)安全防護(hù)方法的調(diào)研與研究，文中提出了基于細(xì)粒度訪問控制的大數(shù)據(jù)安全防護(hù)方法，構(gòu)建了基于屬性的細(xì)粒度訪問控制模型。在該模型中，訪問請求被表述為不同的屬性信息，如訪問者、訪問資源、訪問動作、環(huán)境等。這些屬性同時作為訪問依據(jù)，能夠保證實現(xiàn)動態(tài)、細(xì)粒度的授權(quán)機(jī)制，保證訪問控制的靈活與可擴(kuò)展。

2 BD-ABAC模型

大數(shù)據(jù)環(huán)境下的細(xì)粒度屬性訪問控制模型(big data-attribute based access control，BD-ABAC)是通過基于屬性的細(xì)粒度訪問控制方法，利用多域?qū)傩员硗郊夹g(shù)，實現(xiàn)多域細(xì)粒度訪問控制的模型。

傳統(tǒng)的訪問控制方法是直接在主體和客體之間定義授權(quán)，基于屬性的細(xì)粒度訪問控制方法是利用主體、資源、環(huán)境和動作之間的屬性關(guān)系定義授權(quán)。BD-ABAC模型和基于角色的訪問控制模型存在本質(zhì)上的不同。它將操作與資源之間的二元關(guān)系擴(kuò)展到主體、資源、環(huán)境和動作之間的多元約束關(guān)系，形成了基于多元屬性的細(xì)粒度訪問控制。

屬性是人類對事物的性質(zhì)與關(guān)系的定義，即對現(xiàn)實世界實體的抽象描述。兩個實體是否相同，其本質(zhì)就是實體的屬性是否相同。通常把訪問控制的需求歸結(jié)為四種屬性：主體屬性、資源屬性、環(huán)境屬性和動作屬性。

BD-ABAC模型能夠進(jìn)行基于屬性的細(xì)粒度授權(quán)決策。為了實現(xiàn)這一目標(biāo)，BD-ABAC定義了一種細(xì)粒度的靈活授權(quán)方法，能夠適應(yīng)大數(shù)據(jù)環(huán)境下的資源跨域訪問、實體屬性動態(tài)變化等特點。下面給出BD-ABAC模型相關(guān)的數(shù)據(jù)定義：

(1)屬性定義。

attr表示屬性(attribute)，attr_n表示第n個屬性。Sattr，Rattr，Eattr和Aattr表示主體屬性(subject attribute)、資源屬性(resource attribute)、環(huán)境屬性(environment attribute)和動作屬性(action attribute)。

Sattrsa={Sattr_1，Sattr_2，…，Sattr_a}，為主體屬性集合，a表示屬性個數(shù)；

Rattrsb={Rattr_1，Rattr_2，…，Rattr_b}，為資源屬性集合,b表示屬性個數(shù)；

Eattrsc={Eattr_1，Eattr_2，…，Eattr_c}，為環(huán)境屬性集合,c表示屬性個數(shù)；

Aattrsd={Aattr_1，Aattr_2，…，Aattr_d}，為動作屬性集合,d表示屬性個數(shù)。

(2)屬性賦值定義。

AV表示屬性賦值(attribute value)。AV_n←(attr_n=value)，表示第n個屬性的屬性賦值。SAV_n，RAV_n，EAV_n和AAV_n表示第n個主體、資源、環(huán)境和動作屬性賦值。

SAVt={SAV_1，SAV_2，…，SAV_t}，為主體屬性賦值集合,t表示屬性賦值個數(shù)；

RAVm={RAV_1，RAV_2，…，RAV_m}，為資源屬性賦值集合，m表示屬性賦值個數(shù)；

EAVn={EAV_1，EAV_2，…，EAV_n}，為環(huán)境屬性賦值集合，n表示屬性賦值個數(shù)；

AAVk={AAV_1，AAV_2，…，AAV_k}，為動作屬性賦值集合，k表示屬性賦值個數(shù)。

(3)屬性閾值定義。

ATV表示屬性閾值(attribute threshold value)。ATV_n←(attr_n∝value),表示第n個屬性的屬性閾值，其中∝∈{>,<,=,≥,≤,≠,in,not in,between}為關(guān)系表達(dá)式運算符，用來限定屬性的取值范圍，即屬性關(guān)系。SATV_n，RATV_n，EATV_n和AATV_n表示第n個主體、資源、環(huán)境和動作的屬性閾值。

SATVi={SATV_1，SATV_2，…，SATV_i}，為主體屬性閾值集合，其中i表示屬性閾值個數(shù)；

RATVj={RATV_1，RATV_2，…，RATV_j}，為資源屬性閾值集合，其中j表示屬性閾值個數(shù)；

EATVs={EATV_1，EATV_2，…，EATV_s}，為環(huán)境屬性閾值集合，其中s表示屬性閾值個數(shù)；

AATVp={AATV_1，AATV_2，…，AATV_p}，為動作屬性閾值集合，其中p表示屬性閾值個數(shù)。

(4)訪問請求定義。

Req(SAVt，RAVm，EAVn，AAVk)={SAV_1，SAV_2，…，SAV_t}∩{RAV_1，RAV_2，…，RAV_m}∩{EAV_1，EAV_2，…，EAV_n}∩{AAV_1，AAV_2，…，AAV_k},表示一個完整的由主體、資源、環(huán)境和動作屬性賦值構(gòu)成的訪問請求。

(5)訪問控制策略定義。

Policy←(Target，CombiningAlgorithm，Rule)，表示訪問控制策略，由Target(目標(biāo))、CombiningAlgorithem(合并算法)，Rule(規(guī)則)三者組成。

Target←(Sattrsa，Rattrsb，Eattrsc，Aattrsd),表示目標(biāo)，由主體屬性集合(Sattrs)，資源屬性集合(Rattrs)，環(huán)境屬性集合(Eattrs)和動作屬性集合(Aattrs)組成，用來說明所屬的訪問控制策略(Policy)是否適合訪問請求。

Rule={rule1，rule2，…，rulet}，表示規(guī)則集合，其中rulet表示第t條規(guī)則。rule=Result←(SATVi，RATVj，EATVs，AATVp)，表示一條完整的規(guī)則組成。其中Result為規(guī)則的判定結(jié)果，Result∈(Yes,No)。

CombiningAlgorithem(合并算法),表示生成決策結(jié)果對規(guī)則(Rule)判定結(jié)果(Result)的解決策略沖突的合并算法。

2.1 模型構(gòu)建

BD-ABAC模型(見圖1)由三個核心模塊組成：用戶認(rèn)證模塊、域定位模塊和訪問決策模塊。

圖1 BD-ABAC模型

2.1.1 用戶認(rèn)證模塊

用戶在第一次訪問數(shù)據(jù)資源的時候，首先要向安全認(rèn)證機(jī)構(gòu)申請安全證書(security certificate，SC)。安全證書的作用在于，用戶可以使用安全證書在訪問數(shù)據(jù)資源時證明自己的身份。資源服務(wù)器的作用是對抗惡意的數(shù)據(jù)訪問，驗證的憑據(jù)也是身份證書。這樣設(shè)計的好處在于，安全證書被全域信任，能夠有效減少重復(fù)的驗證操作。

2.1.2 域定位模塊

通過身份認(rèn)證的終端用戶在訪問數(shù)據(jù)資源時，訪問請求Req(SAVt，RAVm，EAVn，AAVk)會被轉(zhuǎn)發(fā)至域定位服務(wù)器，域定位服務(wù)器對主體屬性(Sattr)和資源屬性(Rattr)進(jìn)行分析，判斷該資源的訪問請求是本地域訪問還是跨域訪問。如果是跨域訪問請求，域定位模塊則根據(jù)資源屬性(Rattr)快速查找相應(yīng)的資源域，并轉(zhuǎn)發(fā)訪問請求。

2.1.3 訪問決策模塊

訪問決策模塊由兩部分組成，分別是本地域訪問決策部分和跨域訪問決策部分。采用基于屬性的訪問控制方法對終端用戶的訪問請求Req(SAVt，RAVm，EAVn，AAVk)進(jìn)行策略判定，并將判定結(jié)果發(fā)送到策略執(zhí)行點。各數(shù)據(jù)資源域根據(jù)屬性策略集合相應(yīng)的合并算法，為策略判斷提供可靠依據(jù)。

2.1.4 模塊關(guān)聯(lián)

在BD-ABAC模型中，當(dāng)終端用戶申請訪問數(shù)據(jù)資源時，用戶認(rèn)證模塊、域定位模塊和訪問決策模塊之間的交互協(xié)作關(guān)系如圖2所示。終端用戶向數(shù)據(jù)資源發(fā)起訪問請求，通過使用安全認(rèn)證機(jī)構(gòu)頒發(fā)的安全證書進(jìn)行身份認(rèn)證，通過身份認(rèn)證的終端用戶的訪問請求被轉(zhuǎn)發(fā)至域定位服務(wù)器，域定位服務(wù)器將訪問請求轉(zhuǎn)發(fā)至相應(yīng)的資源域，該資源域的決策機(jī)構(gòu)對該訪問請求進(jìn)行判定并將結(jié)果返回至終端用戶。

圖2 模塊協(xié)作

2.2 單域訪問決策模型

文中采用可擴(kuò)展訪問控制標(biāo)記語言(XACML)[15]框架來制定單域訪問控制的決策模型。XACML是一種標(biāo)準(zhǔn)化的框架，提供了統(tǒng)一的訪問控制策略編寫規(guī)范，能夠支持大數(shù)據(jù)計算環(huán)境下的多數(shù)據(jù)域之間的訪問控制。

在單域訪問的環(huán)境中，訪問控制決策模型由四個主要部分組成：策略執(zhí)行點(PEP)、策略決策點(PDP)、策略信息點(PIP)、策略管理點(PAP)。其中，PEP負(fù)責(zé)將用戶的訪問請求傳遞到PDP，并得到?jīng)Q策結(jié)果。PDP負(fù)責(zé)對訪問請求進(jìn)行判斷，并把判定結(jié)果返回給PEP。PIP的作用是為PDP決策提供屬性信息。PAP為PDP進(jìn)行決策提供所必需的策略集。

文中提出的單域訪問決策模型如圖3所示。單域訪問策略判定過程如下：

圖3 單域訪問決策模型

(1)用戶第一次訪問數(shù)據(jù)資源，進(jìn)行身份認(rèn)證，并申請用戶安全證書SC。

(2)用戶發(fā)送訪問請求到域定位服務(wù)器，域定位服務(wù)器通過對主體和資源的屬性分析，判斷為單域訪問服務(wù)。

(3)PEP接收到訪問請求NAR后，根據(jù)訪問請求的內(nèi)容，結(jié)合PIP和屬性庫，構(gòu)建基于屬性的訪問請求AAR。AAR包含了本次訪問所需的所有相關(guān)屬性。然后，PEP將AAR轉(zhuǎn)發(fā)給PDP。

(4)PDP負(fù)責(zé)對訪問請求進(jìn)行決策。為了查找適合該AAR的策略集，PDP根據(jù)AAR和PIP中的屬性，向PAP發(fā)送策略匹配請求，進(jìn)而得到結(jié)果。

(5)PAP根據(jù)AAR中的屬性在策略庫中查找適合的策略集，并返回給PDP進(jìn)行策略判定。

(6)策略集通常包含了多個策略，而每條策略又由多種規(guī)則組成，而這些規(guī)則元素就是判斷依據(jù)。

(7)策略合并算法為多條策略決策結(jié)果進(jìn)行合并的方法。

(8)PDP將判定結(jié)果返回給PEP。此時，PEP能夠根據(jù)判定結(jié)果執(zhí)行用戶訪問數(shù)據(jù)資源的決策。

單域訪問決策中最重要的模塊是PDP模塊，PDP模塊的功能是：接收到由PEP轉(zhuǎn)發(fā)來的基于屬性的訪問請求后，通過PIP和PAP獲取屬性信息和策略集，對請求進(jìn)行策略判定，并返回判定結(jié)果。

2.3 跨域訪問決策模型

在當(dāng)今的復(fù)雜應(yīng)用背景下，大數(shù)據(jù)環(huán)境通常存在多個不同領(lǐng)域，例如金融、安防、能源、業(yè)務(wù)、醫(yī)療以及電力行業(yè)等。各領(lǐng)域中通常存在有自己的安全認(rèn)證和訪問控制體系，終端用戶在訪問不同領(lǐng)域的大數(shù)據(jù)資源時，如何保證用戶安全高效的在多域之間進(jìn)行互操作是訪問控制模型必須考慮的。文中在提出基于屬性的訪問控制模型的基礎(chǔ)上，對大數(shù)據(jù)環(huán)境下多域間安全訪問以及資源的互操作提出解決方案。訪問控制模型如圖4所示。

(1)位于主體域的用戶，在經(jīng)過安全認(rèn)證的前提下，持有安全證書進(jìn)行跨域訪問。

(2)在訪問請求抵達(dá)資源域時，首先要通過策略決策，主體域判斷用戶是否有權(quán)限去訪問資源域，具體由主體域的策略判定點進(jìn)行決策。

(3)主體域的策略判定點將決策結(jié)果發(fā)送到主體域的策略執(zhí)行點和主體域的策略執(zhí)行點執(zhí)行主體域的策略判定點決策結(jié)果中的權(quán)限。

(4)主體域的策略執(zhí)行點發(fā)送多域間訪問請求到資源域的策略執(zhí)行點，資源域的策略執(zhí)行點查看其安全證書。

(5)資源域的策略執(zhí)行點首先檢查主體屬性是否發(fā)生了變化。若沒有變化，就發(fā)起屬性庫更新請求，更新資源域?qū)傩詭熘兄黧w的屬性表信息。若沒有變化，則將請求提交到下一步。

(6)資源域的策略執(zhí)行點發(fā)送訪問請求到資源域的策略判定點和資源域的策略判定點匹配適用于此訪問請求的策略集進(jìn)行策略決策。

(7)資源域的策略判定點將最終的決策結(jié)果發(fā)送到資源域的策略執(zhí)行點。

(8)資源域的策略執(zhí)行點執(zhí)行策略判定點決策結(jié)果中的權(quán)限，對用戶的訪問請求進(jìn)行判決，允許或拒絕資源的訪問請求。

圖4 跨域訪問決策結(jié)構(gòu)模型

2.3.1 跨域?qū)傩员硗?/p>

尤其是在大數(shù)據(jù)環(huán)境下，用戶權(quán)限是動態(tài)變化的，主體信息經(jīng)常發(fā)生變化會影響策略的評估和判定，各操作域中的訪問控制模型需要一種可靠機(jī)制能夠及時更新屬性庫中的信息。屬性表的更新需要重點解決以下問題：

(1)在多域間互操作的過程中，當(dāng)本地域?qū)傩员戆l(fā)生變化時如何保持其在本地域和資源域的一致。

(2)當(dāng)對資源域的屬性表進(jìn)行更新時，如果有其他操作調(diào)用此屬性表中的信息，則有可能產(chǎn)生誤操作。

針對上述問題，為了解決多域?qū)傩员砀峦交コ獾膯栴}，文中引入信號量機(jī)制和P/V操作。屬性庫中的每一個主體都賦予一個信號量，并設(shè)置初始值為1：mutexj=1。當(dāng)策略執(zhí)行點PEP發(fā)現(xiàn)屬性變化時，發(fā)送更新請求，執(zhí)行P操作。更新完畢后，執(zhí)行V操作。執(zhí)行完畢后，將屬性更新結(jié)果返回主體域。P/V操作過程如圖5所示。

圖5 P/V操作過程

資源域的策略執(zhí)行點的主要執(zhí)行流程為：檢測訪問請求中屬性表是否發(fā)生變化，若發(fā)生變化則執(zhí)行更新同步屬性表的操作，若未發(fā)生變化則將訪問請求傳遞給策略判定點。

2.3.2 訪問決策核心算法

假設(shè)訪問請求為Req(SAVt，RAVm，EAVn，AAVk)，策略為Policy←(Target，CombiningAlgorithm，Rule)，首先進(jìn)行策略評估PolicyEvalucation(Req，Policy)。含義是根據(jù)訪問請求和策略，決定訪問請求是否能夠被批準(zhǔn)。若此策略適合判定，則返回策略的Result集合，否則不返回。策略判定算法如圖6所示。

圖6 策略判定算法

在多域訪問的場景中，保持主體域和資源域中的屬性一致性是至關(guān)重要的。資源域中的PEP模塊的主要功能是：檢查訪問中的主體屬性和先前屬性是否一致，如果沒有變化，就交送PDP進(jìn)行進(jìn)一步的訪問決策。如果發(fā)生了改變，就要更新屬性庫中的屬性表。PEP模塊核心算法如圖7所示。

圖7 PEP模塊核心算法

3 仿真實驗

實驗基于Hadoop大數(shù)據(jù)處理平臺[16-17]，在該平臺上模擬3個數(shù)據(jù)資源存儲中心，并劃分為3個不同的邏輯域，以此命名為M1，M2和M3，如圖8所示。

圖8 大數(shù)據(jù)分布式處理平臺

在三個邏輯域中建立多個仿真用戶，用戶角色包括數(shù)據(jù)擁有者和數(shù)據(jù)用戶。數(shù)據(jù)擁有者在不同的邏輯域中掌控不同的數(shù)據(jù)資源。并且進(jìn)一步根據(jù)屬性對權(quán)限進(jìn)行細(xì)粒度的定義，制定完備的訪問側(cè)邏輯和，并對滿足屬性約束的用戶授予訪問控制權(quán)限。

實驗設(shè)置如下：針對3個邏輯域，模擬編寫1 000條策略，其中每條策略包含1條至上千條規(guī)則不等,以驗證BD-ABAC模型的正確性、細(xì)粒度訪問決策、可擴(kuò)展性和效率等。

3.1 細(xì)粒度訪問控制

訪問控制策略復(fù)雜度和訪問控制粒度相關(guān)，越復(fù)雜代表控制粒度越細(xì)。策略中包含的屬性個數(shù)越多，策略的復(fù)雜度就越高。實驗測試中選擇了50條訪問控制策略，這些策略的復(fù)雜度不同。并且每條策略含有多個屬性閾值對，從幾個到幾千不等。實驗測試結(jié)果如圖9所示，記錄了策略復(fù)雜度與策略決策時間的關(guān)系。

圖9 策略復(fù)雜度與策略響應(yīng)時間的關(guān)系曲線

3.2 單域及多域間訪問決策

在單域訪問控制決策和多域間訪問控制決策的實驗測試中，隨機(jī)選擇了二十條請求，并記錄策略判斷的決策時間，重點分析請求與策略規(guī)則數(shù)目的關(guān)系。重復(fù)五十次實驗取平均值。圖10為不同規(guī)則數(shù)與策略決策時間的關(guān)系曲線。

圖10 策略條數(shù)與平均決策時間的關(guān)系曲線

由圖10可知，無論是單域還是多域間訪問請求，其策略判定的平均決策時間都隨訪問控制策略規(guī)則數(shù)的增加而上升，并趨近于平緩。而多域間訪問平均決策時間相對更長，但時間開銷在可接受范圍內(nèi)。在實際情況下，策略條數(shù)并沒有實驗中這么多，策略也不會這么復(fù)雜，所以，判斷時間不會影響系統(tǒng)的性能。綜上所述，BD-ABAC具有較好的可擴(kuò)展性及較高的決策效率。

4 結(jié)束語

BD-ABAC結(jié)合安全認(rèn)證和訪問判決兩個維度，使授權(quán)驗證的安全性和可信度更高，這有助于提高大數(shù)據(jù)資源訪問的安全性。在訪問控制粒度方面，BD-ABAC基于多種角色的屬性進(jìn)行判決，采用了動態(tài)靈活細(xì)粒度的訪問授權(quán)機(jī)制，并引入了信號量和P/V操作有效解決了跨域更新互斥問題。實驗結(jié)果表明，BD-ABAC模型正確，可擴(kuò)展，能夠滿足大數(shù)據(jù)資源訪問高效和細(xì)粒度的要求。