一种RB_RBAC模型规则冲突消解算法

１引言近年来，随着网络应用的逐步深入，安全问题日益受到关注。

基于角色的访问控制（ＲＢＡＣ）的出现越来越显示出替代传统的ＤＡＣ和ＭＡＣ模型的优势［１，２］。

但是，传统的ＲＢＡＣ模型中，用户－角色指派通常由管理员手工完成，在用户数量相当大的系统中，为用户指派角色的工作将成为极沉重的负担，而且正确性难以保证。

文献［３－５］中定义的ＲＢ－ＲＢＡＣ（Ｒｕｌｅ－ＢａｓｅｄＲＢＡＣ）模型克服了ＲＢＡＣ模型的一些局限，提供了一种基于授权规则为用户动态指派角色授权机制。

基于用户属性的授权规则可以自动地根据规则指派和撤消用户的角色，极大地减轻了系统管理员的工作负担，并保证用户－角色指派结果的正确性。

ＲＢ－ＲＢＡＣ模型允许定义否定授权规则，这为系统提供了额外的安全保证，但是这种方式也可能在进行授权过程中导致冲突［５］。

由于ＲＢ－ＲＢＡＣ模型中属性表达式定义的复杂性，直观地发现授权规则间的关系是困难的，在出现冲突后，手工地消除这些冲突对管理员来说是一种负担，因此，自动的冲突规则改写算法对管理活动来说是十分必要的。

本文对ＲＢ－ＲＢＡＣ模型中的授权规则冲突进行了深入研究，在分析冲突规则间关系的基础上给出了一种基于否定优先（ＤｅｎｉａｌｓＴａｋｅＰｒｅｃｅｄｅｎｃｅ，ＤＴＰ）［６］的冲突消解算法，在保证原有的语义的情况下，通过改写冲突的规则来消除ＲＢ－ＲＢＡＣ模型中的授权冲突。

２ＲＢ－ＲＢＡＣ授权规则和冲突定义１授权规则Ｒｕｌｅ定义如下：Ｒｕｌｅ∷ＡＥ"ＲｏｌｅｓＡＥ∷＝ａｐ｜┐ＡＥ｜ＡＥ∧ＡＥ｜（ＡＥ∧ＡＥ）ａｐ∷＝ａｔｔｒｏｐａｖｒｏｐ∷＝＜｜＝｜＞｜≤｜≠｜≥Ｒｏｌｅ∷＝［┐］ｒｏｌｅＲｏｌｅｓ∷＝Ｒｏｌｅ｜Ｒｏｌｅｓ，Ｒｏｌｅａｔｔ∷＝｛ｓｐｅｃｉｆｉｅｄｂｙｏｒｇｉｎｉｚａｔｉｏｎ｝ａｖ∷＝｛ｓｐｅｃｉｆｉｅｄｂｙｏｒｇｉｎｉｚａｔｉｏｎ｝ｒｏｌｅ∷＝｛ｓｐｅｃｉｆｉｅｄｂｙｏｒｇｉｎｉｚａｔｉｏｎ｝其中，ＡＥ是Ｒｕｌｅ的属性表达式，Ｒｏｌｅｓ是Ｒｕｌｅ产生的角色集。

ａｐ为构成属性表达式的属性对。

∧为逻辑与运算，┐为逻辑非运算，ｒｏｐ为关系运算符，ａｔｔ为属性，ａｖ为属性值，ｒｏｌｅ为角色。

为表示方便，可以采用逻辑或运算符∨和逻辑异或运算符-：ＡＥ∨ＡＥ表示┐（┐ＡＥ∧┐ＡＥ），ＡＥ-ＡＥ表示（ＡＥ∨ＡＥ）∧┐（ＡＥ∧ＡＥ）。

属性表达式实际确定了一个满足具体条件的用户集合。

肯定授权规则ｒｕｌｅｋ：ＡＥｋ"Ｒｏｌｅｓｋ表明，如果用户满足授权规则定义的属性表达式ＡＥｋ，那么该用户就自动被分配Ｒｏｌｅｓｋ中定义的角色集。

例如ｄｅｐａｒｔｍｅｎｔ＝′ｓａｌｅ′∧ｐｏｓｉｔｉｏｎ＝′ｍａｎａｇｅｒ′"ｒｏｌｅ１一种ＲＢ－ＲＢＡＣ模型规则冲突消解算法于海波，车海燕，吕巍（吉林大学计算机科学与技术学院，长春１３００１２）Ｅ－ｍａｉｌ：ｙｕｈｂ＠ｊｌｕ．ｅｄｕ．ｃｎ摘要：ＲＢ－ＲＢＡＣ（Ｒｕｌｅ－ＢａｓｅｄＲＢＡＣ）模型克服了ＲＢＡＣ模型的一些局限，提供了基于用户属性自动指派角色的机制。

ＲＢ－ＲＢＡＣ模型允许进行否定授权，可能在进行授权的过程中出现冲突。

在研究ＲＢ－ＲＢＡＣ模型冲突规则间关系的基础上，提出了一种基于否定优先的冲突消解算法，能够在保持原有语义的条件下，自动改写ＲＢ－ＲＢＡＣ模型中冲突的授权规则来消解冲突。

关键词：ＲＢ－ＲＢＡＣ；授权冲突；冲突消解文章编号：１００２－８３３１（２００６）３６－００５９－０４文献标识码：Ａ中图分类号：ＴＰ３０９ＣｏｎｆｌｉｃｔＲｅｓｏｌｕｔｉｏｎＡｌｇｏｒｉｔｈｍｆｏｒＡｕｔｈｏｒｉｚａｔｉｏｎＲｕｌｅｓｏｆＲＢ－ＲＢＡＣＭｏｄｅｌＹＵＨａｉ－ｂｏ，ＣＨＥＨａｉ－ｙａｎ，ＬＶＷｅｉ（ＣｏｌｌｅｇｅｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ，ＪｉｌｉｎＵｎｉｖｅｒｓｉｔｙ，Ｃｈａｎｇｃｈｕｎ１３００１２，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：ＲＢ－ＲＢＡＣ（Ｒｕｌｅ－ＢａｓｅｄＲＢＡＣ）ｐｒｏｖｉｄｅｓｔｈｅｍｅｃｈａｎｉｓｍｔｏｄｙｎａｍｉｃａｌｌｙａｓｓｉｇｎｕｓｅｒｓｔｏｒｏｌｅｓｂａｓｅｄｏｎａｆｉ－ｎｉｔｅｓｅｔｏｆａｕｔｈｏｒｉｚａｔｉｏｎｒｕｌｅｓｄｅｆｉｎｅｄｂｙｔｈｅｅｎｔｅｒｐｒｉｓｅ’ｓｓｅｃｕｒｉｔｙｐｏｌｉｃｙ．Ｔｈｅｓｅｒｕｌｅｓｍａｙｈａｖｅｃｏｎｆｌｉｃｔｄｕｅｔｏｎｅｇａｔｉｖｅａｕｔｈｏｒｉｚａｔｉｏｎ．Ａｃｃｏｒｄｉｎｇｔｏｒｅｌａｔｉｏｎｓａｍｏｎｇｃｏｎｆｌｉｃｔａｕｔｈｏｒｉｚａｔｉｏｎｒｕｌｅｓ，ｔｈｉｓｐａｐｅｒｉｎｔｒｏｄｕｃｅｓａｃｏｎｆｌｉｃｔｒｅｓｏｌｕｔｉｏｎａｌｇｏｒｉｔｈｍｂａｓｅｄｏｎｄｅｎｉａｌｓｔａｋｅｐｒｅｃｅｄｅｎｃｅ．Ｔｈｉｓａｌｇｏｒｉｔｈｍｃａｎｒｅｗｒｉｔｅｃｏｎｆｌｉｃｔｒｕｌｅｓｆｏｒｅｌｉｍｉｎａｔｉｎｇｐｏｌｉｃｙｃｏｎｆｌｉｃｔｗｉｔｈｏｕｔｃｈａｎｇ－ｉｎｇｏｒｉｇｉｎａｌｍｅａｎｉｎｇｏｆｒｕｌｅｓ．Ｋｅｙｗｏｒｄｓ：ＲＢ－ＲＢＡＣ；ａｕｔｈｏｒｉｚａｔｉｏｎｃｏｎｆｌｉｃｔ；ｃｏｎｆｌｉｃｔｒｅｓｏｌｕｔｉｏｎ基金项目：“吉林大学９８５工程”项目资助。

作者简介：于海波，讲师，博士生，主要研究方向：信息安全、软件工程；车海燕，助教，博士生，主要研究方向：自动推理，信息安全；吕巍，高级工程师，硕士，主要研究方向：数据库安全。

５９计算机工程与应用２００６．３６２００６．３６计算机工程与应用表明销售部门职位是经理的人员可以分配角色ｒｏｌｅ１。

否定授权规则，如ＡＥｋ!┐ｒｉ，表示如果用户满足ＡＥｋ，那么禁止该用户获得角色ｒｉ。

定义２Ｕ（ＡＥ）为满足属性表达式ＡＥ的用户的集合，对任意属性表达式ＡＥｉ、ＡＥｊ，若Ｕ（ＡＥｉ）#Ｕ（ＡＥｊ），称ＡＥｉ支配ＡＥｊ，记为ＡＥｉ≥ＡＥｊ，若Ｕ（ＡＥｉ）∩Ｕ（ＡＥｊ）≠&且Ｕ（ＡＥｉ）∩Ｕ（ＡＥｊ）≠Ｕ（ＡＥｉ），Ｕ（ＡＥｉ）∩Ｕ（ＡＥｊ）≠Ｕ（ＡＥｊ），称ＡＥｉ与ＡＥｊ相交，记为ＡＥｉＡＥｊ。

定义２中，比较属性表达式间的关系并不要求属性表达式具有同样语法结构，去掉的这种过于严格的限制有助于发现规则间的真实关系。

如ＡＥ１：ａｇｅ＞１８，ＡＥ２：ａｇｅ＞２５，则ＡＥ２≥ＡＥ１。

ＡＥ１：ａｍｏｕｎｔ＜３００，ＡＥ２：ａｍｏｕｎｔ＞２００，则ＡＥ１ＡＥ２。

但是，如果ａｔｔ不是数字值类型，或者ａｔｔ和ａｖ间的关系是的话，属性表达式间的优先级需要人为指定。

定义３对任意授权规则Ｒｕｌｅｉ、Ｒｕｌｅｊ、Ｒｕｌｅｉ优先于Ｒｕｌｅｊ当且仅当ＡＥｉ≥ＡＥｊ，记为Ｒｕｌｅｉ＞＞Ｒｕｌｅｊ，其中ＡＥｉ、ＡＥｊ分别是Ｒｕｌｅｉ，Ｒｕｌｅｊ对应的属性表达式，称Ｒｕｌｅｉ和Ｒｕｌｅｊ是相关规则，Ｒｕｌｅｉ是高级规则，Ｒｕｌｅｊ是低级规则。

规则间的优先级表明，如果用户满足规则Ｒｕｌｅｉ那么也将满足规则Ｒｕｌｅｊ，因此，满足Ｒｕｌｅｉ的用户同时也被分配Ｒｕｌｅｊ产生的所有角色。

规则间的优先级关系具有传递性，若Ｒｕｌｅｉ＞＞Ｒｕｌｅｊ，Ｒｕｌｅｊ＞＞Ｒｕｌｅｋ那么有Ｒｕｌｅｉ＞＞Ｒｕｌｅｋ，满足ｒｕｌｅｉ的用户除了可以分配ｒｕｌｅｉ的角色外，也将被同时分配ｒｕｌｅｊ和ｒｕｌｅｋ中的角色。

因为可能同时存在肯定和否定的授权规则，当用户同时满足两个以上的授权规则且这些规则分配相互矛盾的角色时，就会引起冲突。

定义４对授权规则Ｒｕｌｅｉ、Ｒｕｌｅｊ，若它们是相关规则且存在ｒｋ∈ｒｕｌｅｉ，ｒｌ∈ｒｕｌｅｊ使得ｒｋ＝┐ｒｌ，则Ｒｕｌｅｉ和Ｒｕｌｅｊ间存在相关规则间冲突。

例如，图１中，ｒｕｌｅ２和ｒｕｌｅ４是相关规则。

如果用户ｕ满足ｒｕｌｅ２，那么用户ｕ禁止分配角色ｒ１，但根据ｒｕｌｅ２＞＞ｒｕｌｅ４用户ｕ又被要求分配ｒｕｌｅ４中的角色ｒ１，出现了冲突。

定义５对授权规则Ｒｕｌｅｉ、Ｒｕｌｅｊ，若它们的属性表达式相交且存在ｒｋ∈ｒｕｌｅｉ，ｒｌ∈ｒｕｌｅｊ使得ｒｋ＝┐ｒｌ，则Ｒｕｌｅｉ和Ｒｕｌｅｊ间存在不相关规则间冲突。

例如，图１中，冲突可能发生在不相关的规则间：如ｒｕｌｅ１和ｒｕｌｅ２。

如果用户ｕ同时满足ｒｕｌｅ１和ｒｕｌｅ２，那么用户ｕ被同时要求分配角色ｒ１和禁止分配角色ｒ１，出现冲突。

３冲突消解在构建实际ＲＢ－ＲＢＡＣ系统的过程中，往往采用逐条添加授权规则的方式建立系统的授权策略。

每当一个新授权规则被添加到系统中时，也许会潜在地影响多个系统内已有的规则。

管理员需要了解新的授权规则与其它授权规则间的关系，如果新加入的规则与系统内一个或多个规则发生冲突，那么管理员可以根据冲突发生的情况决定是删除、改写或采用其它的方式进行处理。

在实现ＲＢ－ＲＢＡＣ模型的系统中，直观地发现授权规则间的关系是困难的，在出现冲突后，手工地消除这些冲突对管理员来说是一种负担，因此，自动的冲突规则改写算法对管理活动来说是十分必要的。

本文采用否定优先策略，在保留原有语意的原则下，对发生冲突的授权规则进行改写。

如果改写前某个用户可以分配角色集合ｒｓ，那么改写后该用户仍能够被分配ｒｓ中所有并不相互矛盾的角色。

对添加新的授权规则后引起的冲突，根据新授权规则与已有规则间关系确定相应的改写模式。

对规则的改写实际就是根据冲突规则涉及的用户的具体情况，重新定义属性表达式对用户进行划分或者重新分配角色的过程。

３．１角色集合并如果两个授权规则冲突，按照否定优先的策略，满足这两个授权规则的用户应该同时分配这两个规则中除了相互矛盾的角色之外的所有角色。

合并两个授权规则的角色集合以生成不含相互矛盾角色的新角色集合的算法如下：算法１ＣｏｍｐｏｓｉｔｉｏｎＲｏｌｅｓ（ｒｏｌｅｓ１，ｒｏｌｅｓ２）／＊合并两个授权规则的角色集合＊／。

输入：角色集合ｒｏｌｅｓ１、ｒｏｌｅｓ２。

输出：合并后不包含相互矛盾角色的新角色集合。

方法：ｒｓ)ｒｏｌｅｓ１ｆｏｒａｌｌｒｊｉｎｒｏｌｅｓ２ｄｏｆｌａｇ)ｔｒｕｅｆｏｒａｌｌｒｉｉｎｒｏｌｅｓ１ｄｏｉｆｒｉ＝┐ｒｊｔｈｅｎ／＊去掉互为否定的角色＊／ｒｓ)ｒｓ－｛ｒｉ｝ｆｌａｇ)ｆａｌｓｅｅｘｉｔｅｌｓｅｉｆｒｉ＝ｒｊｔｈｅｎ／＊重复元素＊／ｆｌａｇ)ｆａｌｓｅｅｘｉｔｉｆｆｌａｇｔｈｅｎｒｓ)ｒｓ∪｛ｒｊ｝ｒｅｔｕｒｎｒｓ设｜ｒｏｌｅｓ｜为角色集合中角色的个数，ｍａｘ（｜ｒｏｌｅｓ１｜，｜ｒｏｌｅｓ２｜）＝ｎ，则算法１的时间复杂性为Ｏ（ｎ２）。

３．２属性表达式复合属性表达式复合就是利用逻辑运算符对属性表达式进行逻辑连接以生成新属性表达式来定义新的用户集合的过程。

例如，对新的用户集合Ｕ（ＡＥ１）∩Ｕ（ＡＥ２），可相交复合ＡＥ１、ＡＥ２生成形如ＡＥ１∧ＡＥ２的属性表达式来定义同时满足ＡＥ１和ＡＥ２的用户集合，对用户集合Ｕ（ＡＥ１）＼Ｕ（ＡＥ２），可相斥复合ＡＥ１、ＡＥ２生成形如ＡＥ１∧┐ＡＥ２的属性表达式定义只满足ＡＥ１但不满足ＡＥ２的用户集合。