面向XML文档更新的细粒度访问控制方法的研究

Vol.28No.2Feb.2012赤峰学院学报（自然科学版）Journal of Chifeng University （Natural Science Edition ）1引言随着Web 技术的进一步发展和Web 应用的不断深入，越来越多的Web 关键资源都以Web 服务作为表现形式，与此同时，XM L 语言作为描述互联网上结构化信息和内容的标准，由于其简单性、自定义性、可扩展性及通用性逐渐成了一种通用的Web 语言，越来越多的Web 信息资源表现为XM L 文档的形式，越来越多的商业数据文档也用XM L 文档来表示，并且在网上进行传输、交换和处理，这使得XM L 相关的安全问题越来越重要.其中访问控制是实现XM L 安全性的重要方法.而访问控制最核心的模块就是访问控制策略库，关于XM L 文档实施访问控制策略也是XM L 安全研究的热点之一.本文仅对XM L 文档更新过程中可能引起的信息泄露问题进行了检测及控制，并提出了一种细粒度的访问控制方法.[1]该方法试图通过安全标签计算算法及更新请求检查算法来解决信息泄露的问题.2XML 文档树、树模式及树嵌入的定义我们将一个XM L 文档看做是一颗无序树.无序树中的每个节点都包含了元素、属性和值.树中的边代表了直接元素及其子元素的关系，或元素和值的关系.定义2.1（XM L 树/XM L Tree ）XM L 树是定义在无限大∑上的一个三元组，t=<V t ,E t ,r t >，其中：（1）V t 是节点组，E t 是边的集合；（2）r t ∈V t 是t 的根；（3）V t 中的每个节点v 都有一个来自于∑标签（记做labelt(v)）.假定每个文本节点都用它本身的文本值标记.在本文中，我们讨论了XPath 的一个片段，称之为“简单XPath ”，该“简单XPath ”可以通过以下语法生成（‘ε’是空路径，‘l ’是元素或属性名的一个标签，‘c ’是一个字符串常量）：（Simple XPath ）p ::=ε|l |/p |//p |p1/p2|p1//p2|p[q]（Qualifier ）q::=p|p θc（Comparison operator ）θ::=<|≤|=|≥|＞以上的简单XPath 表达式可以被描述成定义2.2所描述的树模式.定义2.2（树模式/Tree Patterns ）树模式p 是定义在无限大∑上的一个五元组<V p ,E p ,r p ,o p ,c p >，其中：（1）V p 是节点的集合；（2）E p 是边的集合；（3）V p 中的每个节点v 都有一个来自于∑的一个标签，记做lablep(v)；（4）r p ,o p ∈V p 是分别是p 的根节点和输出节点；（5）c p 具有为文本节点分配符号的功能，这些符号包括{‘＜’，‘≤’，‘=’，‘≥’，‘＞’}.如果一个XM L 树中包含满足树模型的节点，那么树模型中所有节点都在XM L 树中有一个相匹配的节点.并且树模型中的每个节点的前身后继关系应取决于XM L 树.这也被称为树嵌入.定义2.3（树嵌入/Tree Embedding ）给定一个XM L 树t=<V t ,E t ,r t >和一个树模型p=<V p ,E p ,r p ,o p ,c p >，将从p 到t 的嵌入记做：V p →V t ，对于每一个x,y ∈Vp 具有如下特性：（1）Lable-presering ：坌x ∈V p ，lablep(x)=lablet(emb(x));（2）Structure-presering ：坌e=（x ，y ）∈E p ，如果lablep （e ）=＇/＇，emb(y)是t 中emb(x)的一个子节点；否则，emb(y)是t 中emb(x)的一个后代节点；（3）Value-matching ：坌x ∈V p ，其中emb(x)∈V t 是一个文本节点，布尔表达式：lablet(emb(x))cp(x)lablep(x)的值为真.已知t=<V t ,E r ,r t >是一个XM L 树，p=<V p ,E p ,r p ,o p >是一个树模型，emb:V p →V t 是从p 到t 的一个嵌入.我们记做η（t,p,emb ）={v i ∈V t |emb （v j ）=v i 并且v j ∈V p }，t 的这组节点是由emb 从p 映射来的.记做τ（t,p ）={v i ∈V t |埚v k ∈p （t ）(vi=emb(vk)或者v i 是emb(vk)的一个后继节点}，是根节点p(t)的子树的一组节点.此外，我们将任何XM L 树上的空模型定义为一个空树.其中图1是XM L 文档（sale_teams.xml ）的一个实例.图2描述了建立在XM L 树t 上的p 的嵌入.面向XML 文档更新的细粒度访问控制方法的研究邹妍（赤峰学院计算机与信息工程学院，内蒙古赤峰024000）摘要：XML 是目前信息交换和存取的新兴技术，而XML 文档中敏感信息需要各种机制来保证其安全性，访问控制是其中之一.本文提出了一种细粒度的XML 访问控制方法，以解决XML 文档更新过程中所引起的信息泄露问题.文章提出了两个算法：一个是安全标记计算算法，一个是更新请求检查算法.通过这两个算法来解决XML 文档更新过程中的敏感信息泄露问题.关键词：XML ；访问控制；细粒度；XML 文档更新；信息泄露中图分类号：TP393文献标识码：A 文章编号：1673-260X （2012）02-0053-03第28卷第2期（上）2012年2月53--图3经过标签树算法分配了读写标记的XM L 树3XML 文档更新过程中的约束、权限及规则描述3.1授权规则我们把授权规则的集合叫做访问控制策略.每个授权规则都有如下格式：<主体，文件id ，路径，priv ，标记>，其中：（1）主体（subject ）是一个用户名，或者用户组，或者是一个角色；（2）文件id （doc-id ）是XM L 文档标识符；（3）路径（path ）代表XM L 文档内的XPath 标识符节点的一个路径表达式；（4）priv 或者是读，记做r ，或者是读/写，记做rw ；标记（sign ）∈{‘+’，‘-’}，其中‘+’表示授予，‘-’表示否定.被授权的节点会将权限传给它所有的后继节点.具有不同标记的权限在授权规则之间引入了潜在的冲突.本文采用如下策略解决这种冲突：（1）后继节点优先（Descendant-take-precedence ）规则：在文档层次中，某个指定级别的授权规则要优先于具有更高级别的授权规则；并且（2）否定优先（Denial-take-precedence ）规则：如果冲突不能由后继节点优先策略所解决，那么具有负号的授权规则优先.3.2更新请求[2]更新请求（Update Requests ）的定义如下：<主体，操作，文件id ，路径，内容>，其中：（1）主体（subject ）是一个用户名，用户组，或一个角色；（2）操作（option ）是指收回，追加，或更改操作；（3）文件id （doc-id ）是一个XM L 文档的标识符；（4）路径（path ）是指XPath 的一个路径表达式，该表达式用于标识XM L 树中的上下文节点；（5）内容（content ）是表示元素/属性的名称，或者是节点的文本值.4XML 文档更新过程中解决信息泄露的方法[3]4.1安全标记计算算法我们把安全标记计算算法也称为标签树算法（Lable-Tree algorithm ）.下面我们给出该标签树算法的实现步骤.算法LableTree(t,A)输入：1.XM L 树t=<V,Et,rt>；2.对树t 的主体s 上的访问控制规则A={R1,R2,…,Rm}.输出：带有安全标签的XM L 树t.步骤：Step1:Initialize read and write labels of each v ∈Vt with 覬.Step2:For each Ri=<s,doc-idi,pathi,privi,signi>∈A,where 1≤i ≤m do {Step3:Let p be the tree pattern of pute p(t).Step4:For each uk ∈p(t)do{Step5:If(privi=‘r ’or privi=‘rw ’)then Step6:If(signi =‘+’)and(rlbl(uk)=覬)then rlbl(uk)=‘+R ’Step7:Else If signi =‘-’then rlbl(uk)=‘-R ’Step8:If(privi=‘w ’or privi=‘rw ’)thenStep9:If(signi =‘+’)and(wlbl(u k )=覬)then wlbl(u k )=‘+W ’Step10:Else If signi =‘-’then wlbl(u k )=‘-W ’Step11:Else If signi =‘+’and ‘-W ’埸wlbl(u k )then wlbl(uk)=wlbl(u k )∪‘+W ’Step12:If signi =‘-’then{Step13:Letemb k bethe embedding from p=<V p ,E p ,r p ,o p >to t,where u k =embk(o p ).Step14:For each v ∈Vp and v ≠o p do Step15:/*updateconstraint for preventing informa-tion leak of u k */Step16:If ‘-W ’埸wlbl(uk)then wlbl(embk(v))=wlbl (emb k (v))∪‘-W ’}}}Step17:return t.对于A 的每个授权规则R i ，算法通过Step4到Step11为R i 的pathi 所处理的节点分配写标记和读标记.如果授权规则的标记是负的，为了避免敏感信息泄露问题，算法的Step13到Step16也为pathi 模式所映射的节点t 分配一个“-w ”标记.标签树算法为树模式p 所映射的节点生成一个写标记“-w ”，如图3所示.例如，通过树嵌入的方法，不允许Jane 修改这些节点的名字/值（names/values ），也不允许Jane 修改这些节点之间的结构关系.定理1给定一个XM L 树t=<V t ,E t ,r t >，和主体s 的访问控制策略A={R 1，R 2，…，R n }，其中，R i =<s ，doc-id ，pi ，privi ，signi>，标签树以o （|t|2·|A|）的时间复杂度为t 的文档节点计算安全标签，其中|t|是t 的大小，|A|是访问策略A 的授权规则的个数.证明Gottlob et al.[5]用程序实现了线性时间算法（lin-图1XM L 文档（sale_teams.xml ）实例图2建立在XM L 树t 上的p 的嵌入54--ear-time algorithms）.在此基础上，简单XPath表达式以时间复杂度o（|t|·|p|）来进行处理，其中|t|表示XM L文档树的大小，|p|是查询的次数.这样，第3步的时间复杂度为o（|t|·|p|·|A|），第4步到第16步的时间复杂度为o（|p|·|p(t)|·|A|）.因为|p|和|p(t)|与|t|一样大，所以标签树算法的复杂度为o（|t|2·|A|）.下面，我们在定理1的基础上主体s对计算XM L树t 中文档节点v的读标签（readA(v)）和写标签（writeA(v)）.rea-dA(v)的值取决于如下计算标准：（1）假如rlbl(v)≠覬，则readA(v)和rlbl(v)的符号一样.（2）假如rlbl(v)＝覬，则readA(v)的值为“+R”还是“-R”，这取决于v的最近的祖先节点的值.（writeA(v)）的值取决于如下计算标准：（1）如果“-w”∈wlbl(v)，或者“-w”∈wlbl(v)，则（writeA(v)）的值为负.（2）如果wlbl(v)={“+w”}，则（writeA(v)）的值为正.（3）如果wlbl(v)≠覬，则（writeA(v)）的值是正还是负，取决于v的最近的祖先节点的值.4.2更新请求检查算法我们将更新请求检查算法记做UpdReqCheck Algo-rithm.给定一个主体s的访问控制策略A，一个通过Label-Tree算法计算得到的XM L树，以及s对t的更新请求up-dreq，我们给出更新请求检查算法（UpdReqCheck）.算法UpdReqCheck(t,A,updreq,Permit)输入：（1）带有读和写标记的XM L树t=<V,Et,r t>；（2）对树t的主体s上的访问控制规则A；（3）对树t的主体s的更新请求updreq,其中updreq=< s,op,doc-id,p,content>.输出：如果更新请求被允许，Permit=TRUE，否则为FALSE.步骤：Step1:假设A-和A+分别是带有负标记和正标记的授权规则组，且A-∪A+=A.假设Path-和Path+分别是A-和A+的路径表达式组.假设Permit=FALSE.Step2:Compute p(t).Step3:For each vi∈p(t)do{Step4:/*Check if all document nodes mapped from p by embedding is in the view of subject s*/Step5:Let embi be the embedding from p to t such that vi is mapped to the output node of p.If(坌v∈η(t,p,emb i),read A(v)=‘+’)then{Step6:If op=‘remove’or op=‘change’thenStep7:/*Check properties of remove/change request*/ If(埚v∈τ(t,p)writeA(v)=‘-’)or(v i∈RelNode(t,Path-)then return PermitStep8:If op=‘append’or op=‘change’then{/*Check properties of append/change request*/ Step9:If readA(vi)=‘-’or writeA(vi)=‘-’or┒埚q+∈SubRelPath(p,content,A+)s.t.vi∈p+(t) or埚q-∈RelNode(t,SubRelPath(p,content,A+))then return Permit.}}}Step10:Permit=TRUE.Step11:return Permit.该算法能确定在访问控制策略A下，在不泄露敏感数据的情况下，对t的更新请求updreq是否被允许.该算法的主要思想是UpdReqCheck首先检查用于更新请求的p(t)的所有节点都在主体s的视图中.通过检查更新请求的特性，UpdReqCheck能确定主体s是否有执行不安全更新请求updreq的特权.定理2给定一个具有安全标签的XM L树t=<V t,E t, r t>，主体s在XM L树t的访问控制策略A，一个更新请求updrep<s，op，doc-id，p，content>，UpdReqCheck算法以o （|t|2·|p|·|A|）的时间复杂度来确定访问控制策略A下的up-drep是否是一个不安全更新请求，其中|t|是t的大小，|p|是updrep的请求的次数，|A|是访问策略A的授权规则的个数.证明：Step2以o（|t|·|p|）的时间复杂度完成p(t)的计算.Step3执行了|p(t)|次.将Step3和Step9的处理复杂度相乘，得到o （|t|·|p|·|A|·|p(t)|）.所以从Step2到Step9的总的时间复杂度是o（|t|·|p|+|t|·|p|·|A|·|p(t)|），因为|p|和|p(t)|与|t|一样大，所以UpdReqCheck算法的复杂度为o（|t|2·|p|·|A|）.5结束语本文提出了面向XM L文档更新的细粒度访问控制方法，以解决在更新XM L文档过程中所引起的敏感信息泄露问题.本文所做的贡献如下：（1）给定一个XM L文档树和访问控制策略，提出了标签树算法，该算法能计算安全标签来执行必要的更新限制，以防止信息泄露问题.（2）给定一个具有安全标签的XM L文档树，访问控制策略和对文档树的一个更新请求，提出了更新请求检查算法，该算法能决定在这种访问控制策略下，一个更新请求是否是合法的，并且不引起信息泄露问题.———————————————————参考文献：〔1〕S.Chatvichienchai.Detecting Confidentil Data Disclo-sure in Updating XML Document[J].Technical Repor，2006（1）.〔2〕李斓，何永忠，冯登国.面向XML文档的细粒度强制访问控制模型[J].软件学报，2004，15（10）：1530-1532.〔3〕Somchai Chatvichienchai，Mizuho Iwaihara.Detecting Information Leakage in Updating XML Documents of Fine-Grained Access Control[J].DEX，2006，LNCS 4080：291-296.55--。