a state-adaptive access control model for web-based idrs system

Huazhong Univ Sci & Technol, Natl Tech Univ Ukraine, Huazhong Normal Univ, Harbin Inst Technol, IEEE Ukraine Sect, I& M/CI Joint Chapter

基于角色的管理模型隐式授权分析

基于角色的管理模型被用于管理大型RBAC(role-based access control)系统的授权关系,UARBAC具有可扩展、细粒度等优点.UARBAC的管理操作包含隐式授权.隐式授权分析说明UARBAC管理操作的两类缺陷,包括两个定义缺陷,即无法创建客体和虚悬引用,以及一个实施缺陷,即不支持最小授权.通过修改管理操作更正定义缺陷,提出实施缺陷的改进方案.定义实施最小授权的最小角色匹配问题,证明该问题是NP难,并给出基于贪心算法的可行方案,帮助管理员选择合适的管理操作将最小角色集合授予用户.

一种改进的基于角色的访问控制

研究了传统RBAC（基于角色的访问控制）的4个层次模型，分析了在企业规模不断扩大背景下传统RBAC的不足，并借鉴DTE模型域和型的思想，提出了通过引入主体和客体的属性（区域）参数以及虚拟权限的解决方法，极大地减少了角色的规模，降低了角色管理的复杂性，为进一步解决角色冲突等问题奠定了基础。

分布式环境下基于角色的访问控制

本文通过扩展权限的定义：给权限增加一个标示位来区别主体、访问的客体属于相同域和属于不同域时的权限，这样解决了采用对等角色时授予给非本域主体过大权限的问题。同时主体在访问非本域的客体时可以申请临时角色，这样避免了仅仅采用对等角色去访问非本域客体的简单化，更有利于最小权限的实现。通过这两点的改进。使基于角色的访问控制模型更加适合分布式访问控制的特点。[著者文摘]

一种基于角色访问控制(RBAC)的新模型及其实现机制

文中对基于角色访问控制（ｒｏｌｅ－ｂａｓｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ， ＲＢＡＣ）研究中的两大热点——模型的建立和实现进行了较深入的研究，提出了一种新的ＲＢＡＣ模型——ＮＲＢＡＣ模型．这一模型除具有全面性外，比之已有的ＲＢＡＣ９６ 模型还具有接近现实世界和形式统一的优点．针对ＮＲＢＡＣ模型的实现，文中又提出了一种新的ＲＢＡＣ实现机制——基于时间戳和素数因子分解的二进制双钥－锁对（ ＴＰＢ－２－ＫＬＰ）访问控制方案．它不仅能很好地克服已有ＲＢＡＣ实现机制存在的缺点，还兼备了对锁向量修改次数少和发生溢出可能性小的优点．

l-ucon: towards layered access control with ucon

IEEE; IEEE Computer Society; IEEE Technical Committee on Scalable Computing (TCSC)

Safety of tetanus toxoid in pregnant women: A hospital-based case-control study of congenital anomalies

Reported are the results of the Latin American Collaborative Study of Congenital Malformations (ECLAMC), a hospital-based case-control study of 34 293 malformed and 34 477 matched nonmalformed newborn controls. No statistical differences were found between the malformed and control groups, exposed or not exposed to tetanus toroid.

基于属性的访问控制模型

利用受限数据库为理论对访问请求、属性权威、策略和判定过程的抽象描述，给出了一个基于属性的访问控制模型，讨论了模型中访问请求、属性权威、策略和判定过程之间的关系，给出了一个访问控制判定过程可终止的一种特定条件。

A power-saving scheme for IEEE 802.11 Ad hoc networks

In the Wireless Local Area Networks (WLANs), the terminals are often powered by battery, so the power-saving performance of the wireless network card is a very important issue. For IEEE 802.11 Ad hoc networks, a power-saving scheme is presented in Medium Access Control (MAC) layer to reduce the power consumption by allowing the nodes enter into the sleep mode, but the scheme is based on Time-Drive Scheme (TDS) whose power-saving efficiency becomes lower and lower with the network load increasing. This paper presented a novel energy-saving mechanism, called as Hybrid-Drive Scheme (HDS), which introduces into a Message.-Drive Scheme (MDS) and combines MDS with the conventional TDS. The MDS, could obtain high efficiency when the load is heavy; meanwhile the TDS has high efficiency when the network load is small. The analysis shows that the proposed HDS could obtain high energy-efficiency whether the network load is light or heavy and have higher energy-saving efficiency than conventional scheme in the IEEE 802.11 standard.

基于策略的域间访问控制和信息流控制框架

随着互联网及其相关技术的发展，多域环境下的资源共享越来越普遍。域间的资源共享给域间合作带来了便利的同时也带来了安全问题。其中两个关键安全问题是跨域访问控制和跨域信息流控制。本文针对典型的跨域资源共享系统的安全需求，提出了基于策略的跨域访问控制与信息流控制框架。框架包括了授权和访问控制体系结构、授权策略模型、用于生成和维护授权策略的协议和算法、 用于表示和分析跨域信息流的信息流图和用于控制跨域信息流的机制。主要贡献具体体现在以下几个方面： 1）框架的提出使得安全互操作可以以一种无策略协调器的方式进行。在对资源共享进行控制的现有方案中， 其安全互操作都是以基于中心协调器的方式进行，存在如下问题：中心协调器会成为仲裁域间资源共享的瓶颈；有时很难找到一个可信的第三方来持有中心协调器。框架通过以一种无策略协调器的方式使得这些问题得到解决。首先，框架给出一个分布式跨域授权策略模型；根据此模型，跨域策略被分布到每个域，而每个域所保留的策略对于安全违反检测以及资源的访问判定来说是可靠的和完备的。其次，框架给出了协议和算法以在域初始建立合作时生成这样的跨域授权策略，并给出了跨域策略变更的协议和算法。其中，跨域授权策略初始建立与变更过程中的安全违反检测可以在单个域本地进行 — 也就是说, 每个域检查是否有对其自身的安全违反并引导协商以去除违反；对一个域的资源的访问判定由此域自身来确定（根据其保留的策略）。 2）框架给出了一个渐进的策略变更方案。此方案只涉及与策略变更相关的域，并且只涉及到与策略变更相关的策略。在多种情况下，变更不会带来任何安全违反或者只会带来某种类型的安全违反。如果存在任何安全违反，此安全违反也是被限定在相关策略范围内。此方案适合策略变更频繁的动态环境。 3）框架给出了一种面向多域资源共享的信息流控制方案。该方案面向采用了基于角色访问控制（RBAC）策略和单向角色映射的多域环境。方案给出了如何用信息流图来表示和分析跨域信息流的方法。根据与信息扩散相关的需求，给出域内信息安全和域间信息安全的概念。域可以定义域内和域间信息安全需求以控制信息扩散。而且给出了角色划分、角色激活上的限制、角色映射激活上的限制等措施来满足由域定义的需求。

基于量化权限的门限访问控制方案

研究了在引入量化权限观点后从访问控制角度实现秘密保护的问题.元权限是从哲学上"质"和"量"的角度认识传统意义上的权限所探究出的新概念,较以往访问控制中认识和使用权限而言,它全面而深入地反映了权限这一概念的本质.进一步结合门限思想和基于角色的访问控制机制所提出的基于量化权限的门限访问控制方案,从访问控制的角度研究了秘密保护问题.在秘密保护方面,基于量化权限的门限访问控制方案具有一些独特的优点,比如分发给参与者的秘密分片和要保护的秘密无知识上的联系、可以反映出参与者信任度的差异以及运算量低.

基于扩展XACML的策略管理

在XACML（extensible access control markup language）和其管理性策略草案的基础上，针对目前XACML访问控制框架的特点，提出将XACML策略管理权限判定归结为利用委托策略对一个委托判定请求的判定，使用XML（extensible markup language）模式定义了此委托判定请求语法，描述了将策略管理请求规约为一个委托判定请求的过程，以及根据委托策略进行委托判定请求的判定过程，通过这种方法可以利用委托策略，对策略管理请求是否有效进行判断，从而实现基于扩展XACML的策略管理。