基于属性的swim网络授权方法
【技术领域】
[0001] 本发明是基于属性的SWM网络授权方法的技术文档。
【背景技术】
[0002] 广域信息管理（SWIM，SystemWideInformationManagement)是一种确保民航不 同系统之间相互协作的基于信息技术的一系列项目组合，为不同单位、不同信息系统之间 的数据交换提供基础平台。SWIM中存在包括很多航空业务关键数据和保密信息数据的海量 数据，可以为空中交通管理局、航空公司和航空机场提供强大的数据传输、共享、整合功能。
[0003] SWM是一个面向网络化分布式应用系统，研宄SWM信息安全保障的方法有助于 通过SWIM与应用系统的连接和信息交互来对不同来源的异质数据进行汇聚和派发，实现 ATM业务信息的安全共享与交换，提高现有民航空域系统的容量，降低投资和运行的成本， 提高生产率，并且提供更为灵活的系统扩展。FAA对SWIM授权的要求是已授权的用户不论 在何地都有能力在正确的时间访问正确的信息。授权是对SWIM中关键数据进行保护，确保 合法的人或者设备能访问合法的设备或资源，是系统安全框架的重要组成部分。
[0004] 国际上，SWM信息共享和信息安全在以美国联邦航空局FAA主导的下一代航空运 输系统NextGen和欧洲空中交通管理组织Eurocontrol推行的单一天空空中交通管理研 宄计划SESAR为代表的计划中得到了充分的研宄。NextGen和SESAR是一项巨大的系统工 程，通过实时信息共享的SWIM进行自我更新和自我调整，构建一个可升级的灵活的航空运 输系统。
[0005] 在欧洲，目前正在致力于SW頂测试平台（SW頂空地协调，SW頂监视管理，SW頂信 息安全，SW頂系统示范）的研宄和开发。SESARWPs已经制定了SWM安全授权和访问的措 施，使授权的用户能够接入和访问SWIM共享信息。
[0006] 美国LockheedMartin公司从2004年开始针对现行空中交通管理系统和预想空 中交通管理系统的有效连接为FAA进行总体框架研宄，并提出面向服务体系结构的系统架 构。FAA目前正基于SWIM计划，开展针对网络统一授权服务及相关安全基础技术的开发，以 便在国家空域系统NAS中实现安全的数据共享能力。
[0007] 当前阶段，欧洲和美国已经实现了SWIM的对接，并进行航空气象等数据的传输和 共享。在第一阶段中计划实施的SWIM气象数据服务和SWIM服务注册可以提供初步的单点 安全访问航空气象数据的能力。今后将致力于对NextGen和SESAR的网络许可和授权技术 的发展和改进。
[0008] 在国内，在SWM工程设计和实现方面，中国民航局空中交通管理局技术中心自 2005年开始就参加欧盟研宄和技术开发第6框架计划（FP6)内的"单一欧洲天空实施支持 的验证计划"(EPISODE3)项目和"广域系统信息管理"（SWM-SUIT)项目合作事宜，与欧洲 航行安全组织实验中心（EurocontrolExperimentalCentre，）进行合作研宄。
[0009] 中国民航局空中交通管理局技术中心建立了SWM的测试平台，进行SWM相关技 术的研宄和开发。包括中国民航空管局航管科技公司、中国民航第二研宄所和中国民航大 学等研宄机构正在与中国民航局空中交通管理局技术中心合作研宄。中国民航局第二研宄 所在SWIM的研宄应用方面做了大量的工作。针对SWIM在中国民航的应用，开展了包括：信 息采集和路由技术、信息交换和共享标准、信息一致性服务、信息安全技术和平台管理技术 在内的关键技术和难点的研宄。
【发明内容】
[0010] 基于属性的SWM网络授权过程主要是通过以下步骤实现的：
[0011] ⑴定义SWM中属性的类型和各自包含的内容；
[0012] (2)生成授权策略；
[0013] (3)CP-ABE加密；
[0014] (4)授权服务器授权。
[0015] 步骤⑴中，根据航空公司、机场、空管局各个部门人员的分工，定义SWM中属性 的类型和各自包含的内容：定义SWM中主要的三方面主体、资源和环境的属性，设S表示主 体Subject，R表示资源Resource，E表示环境Environment。属性的定义及取值如表1所 不O
[0016] 表1属性定义及取值
[0017]
【主权项】
1. 基于属性的SWIM网络授权方法，其特征在于，是通过以下步骤实现的： (1) 定义SWIM中属性的类型和各自包含的内容； (2) 生成基于SWIM的属性授权策略； (3) 使用CP-ABE加密，SWM授权服务器进行授权。
2. 根据权利要求1所述的基于属性的SWIM网络授权步骤，其各个步骤的特征在于： 其中步骤⑴特征在于： 根据航空公司、机场、空管局各个部门人员的分工，定义SWIM中属性的类型和各自包 含的内容：定义SWM中主要的三方面主体、资源和环境的属性，设S表示主体Sub ject，R表 示资源Resource，E表示环境Environment，属性的定义及取值如表1所示： 表1属性定义及取值
(1) ARiQ < i < I)为区域属性area，代表的是SWIM中资源产生或者使用的地理位置： 根据我国现行的民航网络和世界民航的网络现状，ARi的取值包含所有的SWIM网络的地理 位置，使用area可以将SWIM网络划分为不同的授权域，将ARi*为多层，代表不同的区域 层次，属性值从国家到一个地区，对于国内来说，定义第一层属性为国内空管所规划的空域 有：ARiE {华北，华东，中南，西南，西北，东北，新疆}，代表中国7大空管局所辖的区域，对 于第二层属性，定义为每个城市，使它对应于上面7个值，方便进行判断时进行搜索； (2) 01^.(1 < j < J))为机构属性organ，代表的是主体或者资源对应的机构：因为在 SWIM的运行环境中，机构的不同对于不同资源的权限具有很大的影响，按照我国现有的空 管局、机场和航空公司的格局，将0?的第一层属性定义为： ORjE {空管局，机场，航空公司}，代表在SWM系统运行过程中的三个机构，其中，对 于空管局来和机场来说，加上地域的限定就可以达到确定，但是对于航空公司来说，地域加 上航空公司并不能直接确定主体或者资源对应的机构，所以并不存在一个主体或资源的属 性为航空公司，所以，对航空公司再定义一层，细分到各个航空公司； (3) P0q(l < q < Q)为职位属性position，代表的是主体的职位：因为不同的职位对不 同资源的权限不同，所以将主体的职位作为主体的一种属性，Position包含了 SWM系统运 行过程中的用户（包括操作人员和终端机器）的属性，对于中国来说，SWIM系统中的用户 主要来自四个方面，分别为空管局的用户、机场的用户、航空公司的用户以及旅客，因为来 自上述四个方面的用户的权限有很大的不同，所以我们将职位定义成两层，第一层为： P〇qe {空管用户，航空公司用户，机场用户，旅客} 对应于上面，令第二层： PO = {POA，POB，POC} U {旅客} 因为旅客只进行一层定义，其中有： P〇Aqe {管制用户，技术保障用户，网络管理用户，通信导航监视用户，航空气象管理用 户......}; P〇Bqe {机组用户，签派用户，航行计划制定用户......}； P〇Cqe {机场信息管理用户，机场气象用户......} (4) 了￥。（1彡〇彡0)为类型属性type，代表的是资源的类型：Type代表SWM中运行的数 据类型，也就是被操作的资源的类型，因为在SWIM中数据有些数据来源只是一定的机构， 而有些数据来源为多个机构，没有明确的与前面几个属性的对应，不好形成分组，所以在此 只将数据属性进行一层分层，有： TY。e {航班计划数据，航班执行数据，进离场信息数据，航迹数据，一次雷达数据，二次 雷达数据，机场监视雷达数据，ADS-B数据，飞行流量数据，空域容量数据，流量控制数据，航 行情报数据，航路数据，航线数据，管制区数据，飞行情报区数据，终端区数据，航空气象数 据……} TY。包含SW頂运行环境中所有数据的类型，Type的取值要求与area的取值要求一样； (5) LEp (1彡p彡P)为主体S的级别属性level，代表主体的级别：LEpe {1，2, 3,... P}， 其中p e N。一个主体只能取一个LE的值，具体P的值根据实际环境要求进行确定； (6) 队(1彡r彡R)为资源R的级别属性rank，代表资源的级别：RA# {1，2,3，...R}， 其中p e N。一个资源只能取一个的值，具体R的值根据实际环境要求进行确定； (7) 环境是SWIM系统在运行过程中可能遇到的情况，将环境分为time和others两个 方面，其中time表示时间，others表示SWM环境中的突发情况； 步骤（2)特征在于： (1) 系统初始化，根据资源，选择相对应的type的策略生成方案，因为在进行数据加密 时选择的方法和加密强度很大程度上取决于数据的类型，并设置一个阀值th和每种属性 的权值w ; (2) 依据Tr，将P进行分组。生成T - $1，？2，？3...?沁，根据数据类型的不同设置不 同对应的值TH1; (3) 读取SW頂资源的属性值与主体的属性值，判断每个层次的Ar与As、Or与Ar和R 与L之间的关系给予值TH2、TH3……THn; (4) 得到相关的值 TH = W15^THfw25IiTH 2+w3*TH3+......+wn*THn，判断 TH 与 th 的大小，得到 授权结果； (5) 根据不同的P、As、0s、L和E，多次执行第三步和第四步，形成最终授权结果； (6) 将所有授权集集合起来，进行化简运算形成SWIM授权策略； 步骤（3)特征在于： (1) Setup，生成主密钥MK和公开参数PK ; (2) CT = Encrypt (PK，M，T)，使用PK、访问结构T和加密数据明文M，加密后的密文为 T ； (3) SK = KeyGen (MK，A)，使用MK和SW頂用户属性集A生成用户的私钥SK ; (4) M = Decrypt (CT，SK)，使用私钥SK解密密文得到明文M ; SWIM系统中用户发起访问请求时，SWIM授权服务器进行授权的过程是：策略实施点负 责与外部应用的交互，将请求发送给策略决策点，策略决策点调用主体、资源、环境属性，根 据生成的授权策略决定是否授予用户权限，通过策略实施点返回给用户，若用户获得访问 权限，使用私钥SK便可解密密文对SWIM中相应的资源进行访问，若用户没有权限，则不可 以访问。
【专利摘要】基于属性的SWIM网络授权方法是用来解决SWIM的信息共享两大问题，即效率问题和安全问题。该方法基于CP-ABE算法，从主体属性、客体属性和环境属性三个方面对SWIM中属性进行了定义，在此SWIM属性定义的基础上，生成授权策略。这种架构符合SWIM要求和我国民航现状，可以有效的部署在现有民航的网络上，并可以接入到Internet中。使用该方法降低了授权管理的复杂度，提高了安全性，从而实现了SWIM的访问控制。
【IPC分类】H04L29-06
【公开号】CN104852901
【申请号】CN201510169417
【发明人】吴志军, 王彩云, 牛方超, 雷缙, 岳猛
【申请人】中国民航大学
【公开日】2015年8月19日
【申请日】2015年4月10日