一种细粒度隐私安全的访问控制系统及其访问控制方法
【技术领域】
[0001] 本发明属于网络与信息安全领域，特别是涉及一种针对社交网络中用户的数据安 全与隐私保护的访问控制系统及其访问控制方法。
【背景技术】
[0002] 目前，社交网络是Web2. 0模式的主要技术应用之一，它为世界各地的用户提供 了一个自我展示和相互交流的平台，帮助他们进行线上社交互动或者与其他用户分享信息 与资源等客体元素。在社交网络飞速发展的同时，也越来越引起了人们对于社交网络中数 据安全与隐私泄露问题的关注。社交网络中的隐私泄露问题不仅是源于社交网络数据库的 泄露，还源于社交网络在设计时使用的FOF(Friendoffriend)模式。这种模式如果没有 一种有效且足够细粒度的访问控制机制进行访问控制，往往会将用户的信息通过有权访问 该信息的"好友"用户泄露给其他本来无权访问该信息的"陌生人"用户。
[0003] 以群组为中心的访问控制思想摒弃了RBAC、BLP等传统的以传播为中心的访问控 制模式（将访问控制策略与主题或资源联系起来），而是提出了在共享环境中客体与用主 体置于群组中来提高分享与信息交流的效率的思想。这种思想是由RamKrishnan与Ravi Sandhu于2009年首次提出的，群组的概念也比较契合社交网络中的分享模式。但是，这种 思想提出的初衷并不是应用于社交网络中的，没有考虑到社交网络中存在的群组权限与转 发机制等问题，所以不能直接应用于社交网络环境。
[0004] 基于属性的访问控制（Attribute-BasedAccessControl,ABAC)比较适应开放式 的网络环境。ABAC不直接在主、客体间定义授权，而是利用与主体、客体、环境所具有的相关 属性作为授权策略制定的基础，具有较高的开放性。这样也就摆脱了基于身份的策略描述 的限制，能够利用请求者所具有的一些属性来决定是否赋予其访问权限。但是，如果这种方 法直接被应用于社交网络中，会产生效率较低、属性更改时的灵活性较差等问题。
[0005] 目前的社交网络采用的访问控制策略没有考虑到社交网络由于其开放性高、连通 性强以及用户为主体的特点，不同于传统隐私保护策略（RBAC、ABAC、BLP等）所适用的诸如 操作系统、云存储等环境。目前使用的社交网络访问控制策略大部分存在以下问题：
[0006] 1、不能良好地适应社交网络以用户为主体、数据量大的特点，如果每一个主体都 要维护一张访问控制表，会产生很大的开销，降低系统效率。
[0007] 2、社交网络具有很强的动态性与开放性，访问控制策略需要实时更新，而且每个 用户都有不同的访问控制需求，这就要求访问控制系统具有高度灵活性。
[0008] 3、社交网络中对资源的操作不同于传统访问控制中仅有的读写操作，转发、分享 等访问方式都需要制定相应的新的访问控制规则。
【发明内容】
[0009] 本发明为克服上述现有技术存在的不足之处，提出一种细粒度隐私安全的访问控 制系统及其访问控制方法，以期用于控制社交网络中数据流动的安全性，为用户提供更加 细粒度的访问控制机制，从而保护用户的隐私，满足面向社交网络的使用需求。
[0010] 本发明为解决技术问题采用如下技术方案：
[0011] 本发明一种细粒度隐私安全的访问控制系统，是应用于由m个管理员、n个参与 者、管理员与参与者之间的关系、各参与者之间的关系、由各参与者所提交的资源以及由管 理员维护的标签库构成的社交网络中；m<n;其特点是，
[0012] 由所述社交网络建立所述访问控制模型；所述访问控制模型包括：n个参与者、n 个参与者各自所提交的资源、n个参与者的属性集合、n个参与者各自所提交资源的属性集 合、m个管理员、m个管理员所维护的标签库、n个参与者对资源的访问方式集合；所述n个 参与者的属性集合包含主体属性标识、主体时间标识和主体方式标识；所述n个参与者各 自所提交资源的属性集合包含客体属性标识、客体时间标识和客体方式标识；所述标签库 中的各标签之间存在由m个管理员所定义的偏序关系；
[0013] 所述访问控制系统的组成包括：策略管理模块、社交网络群组控制模块、请求处理 模块、访问控制模块、优化模块以及执行模块；
[0014] 所述策略管理模块由m个管理员分别根据所述n个参与者的属性集合以及n个参 与者所提交资源的属性集合设置N个基础访问控制策略；根据所述标签库设置M个附加访 问控制策略；并对所述N个基础访问控制策略和M个附加访问控制策略进行存储、管理、更 新和合并处理，从而获得小于等于NXM个组合访问控制策略；
[0015] 所述社交网络群组控制模块根据标签库对所述参与者的属性集合以及参与者所 提交的资源的属性集合进行添加、删除和更新；
[0016] 所述请求处理模块用于对第i个参与者提交的访问请求进行解析，获得第i个访 问请求三元组Ui={si,Oi,aj;Si表示第i个参与者；〇i表示第i个参与者所请求的资源； ai表示第i个参与者对资源的访问方式；Ki<n;所述请求处理模块对所述第i个参与 者81进行身份验证；将完成身份验证的第i个参与者si的访问请求三元组ui传递给所述 访问控制模块；
[0017]所述访问控制模块根据所接收的第i个参与者Si的访问请求三元组u 1查询所述 社交网络群组控制模块用于获得第i个参与者Si的属性集合，以及第i个参与者所请求的 资源〇i的属性集合；并根据所述第i个参与者si的属性集合，以及第i个参与者所请求的 资源〇i的属性集合查询所述策略管理模块，从而获得相应的组合访问控制策略；
[0018]所述访问控制模块根据所获得的组合访问控制策略对所述第i个参与者Si的访 问请求三元组Ui进行访问决策，从而获得决策结果并传递给所述优化模块；
[0019]所述优化模块对所述第i个参与者Si的访问请求三元组ui和所述决策结果进行 互斥性处理，获得与所述第i个参与者Si的访问请求三元组ui所对应的唯一决策结果；
[0020] 所述执行模块根据所述第i个参与者Si的访问请求三元组ui执行所述唯一决策 结果。
[0021 ] 本发明一种细粒度隐私安全的访问控制系统的访问控制方法的特点是按如下步 骤进行：
[0022] 步骤1、第x个管理员从所述标签库中的选取第k个标签赋给y个参与者，从而使 得所述y个参与者的第k个主体属性标识都为第k个标签；所述第x个管理员为所述y个 参与者的第k个主体属性标识分别添加主体方式标识和主体时间标识，从而获得更新后的 y个参与者的属性集合并分别以主体树形结构进行存储；所述y个参与者的主体时间标识 为所述第x个管理员赋给所述y个参与者第k个标签的时间；所述主体树形结构是分别以 所述y个参与者为根节点、以更新后的y个参与者的属性集合为对应根节点的子孙节点而 构成；l<x<m、k^l、l<y<n;
[0023] 步骤2、第w个参与者向所述社交网络添加若干个资源以及所述若干个资源的属 性集合；
[0024] 所述若干个资源的属性集合中的客体属性标识为所述第w个参与者的主体属性 标识的子集；所述第w个参与者对所述若干个资源中有隐私保护需求的资源的属性集合中 的客体方式标识定义为严格方式；对所述若干个资源中无隐私保护需求的资源的属性集合 中的客体方式标识定义为自由方式；所述第W个参与者所添加若干个资源的客体时间标识 为所述第W个参与者sj武给所述若干个资源的客体属性标识的时间；从而获得更新后的第 W个参与者sw所添加的若干个资源的属性集合并分别以客体树形结构进行存储；所述客体 树形结构是分别以所述若干个资源为根节点、以更新后的第W个参与者^所添加的若干个 资源的属性集合为对应根节点的子孙节点而构成；1 <W<y;
[0025] 步骤3、重复步骤1和步骤2,从而获得更新后的n个参与者的属性集合并分别以 主体树形结构进行存储、以及更新后的n个参与者所添加的若干个资源的属性集合并分别 以客体树形结构进行存储；
[0026] 步骤4、第x个管理员创建访问控制策略文件：
[0027] 步骤4. 1、根据所述n个参与者以及所述n个参与者所添加若干个资源，利用基础 访问控制策略逻辑判断是否接受第i个访问请求，从而建立基础访问控制策略；
[0028] 步骤4. 2、根据所述标签库中各标签的偏序关系建立附加访问控制策略；
[0029] 步骤4.