李華剛 吳薇

(1.福州大學(xué)福建省空間信息工程研究中心，福州 350002;2.武夷學(xué)院數(shù)學(xué)與計(jì)算機(jī)學(xué)院，福建 武夷山 354300)

警用執(zhí)法辦案信息系統(tǒng)改變了傳統(tǒng)的辦案方式，實(shí)現(xiàn)了辦案過(guò)程的數(shù)字化處理。執(zhí)法業(yè)務(wù)具有時(shí)效性、保密性要求，整個(gè)執(zhí)法辦案系統(tǒng)應(yīng)嚴(yán)格控制訪問(wèn)，即對(duì)訪問(wèn)的用戶要防止權(quán)限濫用，實(shí)現(xiàn)職責(zé)分離，案卷流轉(zhuǎn)的每一個(gè)節(jié)點(diǎn)需要時(shí)效性約束［2］。針對(duì)以上管理需求，在本研究中采用基于角色的訪問(wèn)控制(Role－based Access Control，RBAC)技術(shù)，將每一個(gè)案卷的流轉(zhuǎn)看成一次任務(wù)執(zhí)行過(guò)程，授權(quán)角色一定的訪問(wèn)權(quán)限并加入時(shí)間約束［3］。

1 訪問(wèn)控制基本概念

訪問(wèn)控制是保障系統(tǒng)安全的重要組成部分。目前的訪問(wèn)控制模式DAC(Discretionary Access Control)和MAC(Mandatory Access Control)均有不足之處。有研究者提出職責(zé)分離(SoD，Separation of Duty)的概念，并將角色(Role)作為一個(gè)管理權(quán)限的實(shí)體單獨(dú)抽象化。1992年，有學(xué)者提出RBAC模型。之后，由于RBAC在管理大型網(wǎng)絡(luò)應(yīng)用安全時(shí)所表現(xiàn)出來(lái)的靈活性和經(jīng)濟(jì)性，2004年被美國(guó)國(guó)家標(biāo)準(zhǔn)委員會(huì)(ANSI)和IT國(guó)際標(biāo)準(zhǔn)委員會(huì)(INCITS)接納為 ANSI INCITS 359 －2004 標(biāo)準(zhǔn)［4］。

在傳統(tǒng)的RBAC模型中，用戶(User)被賦予角色(Role)，角色被授予權(quán)限(Permission)，用戶通過(guò)擔(dān)任某些角色來(lái)獲得權(quán)限。角色是根據(jù)組織內(nèi)為完成不同的任務(wù)需要而設(shè)定的，是一個(gè)或一群用戶在組織內(nèi)可執(zhí)行的操作的集合。約束是對(duì)訪問(wèn)控制的限制條件，即對(duì)角色 —權(quán)限的分配、用戶 —角色的分配等限制。因此RBAC中角色是溝通用戶和權(quán)限間聯(lián)系的中介［5］。一個(gè)用戶可以承擔(dān)多個(gè)角色，一個(gè)角色也可以分配給多個(gè)用戶，用戶和角色實(shí)現(xiàn)職責(zé)分離。

2 基于角色—任務(wù)的執(zhí)法辦案系統(tǒng)訪問(wèn)控制模型

2.1 核心思想

在筆者提出的基于角色—任務(wù)的執(zhí)法辦案系統(tǒng)訪問(wèn)控制模型(T－RBAC)中，每個(gè)案件公文的流轉(zhuǎn)被視為一次任務(wù)。流程內(nèi)每個(gè)環(huán)節(jié)為任務(wù)中的一個(gè)節(jié)點(diǎn)，角色權(quán)限的授予發(fā)生在執(zhí)行某個(gè)任務(wù)的子任務(wù)(節(jié)點(diǎn))的時(shí)效內(nèi)［6］。角色獲得該任務(wù)允許訪問(wèn)客體的權(quán)限后將權(quán)限通過(guò)角色分配給用戶。用戶通過(guò)角色來(lái)獲得權(quán)限，并完成相對(duì)應(yīng)的子任務(wù)的執(zhí)行。同時(shí)，加入的時(shí)效為時(shí)態(tài)約束，表示只能在某個(gè)時(shí)間段內(nèi)執(zhí)行該任務(wù)的節(jié)點(diǎn)，這樣保證了授權(quán)有效時(shí)間和節(jié)點(diǎn)執(zhí)行時(shí)間同步。同時(shí)，當(dāng)子任務(wù)執(zhí)行結(jié)束并提交時(shí)，通過(guò)事件驅(qū)動(dòng)機(jī)制把該任務(wù)角色的狀態(tài)改為未激活，相關(guān)的權(quán)限被收回。

2.2 模型定義及形式化描述

定義1:令 U={ui|i=1，2...m} ，表示用戶集合，這里為能登陸執(zhí)法系統(tǒng)的所有警務(wù)工作者用戶。

定義2:令 R={ri|i=1，2...n} ，表示角色集合，包括各案件主辦人、辦案單位的法制員、辦案單位領(lǐng)導(dǎo)、法制部門(mén)民警以及局領(lǐng)導(dǎo)等角色。

定義3:令 OP={opi|i=1，2...p} ，表示操作集合，包括立案、審批、偵辦、查詢(xún)、結(jié)案、調(diào)檔等操作。

定義 4:令 OBJ={obji|i=1，2...q} ，表示客體集合，包括受案登記表、接受刑事案件登記表、呈請(qǐng)立案報(bào)告、案件處結(jié)報(bào)告等。

定義5:令二元組P{OP，OBJ}，表示權(quán)限集合。

定義6:令UR?U×R，表示用戶到角色的指派關(guān)系。

定義7:令Ti(t0，tn)表示一個(gè)時(shí)間區(qū)間，其中t0≤tn，t0為一個(gè)時(shí)間下界，tn為一個(gè)時(shí)間上界。

定義 8:令二元組 WT={(wti，Ti)，i=1，2...n}，表示一個(gè)任務(wù)，則wti為任務(wù)的一個(gè)節(jié)點(diǎn)，即表示在Ti(t0，tn)的這個(gè)時(shí)間段內(nèi)執(zhí)行某個(gè)子任務(wù)。

定義 9:令三元組 UWT={(u，wti，Ti)，i=1，2...n}，表示用戶U在Ti(t0，tn)時(shí)間段內(nèi)被授權(quán)執(zhí)行子任務(wù)wti，即tn時(shí)間到，權(quán)限被收回。

定義10:令RWT?R×WT，表示角色到任務(wù)的指派關(guān)系。

定義11:令PWT?P×WT，表示權(quán)限到任務(wù)的指派關(guān)系。

定義12:令I(lǐng)s_Permitted?U×WT，表示用戶U被允許操作WT任務(wù)。

定 義 13:令 Assign_users={u∈ U|Is_Permitted(u，WT)}，表示能允許執(zhí)行任務(wù)WT的用戶集合。

授權(quán)規(guī)則:如果在t0≤t≤tn時(shí)間段，指派給任務(wù)WT(wti，Ti)的客體OBJ到達(dá)，則允許用戶U對(duì)其進(jìn)行操作，u∈Assign_users。

2.3 T－RBAC的角色層次及審批流程圖

角色按照崗位和職能分為5個(gè)層次，包括辦案單位辦案民警(案件主辦人)、辦案單位法制員、辦案單位領(lǐng)導(dǎo)(刑偵、經(jīng)偵、禁毒、派出所等部門(mén))、法制部門(mén)民警、局領(lǐng)導(dǎo)等。各角色在系統(tǒng)中的作用如圖1所示。

2.4 T－RBAC的實(shí)施框架

基于角色—任務(wù)的執(zhí)法辦案系統(tǒng)訪問(wèn)控制實(shí)施框架如圖2所示，系統(tǒng)通過(guò)應(yīng)用程序接口訪問(wèn)T—RBAC子系統(tǒng)。用戶執(zhí)行某一案卷公文流轉(zhuǎn)子任務(wù)時(shí)，激活對(duì)應(yīng)的任務(wù)角色，然后將該角色所擁有的權(quán)限添加到用戶的臨時(shí)表中;公文流轉(zhuǎn)子任務(wù)執(zhí)行結(jié)束并提交時(shí)，改對(duì)應(yīng)的任務(wù)角色為未激活狀態(tài)，并從臨時(shí)表中刪除該角色擁有的權(quán)限;用戶退出執(zhí)法辦案系統(tǒng)時(shí)，刪除存放用戶權(quán)限的臨時(shí)表。

圖1 執(zhí)法辦案系統(tǒng)案件審批流程圖

圖2 基于角色—任務(wù)的執(zhí)法辦案系統(tǒng)訪問(wèn)控制實(shí)施框架

2.5 T－RBAC的管理模塊

T－RBAC的管理模塊主要包括用戶管理、角色管理、權(quán)限管理、任務(wù)管理和沖突管理。

用戶管理:實(shí)現(xiàn)用戶的增加、查詢(xún)、修改、刪除操作;實(shí)現(xiàn)用戶－角色關(guān)系的分配、查詢(xún)、修改、刪除操作。

角色管理:實(shí)現(xiàn)各類(lèi)角色的增加、查詢(xún)、修改、刪除操作;實(shí)現(xiàn)各類(lèi)權(quán)限 —角色關(guān)系的分配、查詢(xún)、修改、刪除操作;實(shí)現(xiàn)角色層次關(guān)系的創(chuàng)建、查詢(xún)、修改、刪除操作。

權(quán)限管理:實(shí)現(xiàn)數(shù)據(jù)、操作和權(quán)限的增加、查詢(xún)、修改、刪除操作。

任務(wù)管理:實(shí)現(xiàn)任務(wù)的增加、查詢(xún)、修改、刪除操作。

沖突管理:實(shí)現(xiàn)各類(lèi)沖突關(guān)系(沖突的用戶、沖突的角色、沖突的子任務(wù)、沖突的權(quán)限)的增加、查詢(xún)、修改、刪除操作。

另外，靜態(tài)約束是在管理模塊中對(duì)各元素及關(guān)系的操作進(jìn)行限制，而動(dòng)態(tài)約束是對(duì)角色激活、公文流轉(zhuǎn)子任務(wù)的執(zhí)行進(jìn)行限制。

3 結(jié)語(yǔ)

通過(guò)在警用執(zhí)法辦案系統(tǒng)中采用基于角色—任務(wù)的安全訪問(wèn)控制，使得系統(tǒng)的權(quán)限管理更加高效、簡(jiǎn)單。時(shí)態(tài)約束作為一個(gè)單獨(dú)要素引入角色授權(quán)機(jī)制，保證了整個(gè)授權(quán)管理和任務(wù)執(zhí)行的時(shí)間同步。這樣，更符合公安部門(mén)對(duì)執(zhí)法辦案系統(tǒng)中業(yè)務(wù)管理的規(guī)范要求，進(jìn)一步降低了系統(tǒng)的風(fēng)險(xiǎn)性，保障了系統(tǒng)服務(wù)和數(shù)據(jù)的安全。

［1］曹連安.警用執(zhí)法辦案信息系統(tǒng)技術(shù)研究與實(shí)現(xiàn)［D］.天津:天津大學(xué)，2009.

［2］褚建立，張洪星，李洪燕，等.基于角色的用戶權(quán)限管理在技偵管理系統(tǒng)中的應(yīng)用［J］.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2007(7):51－53.

［3］邢光林，洪帆.基于角色和任務(wù)的工作流訪問(wèn)控制模型［J］.計(jì)算機(jī)工程與應(yīng)用，2005(2):210 －222.

［4］李帆，鄭緯民.基于角色與組織的訪問(wèn)控制模型［J］.計(jì)算機(jī)工程與設(shè)計(jì)，2005(8):2136－2140.

［5］吳薇，余文森.操作系統(tǒng)內(nèi)核的安全訪問(wèn)控制模型研究［J］.武夷學(xué)院學(xué)報(bào)，2012(5):23 －26.

［6］吳薇，余文森.基于角色－任務(wù)的辦公自動(dòng)化系統(tǒng)訪問(wèn)控制模型研究［J］.重慶科技學(xué)院學(xué)報(bào):自然科學(xué)版，2012，14(6):158 －189.