[发明专利]基于策略的数据保护

说明书

技术领域

本公开涉及用于提供基于策略的数据保护的方法和能够执行这种方法的系统。

背景技术

如今我们处于数据爆发的年代。具体地，存在着个人数据的爆发，其中，个人持续产生大量的数据，且服务和设备还能够代表个人进行工作。当聚集、处理和注意到这些数据时，这些数据捕捉到我们的简档、偏好、行为以及更多的东西。这是创建个性化服务以及所产生的货币化机会的重要基础。不幸的是，作为数据的名义上的所有者，用户对如何共享和使用他们的数据并没有完全的控制权，且对于他们正被使用的数据的货币化，他们也没有从中获得太多收益。原因之一是数据的所有权通常是逻辑上的而非物质上的。

一般而言，可以使用适合的策略语言来描述通信网络中交换数据的网络节点如何处理资源，例如，如文件、网页、图像或视频。在表述性状态转移(REST)框架下，通常将资源表示为REST端点URL。这种类型的策略通常通过引用该资源的实例来描述要保护的资源。此外，需要知道请求者(或请求者的一些属性)，以能够选择正确的策略。在策略中，规则通常规定访问某个资源的条件。这样的规则可以例如被规定为“应用A仅可以在工作日的早上9点到下午5点之间读取我的位置数据”。这些类型的策略语言通常使用不同的格式(例如，如可扩展标记语言(XML)来描述具体的策略。此外，这种语言在对应该强制执行什么的表达性方面可以不同。

例如，可扩展访问控制标记语言(XACML)是在使用XML来描述访问资源的规则的信息社会高级开放标准(OASIS)标准内规定的策略语言的一个实例。XACML还使用XML描述访问控制判决请求/响应语言，其允许形成用于询问是否允许给定动作且用于相应地解译结果的查询。此外，XACML提供找到应用于给定请求的策略并将请求针对该策略进行评估的能力。

在XACML使用场景中，可假设个人或应用需要采取涉及资源的动作，该资源可例如从文件系统或网络服务器提供，其中，该资源受到策略执行点(PEP)的保护。PEP将会基于与请求者、所讨论的资源、所请求的动作以及可能可涉及请求的任何其他信息相关联的一个或多个属性来形成请求。PEP然后将会向策略判决点(PDP)发送该请求，PDP将会考虑该请求和应用于该请求的策略，并提出与是否应该授权访问有关的答复。将对请求的答复返回给PEP，PEP可在然后允许或拒绝请求者访问资源。

数据存储器通过多种不同的变型可用，例如，数据库(例如，如关系数据库，非仅结构化查询语言(NoSQL)数据库或图形数据库)、文件系统(例如，如Unix、Windows文件系统)或分布式文件系统(例如，如Hadoop分布式文件系统(HDFS))的形式，或者文档(例如，如逗号分隔值(csv)文件汇集)的形式。数据存储器的实例因此可以是数据库、文件系统或多个文档中的任一种。不同种类的数据库存储具有不同数据单位的数据。分别地，在关系数据库和NoSQL数据库中，可识别的最小数据单位是行，相反，在图形数据库中，最小可识别数据单位代之是节点或边缘，而在文档汇集的文件系统中，最小可识别数据单位可以代之是文件或文件中的行。现有用于保护数据存储器中的数据的解决方案通常是粗粒度的，其中，请求者或者对数据所有者的所有数据具有完全的访问权，或者对数据所有者的任何数据都没有访问权，并且该控制规则是静态预定义的。

发明内容

本文档的目标是通过建议一种方法来解决上述问题中的至少一些，该方法使用户能够灵活地定义策略，搜索应用于所定义的策略的资源以及高效地修改和/或删除所定义的策略。

根据一个方案，提供了一种保护数据存储器中存储的资源的方法，其中，能够基于针对每一个相应资源所定义的、并以分层方式所构建的不同策略来保护不同资源，由此通过以下方式来允许以可变粒度保护所述不同资源：定义策略，使得策略中针对具体资源所定义的最细粒度的策略能够在执行涉及该资源的请求时动态应用于该资源。

更具体地，可通过以下方式定义策略：针对表示至少一个数据项的种类来定义第一策略，使得所述第一策略应用于所述种类以及所述种类的未针对其定义策略的每个子类，其中，针对所述子类中已针对其定义了不同于所述第一策略的策略的每个子类，在执行涉及所述子类的至少一个的请求时，所述策略越权所述第一策略。

可通过以下方式来执行对要应用于种类所表示的至少一个数据项的策略的定义：将策略与唯一的标识或名称相关联，其中，每个唯一的标识或名称识别所述数据项之一或所述种类，由此使得所述策略可识别。