[发明专利]基于属性的访问控制模型在工业4.0系统中的应用方法

说明书

本发明提供了基于属性的访问控制模型在工业4.0系统中的应用方法，实现对工业4.0系统中设备终端的访问操作权限控制，杜绝非法用户对设备的越权存取，并减少用户的隐私泄露。实现步骤为：根据工业4.0系统的特点对基于属性的访问控制模型ABAC进行改进；将工业4.0系统与改进的ABAC模型的对应；为工业4.0系统中成员分配责任；用户申请访问设备，在用户自主选择用户级别并在设备上进行注册后，设备对用户是否具有操作权限进行验证。本发明杜绝了非法用户对设备的越权存取，减少了用户隐私泄露，并将用户隐私泄露对用户造成的影响减小，同时消除了策略库膨胀及策略冲突对ABAC模型的影响。

技术领域

本发明属于信息安全技术领域，尤其涉及基于属性的访问控制模型在工业4.0系统中的应用方法，可用于对访问设备的用户操作权限进行控制并保护用户隐私。

背景技术

工业4.0就是将工业和互联网结合到一起，通过物联网将各个企业、企业内部的现场设备、以及个人设备等连接起来，每一个设备内部都储存着自身在外部网络中的相关数据，这些数据能够进行实时更新并上传，实现信息共享。工业4.0系统中，用户的数量以及设备的数量十分庞大，且设备的种类十分多，庞大数量的用户信息及设备使用信息存储于网络中同时具有高度共享性，必将产生信息安全问题：上传到网络中的用户信息造成用户隐私泄露，非法用户窃取合法用户信息进行越权存取。因此，应该使用访问控制的方式对用户进行身份验证，同时控制用户对设备的操作权限。

访问控制通过某种方式约束对客体的访问能力，在保证系统安全的前提下，实现最大限度的资源共享。访问控制只允许合法的主体访问被保护的资源，阻止非法的主体或者非认证的主体访问资源。目前，在工业4.0系统中对用户的访问权限进行控制使用较多的方法为基于身份认证的方式，即用户使用用户名以及密码进行权限认证，系统内部需要事先存储与用户相关的二元组信息(ID,PW)，其中ID表示用户名，PW表示用户的密码，用户x在申请访问设备时需要输入其拥有的ID_x及PW_x，设备将内部存储的二元组信息与用户x输入信息比较，若相匹配则允许该用户登录，而用户在登录后对设备的操作不再受到限制；用户在对设备进行操作时，输入到设备的相关数据会通过加密技术进行加密后以密文的方式在网络中传输，提高网络安全性。但是这种认证方式每次访问系统时需要输入静态口令，且目前工业4.0系统中进行身份认证的用户名、密码等大多为系统默认的，这导致非法用户可能通过偷窥或者破解密码等方式获得用户密码从而登录设备，而一旦非法用户登录设备，其对设备的操作权限将不再受到限制，这十分不安全；同时虽然用户数据已经加密，但是攻击者仍可以采取手段破解网络中加密的用户数据，获取用户的信息，造成用户的隐私泄露。

由于基于身份认证的方式在对权限进行控制时仍然存在问题，后来RaviS.Sandhu提出了基于角色的访问控制模型(RBAC)。RBAC从主体的角度出发，将用户映射到角色，用户通过角色享有许可。在RBAC中，角色的权限关系是被预先定义的，这使得他简单地将用户分配给预定义的角色。在RBAC中授权是角色与权限、用户与角色和角色与角色关系，这些关系来共同确定某特定用户是否被允许访问某一资源。然而在主客体种类繁多、数量庞大且客体种类变化较为频繁的系统中，如果使用RBAC模型进行权限管理，当资源种类增加或者减少时，安全管理员必须对所有相关角色进行更新。如果客体的属性发生变化,同时需要将客体不同属性的数据分配给不同的访问主体处理时,安全管理员将不得不增加新的角色,并且还必须更新原来所有角色的访问权限设置以及访问主体的角色分配设置，这样的访问控制管理十分复杂，系统管理员的任务变得过于繁重。

基于属性的访问控制模型(ABAC)相比较之下更加适合于在主客体数量庞大、客体种类繁多的系统中进行权限管理。ABAC通过对主体、客体、操作和环境这四类对象的属性进行描述,使用存储在策略库中的访问控制策略进行权限许可判断，可为访问控制提供细粒度的控制，具有足够的灵活性和可扩展性。且由于ABAC是基于属性进行授权，用户可以通过匿名访问方式来保护隐私。因此ABAC模型应用于这种使用开放性网络并具有庞大数量的主体、客体的工业4.0系统中进行访问权限控制最合适。

发明内容