面向相似用户簇与敏感权限集的访问控制及其系统实现

Constraint policy has high priority in Access control, access control becomes imperfect without constraint policy. It mainly concerns the avoidance or reduction of sensitive combination of permissions or objects being accumulated to same user or the same kind of users which may results in conflict of interest or fraud. So the study the inner relationship among users, permissions or objects plays very important role in defining and enforcing constraints. This project firstly starts from the essential characteristics of the constraint, mainly research on the inner relationship among users, permissions or objects, and proposes approaches of mining the similar user clusters and sensitive permission set. Secondly, secret sharing scheme is used to share sensitive data resource, so enforcing constraint can also rely on it. So, further study similar user cluster and sensitive permission set oriented access control using secret sharing scheme, and study the mathematical theory and method of risk assessment and reduction for the risk caused by similar user cluster members accessing permissions from sensitive permission set. Finally we develop an access control system based on our approach.

限制在访问控制中是优先级最高的策略，没有限制的访问控制是不完整的。它考虑避免或降低权限或对象的敏感组合集中于同一个或同一类用户而引起的利益冲突或欺骗的可能性，因此用户和权限或对象各自内部之间关系的研究在限制的定义和实现中起到非常重要的作用。本项目首先从限制的本质特点出发，研究访问控制中用户以及权限或对象之间的内部关系，提出相似用户簇和敏感权限集的挖掘方法；其次，由于密码学中的秘密分割方案主要用于共享敏感数据资源，限制的实施也可以借助于它，因此进而研究采用秘密分割的面向相似用户簇与敏感权限集的访问控制，以及相似用户簇成员访问敏感权限集引起的风险评估和风险降低的数学理论和方法，最后研发实现该访问控制系统。

访问控制限制是访问控制中优先级最高的策略, 它考虑避免或降低权限或数据对象的敏感组合集中于同一个或同一类用户而引起的利益冲突或欺骗的可能性. 本项目从限制的本质特点出发, 分析访问控制中用户以及权限或数据对象之间的内部关系, 主要研究基于密码的访问控制限制. 主要研究内容如下：.1. 提出基于秘密分割的面向相似用户簇和敏感权限集的访问控制限制的实施方法, 通过实验验证该方法的可行性和有效性. .2. 研发基于属性的带约束访问控制系统. 该系统由基于属性的访问控制(Attribute-Based Access Control, ABAC)及限制策略管理模块和访问控制策略决策模块组成；前者对访问控制及限制策略进行管理. 后者根据ABAC策略以及根据面向相似用户簇与敏感权限集的访问控制限制对用户的访问请求进行决策并应答. .3．用户分享于云上的外包数据对象之间可能存在利益冲突或它们的组合是敏感的. 在外包数据的密文策略属性基加密(Ciphertext-Policy Attribute-Based Encryption, CP-ABE)访问控制的基础上, 提出若干种针对敏感数据集限制的CP-ABE访问控制方案. .4. 隐藏访问策略是CP-ABE中防止访问策略包含的敏感信息泄露的有效安全措施. 提出选择性隐藏树型访问结构CP-ABE方案, 方案利用属性之间的互信息筛选出访问结构中的部分属性, 此部分属性包含原始属性集中的绝大部分或者全部信息量, 并隐藏这部分属性. 此选择性隐藏与完全隐藏有相同的策略隐私效果, 能有效地降低加解密计算量. 与公开访问结构的方案相比, 能提高策略的安全性.