热词: RFID传感器二维条码生物识别卫星导航定位


当前位置:首页 > 网络层 > 技术 > 访问控制

指纹识别和NFC技术推动访问控制市场个人化

2017-06-09 来源:我爱物联网

指纹识别和NFC技术推动访问控制市场个人化

  

  随着社会发展和产业成熟,半导体市场很多领域的重心都从基础设施/局端转向用户端,(Accesscontrol)市场也是如此。访问控制市场的热点已经不再是传统的门禁、考勤、楼宇对讲、保险箱柜等,而是围绕消费者随身携带的手机、笔记本电脑、移动存储产品、智能身份证、电子银行卡、电子护照等应用。在这一股新的发展浪潮中,生物识别和/RFID是两项关键驱动技术。

  

  笔记本电脑应用点燃便携市场

  

  、手机和移动存储器各种电子产品已成为我们日常工作和生活的一部分,我们使用它们大量储存和传送重要的企业和个人信息,可能涉及个人隐私、银行账号信息以及公司商业机密等,保护这些信息的安全变得越来越迫切。过去常用的通过设置密码的方式来限制设备、应用和档案的存取的做法缺点明显,可能每人都有数十个各种电子产品和账号密码,要记住它们常常使人精疲力竭,而生物识别技术则是利用人体生物特征进行身份认证,使用起来非常简单方便和安全,随着技术的进步和成本降低,它们的使用也越来越普遍,最为典型的是指纹识别。

  

  2007年全球生物识别产业收入将达到30亿美元,用于访问控制的指纹识别占25.3%。

  

  国际生物识别集团(IBG)在2007年初发布的一份报告指出,2007年全球生物识别产业收入将达到30亿美元,预计2012年增长至74亿美元。报告显示,主要用于司法领域的自动指纹识别与现场扫描系统(AFIS/Live-Scan)将占到2007年生物识别市场总额的33.6%,用于访问控制的指纹识别占25.3%,指纹识别合计为58.9%。其它技术还包括面部识别(12.9%),虹膜识别(5.1%),声音识别(3.2%)和静脉识别(3.0%)等。

  

  调研机构水清木华研究中心进一步解释说,随着指纹识别传感器(Fingerprintsensor)在尺寸、成本(均价从15美元降低至5美元)、以及准确度等各技术方面的进展,指纹识别产品已从传统的考勤、门禁、保险箱柜等领域延伸到手机、PC及外设等出货量庞大的消费电子领域。应用于指纹锁、考勤和门禁系统的主要是传统光学和半导体单触型指纹传感器,它们的市场稳定增长。而点燃消费电子指纹识别应用的则是近几年迅速发展的一种新型滑动式/划擦型指纹传感器,这种传感器芯片的主要供应商有AuthenTec、UPEK、Symwave、Atmel、FingerPrintCard、LighTuning和等。

  

  芯微技术(Symwave)有限公司模拟电路设计经理熊从庆介绍说,滑动式指纹传感器的工作原理是当手指滑过时,利用一个简单的传感器单元采集指纹信息,与传统指纹传感器相比,它的优点是面积小、成本和功耗低,特别适合便携应用。

  滑动式指纹传感器于2003~2004年左右出现,2005~2006年完善和开始大量进入笔记本电脑/手机,2007年放量增长。

  

  水清木华研究中心表示,2005年先后推出指纹笔记本电脑的厂商有近20家,涵盖了所有主流笔记本厂商,IBM原PC部门发布指纹笔记本电脑也被全球所有生物识别大厂看作是近来生物识别领域最重要的事件,2006年几乎所有的笔记本电脑品牌都推出了指纹笔记本电脑,特别是在中高端商务电脑领域几乎成为标配。而台式机也开始关注指纹识别,2007年6月清华同方携手芯微发布的新超扬系列PC就是其推出指纹识别PC的开端,今后将有更多的指纹识别台式机、笔记本电脑产品推出。

  

  这也反映在指纹传感器芯片供应商的业绩上。不久前AuthenTec宣布,2007年Q2其指纹传感器芯片出货量超过了300万个,超过了其2005全年的出货量。到2007年7月末,其累计出货量已经超过2,000万个,其中过去1年的出货量超过1,000万个。这主要是因为PC市场客户的强烈需求,AuthenTec指纹传感器已经被全球10大PC制造商用于超过200款机型。另外就是手机,在其2,000万的累计出货量中,有超过700万用于手机。

  

  得益于便携指纹识别市场的强劲增长,AuthenTec于今年6月末在纳斯达克成功上市,另一家供应商UPEK也正在申请上市,芯微最近也获得了一笔1,200万美元的投资,用于下一阶段的成长。目前AuthenTec和UPEK是笔记本电脑的两家主要指纹传感器芯片供应商,每个月出货量合计约为200万片。

  

  而早期主要关注移动存储市场的芯微也将重心转向了PC市场,目前已经是台式PC的主要供应商,采用其指纹传感器的笔记本电脑也开始出货。芯微在2004年底推出CMOS滑动式指纹识别传感器SW6888,主要优势是功耗低和可靠性高。

  

  熊从庆表示,相比笔记本电脑,台式PC和移动存储市场的出货量较小,主要是它们对价格非常敏感,而指纹还是比较高端的应用。他解释说,台式PC主要是采取指纹键盘的方式,而键盘已经很便宜;另外,这几年闪存价格下降非常快,使得指纹闪存盘应用比较尴尬。

  

  目前增加指纹识别功能约需要50元人民币,为了推动这些低成本应用,芯微计划在明年推出成本是现有方案一半的新方案。针对指纹硬盘和指纹闪存盘应用,芯微分别与赛普拉斯和芯邦微电子这两家后端控制器厂商一起合推完整方案。

  

  NFC电子支付和指纹识别“际会”手机应用

  

  相对于PC及外设市场,手机市场无疑更具有前景,目前芯微正在和几家积极合作。熊从庆还透露说,芯微将会在年内推出SW6888的改进版,它仍然是一颗通用芯片,但由于对后端处理器速度要求会降低,会更适合于手机。他解释说,SW6888采集数据的速度非常快,对信号捕捉快,但缺点是占用后端处理器资源较多,新芯片会根据后端处理器的能力自动调控指纹采集数据率。他强调说:“虽然其它供应商也可以降低采集数据率,但我们是第一家可以做到自适应可变数据率的厂商。”

  

  熊从庆表示,除了更低成本、更小体积和功耗外,未来的产品开发方向还有两方面,一是继续不断优化滑动式指纹识别传感器的软件和算法,因为相比已经非常成熟的传统光学传感器,它还是一个新技术,有新的特点;二是针对不同应用的不同要求,推出不同的产品,例如手机这种量大的产品。

  AuthenTec也在这样做,它分别面向PC及外设、手机和传统访问控制三大应用领域推出了一系列的产品。其面向手机的最新产品AES1710已经被设计进一些智能手机,尤其是NFC手机,提供锁/解锁手机,保护敏感信息;授权移动商务和移动银行交易;快速启动常用应用;替代手机网站用户名和密码等功能。

  

  BenoitMakowka:身份控制和NFC手机应用结合是未来热点。

  

  事实上,指纹识别和电子支付两项技术正在手机应用上“风云际会”,并且互相促进。Atmel公司安全微控制器方案市场和应用总监BenoitMakowka表示:“因为NFC技术,我们看到将身份控制和手机应用结合在一起的机会。这类似于移动银行,通过NFC技术,你能够想象一些安全访问控制的应用存储在(U)SIM卡中。”


基于OA系统中基于角色的安全访问控制设计

1 引言

随着计算机和Internet 的快速发展,OA 系统,即办公自动化系统,已经成为政府、企业和高校等单位办公的得力助手,很多日常工作都必须使用OA 系统才能完成,因此,的安全问题显得尤为重要。某些信息涉及到单位的机密,这些信息的访问权限需要受到保护。另外,一些用户越权访问信息资源、篡改重要数据的事件时有发生,造成管理混乱。

针对这些情况,本文对OA 系统进行了基于角色的安全设计。

2 OA 系统结构

为了便于用户的使用和维护,节约系统维护成本,目前OA系统应用较广泛的是基于Web的B/S(Browser/Server)结构,客户端只需带有浏览器软件,能够最大程度地实现资源共享,避免了资源的浪费。OA系统的B/S结构是三层体系结构,即交互层、服务层和数据访问层[1],如图1所示:

位于顶层的是交互层,负责逻辑表达,通过浏览器完成系统与用户的交互。位于中间的是服务层,负责为上层的应用提供相应的服务平台。位于底层的是数据访问层,主要由数据库服务器提供对整个OA 系统的功能支持,同时负责与数据库管理系统进行交互,提供对专门数据资源的存储、管理和维护等服务。

3 OA 系统安全需求

设计开发一个OA系统一般要考虑以下7个方面的安全需求[2][3]:

(1)身份鉴别。用户和后台服务器能够相互确认身份的合法性和真实性。

(2)授权控制。根据鉴别的用户真实身份确定对信息资源或应用的访问权限,不能随意扩大访问权限或越权访问信息。

(3)防止信息泄漏。保证信息在通信传输中和存储介质中不被有意或无意地泄漏、丢失或窃取。

(4)完整性。确保敏感信息不被非授权用户恶意或无意篡改。

(5)信息流安全。保证用户与服务器之间的路由正确可靠。

(6)信源确认。确保不同信息来自正确的服务器。

(7)抗抵赖性。建立责任机制,确保任何用户都不能否认其所进行的操作。

4 基于角色的安全访问控制模型

一般OA系统应采用Lotus Domino/Notes作为应用系统开发平台和应用支撑平台。LotusDomino/Notes提供多层次的方法以确保应用的安全性,可以保护域、区段、表单、视图、数据库、服务器和网络域的安全[4]。通过Lotus Domino/Notes不同层次模型的安全设置,能够对网络信息存取权限进行有效的管理和控制,可以保障系统具有强大的安全性。尽管Lotus Domino/Notes系统本身拥有比较完善的安全机制,为了进一步提高系统的整体安全等级,还需补充另外的安全措施。身份鉴别和授权控制的安全是OA系统安全需求中非常重要的方面, 本文针对此安全需求, 采用基于角色的安全访问控制技术RBAC(Role-Based Access Control)进行设计。

1. 访问控制方式种类

对访问控制方式,国内外已经进行了多年的研究。有三种访问控制方式影响较大, 它们是:DAC(Disconary Access Control)自主访问控制,MAC(Mandatory Access Control)强制访问控制和RBAC(Role-Based Access Control)基于角色的访问控制[5]。

自主访问控制DAC是指用户可以自主地将访问权限或者访问权限的某个子集授予其他用户,但很可能会因为权限的传递而出现失控,导致信息的泄漏。强制访问控制MAC严格控制了用户的权限,但是它的授权过程却十分复杂,所以多用于军事领域,其他方面很少使用。

基于角色的访问控制RBAC是目前最为流行的访问控制策略。它通过引入“角色”的概念,使得授权管理变得简单。它比传统的自主访问控制和强制访问控制更优越, 同时也提供了更高的灵活性和可扩展性。

2. RBAC的核心思想与模型

管理用户对资源的访问和存取控制的传统方法通常是直接给每个用户一定的权限许可,但是随着单位内部人员发生离职、升职或离开岗位,管理员必须根据单位的人事变动对人员数据库做相应的调整,从而给数据库管理带来不便,系统开销大,基于角色的访问控制技术RBAC是解决此问题的合理选择[6]。RBAC的核心思想就是将访问权限与角色相联系,通过给用户分配合适的角色,使用户与访问权限相联系。角色是根据各单位内为完成各种不同的任务需要设置的,根据用户在单位中的职责和责任来设定他们的角色。

关于RBAC模型,比较著名的是美国George Mason大学的R. Sandhu教授的RBAC96模型[7],本文也是基于此模型进行基于角色的安全访问控制设计,基于角色的安全访问控制模型图如图2所示:

用户是对数据对象操作的主体。角色是对应于组织中的某一特定的职能岗位,代表了一个特定的任务范畴。角色作为中间桥梁将用户和权限联系起来。约束是附加于RBAC系统中各元素之上,用来表达许可执行的条件。会话是一个动态概念,用户激活角色及时建立会话。权限是用户对系统中的对象进行某种特定模式访问的操作许可。

3. Domino数据库的存取控制列表

Domino数据库有个存取控制列表ACL(Access Control List),它用来指定什么人可以以什么方式(例如创建、读、写、删除等)对数据库进行访问,要控制Notes系统用户的存取权限[4],就要在ACL中为用户设定适当的存取级别、用户类型等。

5 基于角色的安全访问控制设计

在OA系统中,结合RBAC模型与Domino数据库所提供的系统级的安全机制,可以直接地把办公组织结构映射到办公自动化系统中,简化权限的管理工作。安全管理人员根据需要指定各种角色,根据用户的责任和职位再指派其为相应的角色。整个访问控制过程就是访问权限与角色相关联,角色再与用户关联,从而实现了用户与访问权限的逻辑分离。

1.用户与角色的划分

系统用户分为三种:系统管理用户、业务管理用户和普通用户。系统角色可以分为:维护整个系统的系统管理员、维护某个功能模块的业务管理员、单位领导、各部门领导、负责收发文件部门的秘书与领导、单位员工等。

2.权限划分

角色作为用户与访问权限之间的中介,给用户赋予一定的角色,再把权限赋予角色,用户通过角色获取相应的访问操作权限。权限分为多种类型:如管理员对系统或功能模块的使用权限,普通用户对文档数据的操作使用权限,这些权限属于被动的权限控制策略。建立起用户、角色和权限的关系表,能够快速查找各个角色的用户的相关权限或某个权限的用户的集合。用户、角色和权限对应关系表如表1所示:


表1 用户、角色和权限对应关系表

另外,对权限还要实施动态的管理,即根据文档的状态和用户角色动态地决定该角色的用户所应该进行的权限或对数据进行的操作。动态权限管理由权限规则来描述,如在发文数据库中公文在起草状态、审核状态、批准状态、签发状态和发文状态中,秘书、部门负责人、办公室主任等角色的用户能对该对象进行什么样的操作。一条权限规则由一个访问者和一个权限向量组成,权限向量描述访问者可以对数据对象进行哪些操作。多条权限规则共同构成对权限的动态控制。

3.安全访问控制流程

安全访问控制的流程图如图3所示:

对此安全访问控制流程描述如下:

(1)用户要使用用户名和密码登录OA系统,认证服务器对用户名和密码进行验证来确认用户身份,验证时要将用户输入的信息与数据库中的用户信息表相比较,如果相符,则允许用户进入本系统,否则将返回出错信息。

(2)用户登录OA系统后,系统从用户信息表中提取出用户的ID号,查询数据库中的角色分配表激活角色,建立会话,角色分配表包含用户ID和对应的角色。

(3)激活角色,建立会话后,系统查询权限规则表,为用户分配权限,使用户获得目标文档数据或取得相关操作权限。权限规则表是根据数据库中文档状态和角色动态变化的。用户操作完成后退出系统。基于角色的安全访问控制设计实现了属于不同角色的用户在同一个OA系统中获得不同的权限,即不同的角色显示不同的功能模块,有效避免了超越操作行为的发生,增强了OA系统身份鉴别和授权控制方面的安全性。

6 结束语

本文对适用于公司、企业和高校的OA系统进行了系统结构分析和安全需求分析。为了增强用户身份鉴别和授权控制的安全性,重点对OA系统进行了基于角色的安全访问控制设计,使得不同的用户有相应的角色和权限,防止越权访问。但是计算机和网络的发展会对OA系统的安全性提出更高的要求,相应的安全策略也需要不断更新、不断完善,从而增强OA系统的整体安全性。

本文创新点: 在 OA 系统中进行了基于角色的安全访问控制设计,给出用户、角色和权限的划分,提出安全访问控制流程,增强了OA 系统身份鉴别和授权控制方面的安全性。


基于任务的访问控制模型在高校图书馆的应用

摘要:访问控制是为了提高效益,增强竞争力,保障信息管理系统的安全而产生的一种信息安全技术。基于的访问控制模型(TBAC)是从的角度来解决安全问题,是基于主动式安全模型,以面向任务的观点来建立安全模型和实现安全机制,在任务处理的过程中提供动态实时的安全管理。将这种技术利用于数字图书馆可以有效的提高系统的效率,实现灵活的授权机制。
关键词:访问控制技术;TBAC;工作流;动态权限管理


伴随着数据库、网络和分布式计算的发展,组织任务进一步自动化,与服务相关的信息进一步计算机化,这促使人们将安全问题方面的注意力从独立的计算机系统中静态的主体和客体保护,转移到随着任务的执行而进行动态授权的保护上。


l TBAC的出现
传统的访问控制技术模型主要有三种,即自主访问控制模型(DAC),强制访问控制模型(MAC)和基于角色的访问控制模型(RBAC)。而传统的访问控制模型都是从系统的角度出发去保护资源(控制环境是静态的),在进行权限的控制时没有考虑执行的上下文环境。此外,传统的访问控制模型不能记录主体对客体权限的使用,权限没有时间限制,只要主体拥有对客体的访问权限,主体就可以无数次地执行该权限。
考虑到上述原因,引入工作流的概念加以阐述。工作流是为完成某一目标而由多个相关的任务(活动)构成的业务流程。工作流所关注的问题是处理过程的自动化,对人和其他资源进行协调管理,从而完成某项工作。当数据在工作流中流动时,执行操作的用户在改变,用户的权限也在改变,这与数据处理的上下文环境相关。传统的DAC(自主访问控制模型)和MAC(强制访问控制模型)访问控制技术,则无法予以实现,而RBAC(基于角色的控制模型)如今在数字图书馆中应用很多,效果也很不错,但该模型需要频繁地更换角色,且不适合工作流程的运转。这就迫使我们必须考虑新的模型机制,也就是在基于角色的基础上发展基于任务的访问控制模型。


2 TBAC的基本概念
不同于传统的访问控制模型,TBAC(基于任务的访问控制模型,Task—Based Access Control)倾向于基于应用层的控制,而且是基于主动式安全模型,以面向任务的观点,从任务(活动)的角度来建立安全模型和实现安全机制,在任务处理的过程中提供动态实时的安全管理。
在TBAC中,对象的访问权限控制并不是静止不变的,而是随着执行任务的上下文环境发生变化。这种控制模型,更多的从活动或任务的角度看待安全和实施的控制问题,它抽象出了一种控制机制,用于任务运行期间的管理。其同时也抽象出任务之间的一些访问/授权关联关系。TBAC首要考虑的是在工作流的环境中对信息的保护问题:在工作流环境中,数据的处理与上一次的处理相关联,相应的访问控制也如此,因而TBAC是一种上下文相关的访问控制模型。其次,TBAC不仅能对不同工作流实行不同的访问控制策略,而且还能对同一工作流的不同任务实例实行不同的访问控制策略。从这个意义上说,TBAC是基于任务的,这也表明,TBAC是一种基于实例(instance-based)的访问控制模型。


3 TBAC的构成
TBAC模型由工作流、授权结构体、受托人集、许可集四部分组成。
任务(task)是工作流程中的一个逻辑单元,是一个可区分的动作,与多个用户相关,也可能包括几个子任务。授权结构体是任务在计算机中进行控制的一个实例。任务中的子任务,对应于授权结构体中的授权步。
授权结构体(authorization unit):是由一个或多个授权步组成的结构体,它们在逻辑上是联系在一起的。授权结构体分为一般授权结构体和原子授权结构体。一般授权结构体内的授权步依次执行,原子授权结构体内部的每个授权步紧密联系,其中任何—个授权步失败都会导致整个结构体的失败。授权步(authorization step)表示一个原始授权处理步,是指在一个工作流程中对处理对象的一次处理过程。授权步是访问控制所能控制的最小单元,由受托人集(trustee-set)和多个许可集(peilnons set)组成。
受托人集是可被授予执行授权步的用户的集合,许可集则是受托集的成员被授予授权步时拥有的访问许可。当授权步初始化以后,一个来自受托人集中的成员将被授予授权步,我们称这个受托人为授权步的执行委托者,该受托人执行授权步过程中所需许可的集合称为执行者许可集。授权步之间或授权结构体之间的相互关系称为依赖(dependen—cy),依赖反映了基于任务的访问控制的原则。授权步的状态变化一般自我管理,依据执行的条件而自动变迁状态,但有时也可以由管理员进行调配。
一个工作流的业务流程由多个任务构成。而一个任务对应于一个授权结构体,每个授权结构体由特定的授权步组成。授权结构体之间以及授权步之间通过依赖关系联系在一起。在TBAC中,一个授权步的处理可以决定后续授权步对处理对象的操作许可,上述许可集合称为激活许可集。执行者许可集和激活许可集一起称为授权步的保护态。


4 高校图书馆TBAC的设计
随着计算机技术、通信技术和网络技术的迅速发展,图书馆信息管理系统逐步发展起来,现在大多数高校已经采用了先进的计算机及网络技术来实现“数字图书馆”的功能,这就使的系统对访问控制有了较高的要求,这里采用基于任务的访问控制模型来简单设计一下高校图书馆的访问控制体系。
先将TBAC模型用五元组(S,O,P,L,AS)来表示,其中S表示主体,O表示客体,P表示许可,L表示生命期(1ifecy—cle),AS表示授权步。由于任务都是有时效性的,所以在基于任务的访问控制中,用户对于授予他的权限的使用也是有时效性的。因此,若P是授权步AS所激活的权限,那么L则是授权步AS的存活期限。在授权步AS被激活之前,它的保护态是无效的,其中包含的许可不可使用。当授权步AS被触发时,它的委托执行者开始拥有执行者许可集中的权限,同时它的生命期开始倒记时。在生命期期间,五元组(S,O,P,L,AS)有效。生命期终止时,五元组(S,0,P,L,AS)无效,委托执行者所拥有的权限被回收。
假设图书馆有教授阅览者、副教授阅览者、讲师阅览者、学生阅览者四个主体,则客体集合为0={O1、O2、O3、O4},Ol~O4分别表示教授阅览室、副教授阅览室、讲师阅览室、学生阅览室四个客体。
四类主体的操作可由归为两种:阅读、借阅。由此可以得到许可集P为(见表1)。

现假设某讲师去图书馆执行以下操作:借阅并阅读讲师阅览室资料,借阅学生阅览室资料,借阅副教授阅览室资料,阅读教授阅览室资料。其所需权限可分别表示为P12、P21、P22、P32、P41。
如果仅采用基于角色的访问控制技术,该讲师需要变化三个角色来实现以上操作。而采用基于任务的访问控制模型后,该讲师可首先以讲师的角色登陆系统,AS激活,从而拥有阅读(P21)、借阅(P22)讲师阅览室资料的权限,权限时限L为退出系统为止。在不更换角色的条件下,可以直接进入低级别的学生阅览室,激活该AS,拥有借阅(P12)和阅读权限,权限时限L为退出学生阅览室为止。不更换角色的条件下,在拥有副教授专属密钥(为每一名副教授分配的阅览室通行密码)的前提下进入较高级别的副教授阅览室,激活AS,拥有借阅(P32)的权限,权限时限L为退出副教授阅览室为止。还可在拥有专属教授密钥(为每一名教授分配的阅览室通行密码)的基础上进入高级别的教授阅览室,进入后,激活AS,拥有教授的权利,阅读(P41)该阅览室的资料,权限时限L为退出教授阅览室为止。
TBAC的访问政策及其内部组件关系一般由系统管理员直接配置。通过授权步的动态权限管理,TBAC支持最小特权原则和最小泄漏原则,在执行任务时只给用户分配所需的权限,未执行任务或任务终止后用户不再拥有所分配的权限;而且在执行任务过程中,当某一权限不再使用时,授权步自动将该权限回收;另外,对于重要的任务需要不同的用户执行,这可通过授权步之间的分权依赖实现。


5 结束语
通过以上访问控制体系可以看出,TBAC从工作流中的任务角度建模,可以依据任务和任务状态的不同,对权限进行动态管理。因此,TBAC非常适合分布式计算和多点访问控制的图书馆管理系统,TBAC可以把实际应用中的工作流和访问控制所需的各种关系整体地结合在一起,可以清晰地表达复杂工作流的控制机制。从现有国内外经验来看,如果能将TBAC与RBAC两种访问机制相互结合的应用于高校图书馆,访问控制将可以得到更好的效果。

相关热点