基于安全标记绑定的网络安全访问实施机制

基于安全标记绑定的网络安全实施系统两部分分别如图4-6和图4-7所示。系统主要通过互联实体ce来控制主体s对客体o的受限访问，并确保访问过程的安全性。

图4-6　基于安全标记绑定的网络安全访问实施框架（1）

图4-7　基于安全标记绑定的网络安全访问实施框架（2）

互联实体分为内核处理和应用控制两部分：

（一）内核处理

在内核处理部分，主要由基于安全标记的访问控制、安全通道处理、安全通信策略库、安全关联库组成。安全通信策略库维护应用于数据流的安全策略，如接受、拒绝、应用安全处理等；安全关联库是应用于数据流安全处理所需的安全参数，如会话密钥、加密/认证算法、安全标记等。其中，安全标记字段用于进行数据流携带安全标记、安全通道级别的复合性验证和基于安全标记的数据流控制。若为主体方安全关联，则安全标记为主体安全标记或主体所在保护域的安全标记；若为客体方安全关联，则安全标记为客体数据单元最小的安全标记，或者为客体所在保护域的安全标记。安全通道处理不仅完成对传输数据的封装/解封装、加/解密、认证等处理，且具有核心总控功能，协调各个组件对主体访问进行控制。基于安全标记的访问控制，主要依据安全标记、可信度判别网络数据流是否为有效的数据流，以控制主体的受限访问。

（二）应用控制

在应用控制部分，主要由访问服务代理、客体视图生成等模块组成。访问服务代理负责与主、客体进行交互，代理主体访问并与核心总控进行联动，实施应用层的主、客体处理。客体视图生成主要包括安全标记查询、客体片段的提取等，其依据客体关系访问策略、主体访问历史和主体安全标记，决定主体对客体的可见度。除了互联实体完成的功能外，主、客体所隶属的计算平台还需安装有多级安全系统套件，以实施主体的安全访问以及安全标记与客体绑定。

当主体s访问客体o时，系统工作流程如下：

①s发起对o的访问请求，访问服务代理截获该请求，交由安全通道处理（具有核心总控功能），查询安全通信策略库，若进行安全处理，则转②，否则进行其他处理。(www.xing528.com)

②查询安全关联库，若安全关联存在，则转③；否则，通知访问服务代理发起对主体的认证，并协商安全关联，建立多级安全通道。

③依据查询到的安全关联，对数据包进行安全通道处理，s安全标记由IPSO携带，并通过安全通道传输给对端互联实体ce2。

④ce2依据安全关联恢复出原始的访问请求，并交由安全标记访问控制模块，从数据流中提取s安全标记，并从安全关联中获取s访问的客体安全标记（客体中各个数据单元最小的安全标记），再依据主体与客体安全标记判别s对o的网络操作行为，若为流入操作，则转⑤；若为流出或流入流出操作，则转⑥。

⑤由主、客体内容过滤分析组件分析客体变化情况，若s添加或修改的内容与客体o聚合后，客体安全级别得到了提升，则通知创建新的客体；并向主体s返回流入操作的响应包，响应包被安全通道所保护，IPSO携带的安全标记是从安全关联中获取的客体安全标记，则转⑦。

⑥访问服务代理代替s发起对o的访问，并获取o的安全标记文档，交由客体视图生成组件进行处理。客体视图生成组件依据s安全标记、客体关系访问策略和s的访问历史，生成s访问o的客体视图。客体视图生成组件首先依据客体关系策略，判断o是否与其他客体存在聚类或不兼容的问题，若存在，则查询主体访问历史文件，判断s是否满足客体聚类与不兼容性问题，若不满足，则禁止访问；若满足或不存在客体聚类与不兼容性问题，则依据网络客体操作方式、主体安全标记、客体安全标记文档等，生成s访问o的视图。客体视图通过安全通道发送给ce1，IPSO携带的安全标记为客体视图数据单元中最大的安全标记。

⑦ce1收到响应数据包后，查询安全关联库获取应用到该数据包的安全关联，恢复出原始数据包，由安全标记访问控制模块提取数据流安全标记，与安全关联中s的安全标记进行比较，判别出数据流的有效性。若为流入操作，则通知主体s进行流入操作处理，直至访问请求结束；若为流出或流入流出操作，则将客体视图返回给s，并进入⑧。

⑧在进行流出操作时，由主、客体内容过滤分析组件判断s是否获得了比自身安全级别更高的客体信息，若是，则通知调整主体安全标记。在进行流入流出操作时，还须判断s添加、修改的内容与客体o聚合后，客体安全级别是否得到提升，若是，则通知创建新的客体o'，保持原有客体o不变。

安全标记与信息客体的绑定是等级保护网络中数据安全共享的关键。本书通过采用数据树的方式，有效地实现了网络信息客体的统一表示，并依据树形结构，合理巧妙地完成了信息客体与安全标记的绑定。该方法不仅提高了安全标记绑定的灵活性，实现了信息客体与安全标记绑定的统一，还能够实施更为细粒度的访问控制。同时，也能够解决多级信息系统间异构数据交换访问控制难的问题。当然，安全标记绑定还有许多方面待于研究，如进程与安全标记、数据流与安全标记的绑定等，今后将针对这些方面做进一步的研究。