李凤华，史国振，张晶辉，李 莉

（1.北京电子科技学院 电子信息工程系，北京100070；2.西安电子科技大学 计算机学院，陕西 西安710071）

0 引 言

针对网络应用的安全需求，先后出现了多种访问控制模型，如基于角色的访问控制模型RBAC （role－based access control）［1－3］、基于 任 务 的 访 问 控 制 模 型 TBAC （taskbased access control）［4－5］、与时空相关的访问控制模型［6－7］、面向分布式的访问控制模型［8－9］等。虽然部分已有模型涉及了与访问控制相关的时态因素和位置因素，但缺乏了对多级安全信息系统中位置、软硬件平台、时态等环境因素的综合考虑。文献 ［10］针对角色、环境和时态对权限分配的影响给出了环境状态、时态状态以及行为的概念，提出了基于行为的访问控制模型 ABAC （action－based access control）。文献 ［11］在此基础上，通过引入受限的时态状态和环境状态，给出了管理行为的定义和ABAC管理模型的结构。文献 ［12］给出了Web环境下基于行为的访问控制安全体系结构，在此体系结构中，行为服务器管理行为信息，域服务器决定请求资源的安全序列，以及资源服务器响应用户的请求，其中资源服务器存储的资源使用了不同的安全序列。文献 ［13］基于ABAC模型，给出了协作信息系统访问控制的流程；提出了包含用户请求、用户身份、口令、角色、时态状态、环境状态、生命期等安全属性的安全关联及其产生方法；给出了一种安全认证协议，用来实现用户与行为服务器、资源管理服务器之间交换与ABAC模型相关的安全属性，并使用UC模型证明该协议的安全性。

多级安全信息系统是指允许存储具有不同敏感等级信息的系统，允许具有不同安全标识和授权的用户按照 “知其所需”的原则处理系统信息的系统，阻止没有安全标识、没有授权或者没有获取信息需求的用户访问信息的系统［14］。……