Phát triển mô hình điều khiển truy xuất cho dữ liệu gis báo cáo nghiệm thu cấp thành phố

ỦY BAN NHÂN DÂN TP.HCM ĐẠI HỌC QUỐC GIA TP.HCM SỞ KHOA HỌC VÀ CÔNG NGHỆ TRƯỜNG ĐẠI HỌC BÁCH KHOA BÁO CÁO NGHIỆM THU CẤP THÀNH PHỐ PHÁT TRIỂN MƠ HÌNH ĐIỀU KHIỂN TRUY XUẤT CHO DỮ LIỆU GIS PGS.TS ĐẶNG TRẦN KHÁNH THÀNH PHỐ HỒ CHÍ MINH THÁNG 08/ 2013 ỦY BAN NHÂN DÂN TP.HCM SỞ KHOA HỌC VÀ CÔNG NGHỆ BÁO CÁO NGHIỆM THU (Đã chỉnh sửa theo góp ý Hội đồng nghiệm thu) PHÁT TRIỂN MƠ HÌNH ĐIỀU KHIỂN TRUY XUẤT CHO DỮ LIỆU GIS CHỦ NHIỆM ĐỀ TÀI (Ký tên) PGS.TS ĐẶNG TRẦN KHÁNH CƠ QUAN QUẢN LÝ (Ký tên/đóng dấu xác nhận) CƠ QUAN CHỦ TRÌ (Ký tên/đóng dấu xác nhận) THÀNH PHỐ HỒ CHÍ MINH THÁNG 11/2013 TĨM TẮT NỘI DUNG NGHIÊN CỨU Sự phát triển dịch vụ dựa địa lý, dịch vụ dựa vị trí hay hệ thống thông tin lớn ngày nhanh tạo nên nhu cầu cấp thiết cho toán bảo mật liệu địa lý Các công nghệ đại giúp cho việc trao đổi liệu, tích hợp hay chia sẻ liệu làm cho việc liên thông hệ thống nguồn tài nguyên ngày dễ dàng Do đó, vấn đề bảo mật liệu quan trọng cốt lỗi điều khiển truy xuất liệu Các mơ hình điều khiển truy xuất kinh điển cho ứng dụng hệ quản trị sở liệu không đủ đáp ứng để giới hạn loại truy xuất hệ thống liệu lớn đặc biệt hệ thống thơng tin địa lý Một sách điều khiển truy xuất liệu địa lý mang nhiều thông tin đặc thù việc giới hạn phụ thuộc vào thông tin địa lý liệu, thông tin chủ thể truy xuất thông tin ngữ cảnh gồm yếu tố khơng thời gian vị trí chủ thể thời gian truy xuất, kiện xảy môi trường truy xuất, v.v Kế thừa tính mềm dẻo dễ dàng tích hợp với loại ứng dụng hệ thống XML, ngôn ngữ XACML chuẩn công nghiệp OASIS sử dụng để mơ tả sách giới hạn truy xuất, yêu cầu truy xuất định truy xuất cú pháp XML Đề tài phát triển mơ hình truy xuất mở rộng từ XACML, cụ thể từ GeoXACML (một mơ hình phát triển từ XACML hỗ trợ thêm số thư viện hàm kiểu liệu địa lý) gọi X-STROWL (eXtended XACML for Spatial Temporal Role based access control model with OWL) Mơ hình X-STROWL khơng hỗ trợ chuẩn OASIS XACML mà hỗ trợ điều khiển truy xuất dựa vai trò (role based access control) đáp ứng yêu cầu giới hạn truy xuất cho hệ thống thơng tin nói chung cho hệ thống thơng tin địa lý nói riêng bao gồm yếu tố khơng thời gian Mơ hình cịn tích hợp OWL (Web Ontology Language) để hỗ trợ phân cấp vai trò giảm bớt chi phí đặc tả sách truy xuất cho vai trị tăng tính thông minh cho máy định truy xuất Phần cịn lại báo cáo trình bày nội dung sau: Chương giới thiệu tổng quan dự án; Các vấn đề nghiên cứu kế hoạch nghiên cứu trình bày chương 2; Chương trình bày chi tiết mơ hình điều khiển truy xuất kinh điển, mơ hình phát triển gần có liên quan mơ hình điều khiển truy xuất đề xuất vấn đề liên quan đến tốn điều khiển truy xuất Từ mơ hình đề xuất chương 3, chương trình bày phương pháp đặc tả quy tắc phân quyền sách bảo mật Trong chương 5, kiến trúc luận lý chức trình bày Các mã nguồn mở liên quan để thực kiến trúc theo mơ hình đề xuất giới thiệu chương Chương trình bày ứng dụng thử nghiệm để kiểm chứng đánh giá kết nghiên cứu đề tài Cuối cùng, chương tổng kết lại công việc hoàn thành đánh giá kiến nghị cho hướng phát triển đề tài I SUMMARY OF RESEARCH CONTENTS The development of geography-based services, location-based services, and largescale information systems has created the demands for geospatial data security The high technology has made the interoperable use of distributed and heterogeneous data such as data sharing, data integration or data exchanging between different organizations easily Therefore, one of the imperative problems of data security is access control However, traditional and existing access control models for applications and database management systems cannot fully satisfy the requirements of data access restriction in the large-scale information systems, especially geographic information systems (GIS) Security policies in an access control model for geographical data expect many specific characteristics For example, the constraints of data access are specified on conditions of spatial characteristics of data, subject’s information, and contexts including spatio-temporal information such as subject’s position, accessed date, and events around the environment of request, etc Inherited from the flexibility and easy integration with a variety of applications and systems of XML, XACML is the OASIS standard and used to describe access control policies, authorization decision request, and response by the XML syntax The project has developed an access control model extended from XACML, namely from GeoXACML (an extension of XACML with the support of spatial data types and functions), called X-STROWL (eXtended XACML for Spatial Temporal Role based access control model with OWL) The X-STROWL model supports not only XACML of the OASIS standard but also role based access control according to the NIST standard, and meets with the requirements of access restrictions including spatiotemporal conditions for information systems in general and GIS in particular Besides, the model also integrates the OWL (Web Ontology Language) ontology for semantic reasoning on hierarchical roles to simplify the specification of access control policies and increase the intelligence of the authorization decision engine The research contents presented in this report are organized as follows A general view of the project is introduced in Chapter Chapter presents the statement of research problems, and proposes the research plan of the project Chapter describes traditional and recent access control models, and proposes the access control model, X-STROWL, of the project as well as related problems From this model suggested in Chapter 3, methods for security authorization policy and rule specification are presented in Chapter Chapter proposes the functional architecture for our XSTROWL model Potential open source softwares that can be used to implement the model are analyzed in Chapter Chapter presents a demo to verify and evaluate the research’s result Finally, summary and future works are given in Chapter II MỤC LỤC TÓM TẮT NỘI DUNG NGHIÊN CỨU I SUMMARY OF RESEARCH CONTENTS II MỤC LỤC III DANH SÁCH BẢNG VIII DANH SÁCH HÌNH IX PHẦN MỞ ĐẦU CHƯƠNG – TỔNG QUAN ĐỀ TÀI 10 1.1 Tính cấp thiết đề tài 10 1.2 Phương pháp nghiên cứu 11 1.2.1 Cách tiếp cận 11 1.2.2 Phương pháp nghiên cứu 11 1.3 Ý nghĩa khoa học khả áp dụng thực tiễn 12 CHƯƠNG – PHÁT BIỂU ĐỀ TÀI 13 2.1 Giới thiệu GIS ứng dụng GIS 13 2.2 Kiến trúc SDI (Spatial Data Infrastructure) 15 2.2.1 Các thành phần SDI 15 2.2.2 Phần mềm để xây dựng SDI 16 2.3 Vấn đề chia sẻ bảo vệ liệu địa lý 20 2.4 Các yêu cầu giới hạn truy xuất 21 2.4.1 Hướng người dùng vai trò người dùng 22 2.4.2 Hướng liệu 22 2.4.3 Hướng ngữ cảnh 23 2.5 Các vấn đề cần giải 24 2.6 Kế hoạch nghiên cứu 25 CHƯƠNG – PHÁT TRIỂN MƠ HÌNH ĐIỀU KHIỂN TRUY XUẤT CHO DỮ LIỆU GIS 28 3.1 Các cơng trình nghiên cứu liên quan 28 3.1.1 Các mơ hình điều khiển truy xuất 28 III 3.1.2 Các mơ hình điều khiển truy xuất nâng cao 37 3.1.3 Tổng kết đánh giá 56 3.2 Mơ hình đề xuất 57 3.2.1 Các loại sách 58 3.2.2 Mơ hình X-STROWL 60 3.2.3 Sự hỗ trợ không thời gian 64 3.3 Vấn đề xung đột quyền 65 3.3.1 Deny-overrides 68 3.3.2 Orderred-deny-overrides 69 3.3.3 Permit-overrides 69 3.3.4 Orderred-permit-overrides 69 3.3.5 First-applicable 69 3.3.6 Only-one-applicable 70 3.3.7 Phát giải xung đột 71 3.4 Vấn đề điều khiển truy xuất hướng người dùng kiện 74 3.5 Vấn đề quản lý role người dùng 77 3.5.1 Định nghĩa role 78 3.5.2 Phân cấp role 79 3.5.3 Phân biệt nhiệm vụ 81 3.6 Vấn đề quản lý giao dịch người dùng 82 CHƯƠNG – PHƯƠNG PHÁP ĐẶC TẢ QUY TẮC PHÂN QUYỀN VÀ CHÍNH SÁCH BẢO MẬT 85 4.1 Phương pháp đặc tả quy tắc phân quyền chinh sách bảo mật GeoXACML 85 4.1.1 Sự mở rộng XACML 85 4.1.2 Cấu trúc ngôn ngữ GeoXACML 86 4.1.3 Các loại sách GeoXACML hỗ trợ 93 4.2 Phương pháp đặc tả quy tắc phân quyền sách bảo mật mở rộng 98 4.2.1 Cấu trúc sách RoleAssignment 98 4.2.2 Cấu trúc sách Permission 99 4.2.3 Cấu trúc sách PermissionAssignment 100 IV 4.2.4 Cấu trúc sách Context 101 4.2.5 Cấu trúc sách SeparateOfDuty 102 4.2.6 Đặc tả phân cấp role resource với OWL 103 4.3 Case study 108 4.3.1 Cấu trúc sách RoleAssignment 108 4.3.2 Cấu trúc sách Permission 110 4.3.3 Cấu trúc sách PermissionAssignment 113 4.3.4 Cấu trúc sách Context 116 4.3.5 Cấu trúc sách SeparateOfDuty 117 4.3.6 Phân cấp role với OWL 119 CHƯƠNG – KIẾN TRÚC CHỨC NĂNG CỦA MƠ HÌNH ĐIỀU KHIỂN TRUY XUẤT ĐỀ XUẤT 121 5.1 Kiến trúc tổng quan 121 5.2 Chuẩn giao tiếp layers 122 5.3 Kiến trúc chức 122 5.3 Khối dịch vụ thi hành sách (Enforcement Service) 124 5.3.2 Khối dịch vụ đánh giá sách (Evaluation Service) 124 5.3.3 Khối tiện ích (Utilities) 125 5.3.4 Khối dịch vụ hàm hỗ trợ (Supporting Functions/Services) 125 5.3.5 Kho lưu trữ liệu 126 CHƯƠNG – PHÁT TRIỂN BỘ CƠNG CỤ DỰA TRÊN MƠ HÌNH ĐIỀU KHIỂN TRUY XUẤT 127 6.1 Sơ lược mã nguồn mở thực XACML 127 6.2 HERASAF 128 6.2.1 Cách thức hoạt động 128 6.2.2 Cách tổ chức mã nguồn 129 6.2.3 Các gói liệu HERAS-AF Core 130 6.2.4 Tạo đánh giá yêu cầu truy xuất với HERAS-AF 131 6.2.5 HERAS-AF ưu – nhược điểm khả mở rộng 134 6.3 Mở rộng HERAS-AF hỗ trợ X-STROWL 135 6.3.1 Kiến trúc HERAS-AF+ 135 V 6.3.2 Mở rộng HERAS-AF+ Core 138 6.3.3 HERAS-AF+ Context Handler 139 6.3.4 HERAS-AF+ PDP 142 6.3.5 HERAS-AF+ PEP 142 6.3.6 HERAS-AF+ PIP 145 6.3.7 HERAS-AF+ S/DSOD 146 6.3.8 HERAS-AF+ OWL 147 6.3.9 Giải thuật kết hợp 148 6.4 Mở rộng UMU hỗ trợ việc tạo quản lý sách bảo mật 149 6.4.1 UMU-XACML-Editor 149 6.4.2 Mở rộng UMU hỗ trợ thực khối PAP 150 CHƯƠNG – PHÁT TRIỂN ỨNG DỤNG THỬ NGHIỆM ĐỂ ĐÁNH GIÁ VÀ KIỂM CHỨNG KẾT QUẢ NGHIÊN CỨU 152 7.1 Phát triển ứng dụng thử nghiệm 152 7.1.1 Kiến trúc ứng dụng 152 7.1.2 Phía người dùng 153 7.1.3 Phía máy chủ 158 7.1.4 Áp dụng công cụ điều khiển truy xuất 159 7.1.5 Cơ sở liệu 162 7.2 Triển khai thử nghiệm 162 7.2.1 Kịch 163 7.2.2 Kịch 165 7.2.3 Kịch 166 7.3 Đánh giá kết 167 CHƯƠNG – TỔNG KẾT VÀ ĐÁNH GIÁ 171 8.1 Đánh giá kết nghiên cứu 171 8.1.1 Đánh giá mơ hình 171 8.1.2 Đánh giá công cụ phát triển 172 8.2 Tổng kết 173 8.3 Đề nghị 174 VI TÀI LIỆU THAM KHẢO 176 PHỤ LỤC i Các báo đăng/được chấp nhận đăng i Hướng dẫn sử dụng ứng dụng thử nghiệm i 2.1 Cách cài đặt website i 2.2 Cách cài dặt server v 2.3 Access Control vi 2.4 Cách tạo sách bảo mật vi VII DANH SÁCH BẢNG Bảng 1: Kế hoạch làm việc 26 Bảng 2: Các kiểu liệu không gian GeoXACML 50 Bảng 3: Các hàm không gian GeoXACML 50 Bảng 4: Bảng so sánh đánh giá cách tiếp cận 56 Bảng 5: Kiểu liệu không thời gian X-STROWL 64 Bảng 6: Các hàm liệu không thời gian X-STROWL 64 Bảng 7: Các giải thuật kết hợp sách, luật 65 Bảng 8: Bảng thật đánh giá rule 67 Bảng 9: Bảng thật đánh giá policy 67 Bảng 10: Bảng thật đánh giá PolicySet 68 Bảng 11: Các hàm không gian GeoXACML 86 Bảng 12: Định nghĩa role OWL 104 Bảng 13: Các hàm ngữ nghĩa OWL hỗ trợ role resource phân cấp 106 Bảng 14: Tổng quát mã nguồn mở thực XACML 127 Bảng 15: Dữ liệu sử dụng cho thử nghiệm 163 VIII 122 123 124 125 126 127 128 129 130 131 132 133 134 135 Cộng Hòa Xã Hội Chủ Nghĩa Việt Nam Độc lập – Tự – Hạnh phúc o0o BẢN CAM KẾT Tôi xin cam kết báo liệt kê phần phụ lục thuộc kết đề tài nghiên cứu khoa học sau: - Tên đề tài: Phát triển mô hình điều khiển truy xuất cho liệu GIS Hợp đồng số: 121/HĐ-SKHCN, ký ngày 11 tháng năm 2011 Tơi xin hồn tồn chịu trách nhiệm tính xác thơng tin nêu Thành phố Hồ Chí Minh, ngày tháng năm 2013 Chủ nhiệm đề tài PGS.TS Đặng Trần Khánh 136 ... 1: Phát triển mơ hình điều khiển truy xuất cho liệu GIS 1.1 Nghiên cứu đánh giá cơng trình giới điều khiển truy xuất liệu GIS công bố 1.2 Đề xuất phát triển mơ hình điều khiển truy xuất cho liệu. .. phẩm cần đạt Phát triển mơ hình điều khiển truy xuất cho liệu GIS 1.1 Nghiên cứu đánh giá cơng trình - Nắm rõ mơ hình điều khiển giới điều khiển truy xuất liệu GIS truy xuất cho liệu GIS (điểm cơng... trợ truy xuất - Đặc tả hàm lập trình hỗ trợ liệu sở liệu GIS cấu truy xuất liệu sở hình theo mơ hình điều khiển truy xuất đề liệu GIS cấu hình theo xuất? ?? giai đoạn mơ hình điều khiển truy xuất