'

Н.В. Курмышев, С.В. Попов

Понравилась презентация – покажи это...





Слайд 0

Н.В. Курмышев, С.В. Попов МОДЕЛЬ ОРГАНИЗАЦИИ ПРАВ ДОСТУПА В ВЕБ-ПРИЛОЖЕНИЯХ ДЛЯ ДИСКРЕЦИОННЫХ И РОЛЕВЫХ СХЕМ Новгородский государственный университет Докладчик: Курмышев Николай Васильевич, к.т.н., проректор по НИТ НовГУ, Тел. +7 (8162) 62 72 18 E-mail: Nikolai.Kurmishev@novsu.ru www.novsu.ru


Слайд 1

Назначение модели Описание дискреционных и ролевых схем организации прав доступа. Анализ характеристик схем и систем прав доступа. позволять описывать различные дискреционные и ролевые схемы, определяющие права доступа пользователей к ресурсам; охватывать максимально возможное количество схем назначения прав доступа; позволять анализировать следующие характеристики схем: Назначение модели: Требования к модели: сложность администрирования; вычислительная сложность; сложность реализации; избыточность; превышение доступа.


Слайд 2

Общий вид модели Модель представляется в виде ориентированного графа, объединяющего множества субъектов, ресурсов и прав доступа. При этом дуги графа обозначают передачу прав доступа от одного элемента системы другому.


Слайд 3

Пример маршрута доступа Пример маршрута доступа из субъекта si к праву aj. Если такой маршрут существует, пользователь si имеет доступ aj к ресурсу rk


Слайд 4

Пример представления табличной схемы Табличная схема предполагает отсутствие наследования по всем множествам.


Слайд 5

Пример представления схемы с наследованием по ресурсам Наиболее популярная схема для простых веб-приложений. Позволяет наследовать права по иерархии ресурсов.


Слайд 6

Схема IBM WebSphere Portal Схема, применяемая в WebSphere Portal является одной из наиболее универсальных из представленных на рынке. Позволяет наследовать права по иерархии пользователей, ресурсов и прав внутри ресурсов. Также позволяет блокировать наследование определенной роли по иерархии ресурсов.


Слайд 7

Сложность реализации Сложность реализации – трудозатраты на программную реализацию схемы. Сложность реализации имеет значение при реализации относительно небольших проектов, где на первое место ставится простота и быстродействие. Эта характеристика применима только к схемам, но не к конечным системам, поскольку именно схема определяет программный код. Среализации ~ K1*наличие схемы прав доступа + K2*наличие групп + K3*наличие связей между группами + K4*наличие наследования ресурсов + K5*наличие ролей


Слайд 8

Сложность администрирования Сложность администрирования – трудозатраты на администрирование системы, построенной по заданной схеме. Сложность администрирования возрастает с увеличением количества администрируемых объектов. Будем рассматривать сложность администрирования как количество узлов и дуг графа, создаваемых вручную администратором. Садминистрирования ~ (Среднее количество прав, назначаемых одному субъекту) * (!Наличие групп * Количество пользователей + Наличие групп * (!Наличие связей между группами * Количество пользователей/Среднее количество пользователей в группе + Наличие связей между группами / Среднее количество подгрупп всех уровней для групп схемы))


Слайд 9

Вычислительная сложность Вычислительная сложность – среднее количество операций, выполняемых системой для определения наличия права доступа. Чем сложнее схема и больше объектов, тем выше вычислительная сложность. Свычислительная ~ log (Количество пользователей) * log (Количество групп) * Средняя глубина наследования групп * log (Количество ресурсов) * Средняя глубина наследования ресурсов * log (Среднее количество прав доступа для ресурса) * Средняя глубина наследования ролей в ресурсе


Слайд 10

Избыточность Избыточность – свойство схемы, позволяющее назначать право доступа несколькими путями в один момент времени (за счет наследования). В конечном итоге влияет на безопасность системы, например администратор может удалить пользователя из группы с целью отобрать у него право доступа к определенному ресурсу. Но при этом пользователь будет наследовать это право через другую группу. S(M) – сумма элементов матрицы M, M* - матрица количества всех возможных путей в графе, М*1 – матрица, полученная из M* путем замены всех ненулевых элементов на 1


Слайд 11

Превышение доступа Превышение доступа – получение пользователями системы не запрошенных прав доступа. Возникает при наличии наследования. Пользователь может получить унаследованное право на ресурс, в то время как доступ к нему не был необходим. PD – множество запрошенных прав доступа, PP – множество предоставленных прав доступа


Слайд 12

Сравнение различных схем В качестве примера для сравнения приведем две схемы. В первой схеме используются группы пользователей, во второй группы отсутствуют.


Слайд 13

Зависимость сложности администрирования от количества пользователей При наличии групп сложность администрирования значительно ниже.


Слайд 14

Зависимость вычислительной сложности от количества пользователей В схеме с группами вычислительная сложность выше.


Слайд 15

Зависимость сложности администрирования от количества ресурсов Наличие наследования ресурсов так же существенно снижает сложность администрирования, как и наличие групп пользователей. Сравним две другие схемы. В первой присутствует наследование ресурсов, во второй – нет.


Слайд 16

Зависимость вычислительной сложности от количества ресурсов Вычислительная сложность при наличии наследования значительно выше, чем без наследования ресурсов.


Слайд 17

Имитационная модель Для подтверждения результатов аналитической модели была разработана имитационная модель, эмулирующая различные схемы. В ходе имитации был подтвержден характер зависимостей, проанализированных в аналитической модели.


Слайд 18

Спасибо за внимание! Новгородский государственный университет www.novsu.ru Докладчик: Курмышев Николай Васильевич, к.т.н., проректор по НИТ НовГУ, Тел. +7 (8162) 62 72 18 E-mail: Nikolai.Kurmishev@novsu.ru


×

HTML:





Ссылка: