Nghiên cứu kiểm soát truy cập dựa trên phân vai và ứng dụng (tt)

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG
---------------------------------------

Bùi Văn Tâm

NGHIÊN CỨU KIỂM SOÁT TRUY CẬP DỰA TRÊN PHÂN VAI
VÀ ỨNG DỤNG

Chuyên ngành: Truyền dữ liệu và mạng máy tính
Mã số: 60.48.15

TÓM TẮT LUẬN VĂN THẠC SĨ

HÀ NỘI - 2012


2

Luận văn được hồn thành tại:
HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG

Người hướng dẫn khoa học: PGS.TS Nguyễn Linh Giang

Phản biện 1: TS Nguyễn Phương Thái
Phản biện 2: PGS. TS Đặng Văn Chuyết

Luận văn sẽ được bảo vệ trước Hội đồng chấm luận văn thạc sĩ tại Học viện Cơng
nghệ Bưu chính Viễn thơng
Vào lúc:

11 giờ 10, ngày 20 tháng .01 năm 2013.

Có thể tìm hiểu luận văn tại:
- Thư viện của Học viện Cơng nghệ Bưu chính Viễn thông


3

I. MỞ ĐẦU
1. Lý do chọn đề tài
Ngày nay, với sự phát triển không ngừng, vượt bậc của khoa học máy tính nói riêng và
cơng nghệ thơng tin nói chung đặc biệt là hệ thống mạng toàn cầu, các dịch vụ truy cập tài
nguyện, quản trị từ xa dễ dàng và phong phú được sử dụng một cách nhanh chóng và tin
cậy. Tuy nhiên, việc truy cập mạng và sử dụng tài nguyên nói chung từ những mạng nhỏ
như LAN, MAN cho đến những mạng lớn như WAN, Internet đòi hỏi người quản trị phải
có sự phân định rõ ràng về quyền hạn sử dụng của mỗi người dùng được phép truy cập hệ
thống và tài nguyên mạng. Vấn đề sẽ đơn giản nếu hệ thống mạng vừa và nhỏ, việc quản
trị sẽ dễ dàng hơn khi quản trị viên tạo và cấp quyền người dùng một cách cụ thể với số
lượng ít, nhưng một trong những vấn đề thách thức nhất trong việc quản lý các mạng lớn là
sự phức tạp của an ninh trong việc truy cập hệ thống cũng như tài nguyên chia sẻ. Như vậy
bện cạnh sự phát triển của các hệ thống mạng lớn với sự dồi dào của tài nguyên chia sẻ
cũng như truy cập hệ thống mọi lúc, mọi nơi thì cũng ln ln gặp phải những khó khăn
mà nó mang lại như khơng kiểm sốt được người dùng truy cập hệ thống mạng, An ninh hệ
thống có thể tốn kém và dễ bị lỗi bởi vì các quản trị viên thường chỉ định các danh sách
kiểm soát truy cập cho mỗi người dùng trên hệ thống cá nhân, vơ hình chung tạo điều kiện
cho Hacker tấn cơng phá hoại mạng.
Kiểm sốt truy cập dựa trên vai trò – Role-Based Access Control (RBAC cịn gọi là
bảo mật dựa trên phan vai), chính thức hóa vào năm 1992 bởi David Ferraiolo và Rick
Kuhn, đã trở thành mơ hình chủ yếu để kiểm sốt truy cập tiên tiến, vì nó làm giảm chi phí
quản trị. Ngày nay, hầu hết các nhà cung cấp công nghệ thơng tin đã kết hợp RBAC vào
dịng sản phẩm của họ, và cơng nghệ đang tìm kiếm các ứng dụng trong các lĩnh vực khác

nhau, từ chăm sóc y tế, quốc phịng, ngồi các hệ thống thương mại chính thống mà nó
được thiết kế. Đến năm 2010, đa số các doanh nghiệp có số lượng người dùng từ 500 hoặc
nhiều hơn đều sử dụng RBAC. Với RBAC, an ninh được quản lý ở một mức độ tương ứng
chặt chẽ với cấu trúc của tổ chức. Mỗi người sử dụng được chỉ định một hoặc nhiều quyền
hạn, và mỗi quyền được phân công một hoặc nhiều đặc quyền cho phép người sử dụng
trong quyền đó. An ninh hệ thống với RBAC bao gồm xác định các hoạt động phải được
thực hiện bởi người dùng trong công việc cụ thể, và nhân viên với vai trị thích hợp. Phức
tạp được giới thiệu bởi hai bên vai trò độc quyền hoặc phân cấp vai trò được xử lý bởi các
phần mềm RBAC, an ninh quản lý dễ dàng hơn.
2. Mục đích nghiên cứu
Truy cập là khả năng làm một cái gì đó với một nguồn tài nguyên máy tính (ví dụ, sử
dụng, thay đổi, hoặc xem). Kiểm soát truy cập là phương tiện có khả năng được rõ ràng


4

cho phép hoặc hạn chế một cách nào đó (thường là thông qua điều khiển vật lý và dựa trên
hệ thống). Kiểm sốt truy cập dựa trên máy tính có thể quy định khơng chỉ những người
hoặc những q trình có thể có quyền truy cập vào tài nguyên hệ thống cụ thể, mà còn truy
cập được phép. Những điều khiển này có thể được thực hiện trong hệ thống máy tính hoặc
trong các thiết bị bên ngồi.
Với kiểm sốt truy cập dựa trên vai trò, quyết định truy cập dựa trên vai trò mà người
dùng cá nhân như là một phần của một tổ chức. Người dùng có vai trò được giao (chẳng
hạn như y tá, bác sĩ, nhân viên giao dịch, quản lý). Quá trình xác định vai trị cần phải được
dựa trên một phân tích tồn diện của một tổ chức hoạt động như thế nào và nên bao gồm
đầu vào từ một phổ rộng của người sử dụng trong một tổ chức.
Quyền truy cập được nhóm lại theo tên vai trò, và việc sử dụng các nguồn lực bị hạn
chế cho các cá nhân có thẩm quyền đảm nhận vai trị liên quan. Ví dụ, trong một hệ thống
bệnh viện về vai trò của bác sĩ có thể bao gồm các hoạt động để thực hiện chẩn đốn, kê
toa thuốc, và phịng thí nghiệm để kiểm tra và vai trị của nhà nghiên cứu có thể được giới

hạn để thu thập những thông tin lâm sàng cho các nghiên cứu.
Kiểm soát truy cập dựa trên vai trị (RBAC) là một tính năng bảo mật cho người dùng
truy cập kiểm sốt với nhiệm vụ mà thơng thường sẽ được hạn chế quyền đến thư mục
gốc. Bằng cách áp dụng các thuộc tính bảo mật cho các quy trình và cho người dùng,
RBAC có thể phân chia khả năng siêu người dùng nhiều trong số các quản trị viên. Quy
trình quản lý quyền được thực hiện thơng qua các đặc quyền
Vì thế, việc sử dụng vai trị kiểm soát truy cập sẽ là một phương tiện hiệu quả để phát
triển và thực thi các chính sách bảo mật doanh nghiệp cụ thể, và tinh giản quá trình quản lý
hệ thống.
3. Đối tượng và phạm vi nghiên cứu
Tập trung nghiên cứu và đánh giá các kỹ thuật RBAC trong các hệ thống mạng của các
doanh nghiệp vừa và nhỏ (số lượng người dùng từ 500 trở lên) sử dụng các hệ thống Server
trên nền tảng hệ điều hành Windows Server hoặc Linux.
4. Phương pháp nghiên cứu
Kết hợp các nghiên cứu trước đây về kỹ thuật RBAC trong các tài liệu chuyên ngành
và các phương pháp sử dụng RBAC trong các hệ thống mạng lớn để kiểm nghiệm và ứng
dụng trên nền tảng hệ điều hành Windows Server hoặc Linux


5

II. NỘI DUNG

CHƯƠNG 1. TỔNG QUAN VỀ BÀI TOÁN KIỂM SỐT
TRUY CẬP
1.1.

Các khái niệm và bài tốn kiểm sốt truy cập

Access Control hay kiểm soát truy cập, được chia thành 2 thành phần là

Access và Control. Access được biết đến như việc truy cập các tài nguyên của
một chủ thể (Subject) tới một đối tượng (Object), Control được biết đến là hành
động cho phép hoặc không cho phép truy cập, cũng như các phương thức áp
dụng cho Access Control.
Một chủ thể (Subject) có thể là Users, Program, Service…và đối tượng
(Object) có thể là File, Database, hay một Service nào đó; việc xác định chủ thể
để cấp cho quyền hạn truy cập vào đối tượng là công việc chủ yếu của Access
Control. Áp dụng Access Control vào trong cuộc sống rất nhiều, và cũng có rất
nhiều mơ hình dựng nên cho Access Control này.
Xem xét một số ví dụ về Access Control, khóa cửa là một cách thức áp dụng
Access Control vì chỉ có người có chìa khóa (Subject) mới có thể mở khóa và sử
dụng phịng (Object). Ở ví dụ này, người là chủ thể, khóa và chìa khóa là
phương thức áp dụng, còn phòng là đối tượng.
Việc xác định chủ thể (Subject) thường được biết đến với cái tên là Identify,
có nhiều cách để định danh, nhận diện, giữa các chương trình với nhau có thể sử
dụng các PID (Process ID), cũng có thể dựa trên Username, hoặc một Biometric
như giọng nói, vân tay … Việc này khơng khó, và dĩ nhiên để đảm bảo chính
xác là người đó thì cần phải kiểm chứng thơng qua một vài điều bí mật mà chỉ
có người đó mới biết, chẳng hạn như Password, PIN, Token, hoặc là Biometric
(Fingerprint), và lần này sẽ dùng những thơng tin đó cùng với thuật tốn, cách
thức xử lý để đối chiếu thông tin và ‘thẩm định’ có đúng người đó hay khơng.
Q trình này được gọi là Authentication, tức là chứng thực; chứng thực có thể
chỉ sử dụng một lần hoặc nhiều lần tùy thuộc chính sách và cũng có thể có nhiều
phương pháp, cách thức khác nhau.


6

Nói chung là có rất nhiều thủ thuật, từ việc trực tiếp sử dụng kỹ thuật hoặc
không cần đế kỹ thuật như Social Engineering là cách thức không cần nhiều đến

kỹ thuật, hoặc là khống chế người thân của ai đó để có được thơng tin mình cần
(nghe có vẻ bạo lực quá) hoặc là cài key-logger cho nó nhẹ nhàng và liên quan
tới kỹ thuật một tí.
Đó chính là lý do mà việc kiểm soát truy cập ra đời và kiểm soát cũng đi liền
với giám sát (bao gồm cả Monitoring và Recording, tức là cả Prevention lẫn
Detection).

1.2.

Thực tế chính sách, mơ hình và cơ chế kiểm sốt truy cập tại các
doanh nghiệp
Khi các doanh nghiệp ngày càng coi việc truy cập mạng ở khắp nơi là yếu tố

quan trọng đối với thành cơng của mình, thì họ nhanh chóng nhận ra rằng kiểm
sốt, bao qt và quản lý truy cập của các ứng dụng và người dùng là những
công cụ hữu hiệu để loại bỏ những nguy cơ rủi ro trước những tấn cơng cả bên
trong lẫn ngồi mạng. Tương tự, kiểm soát truy cập mạng đang ngày càng được
nâng cấp từ việc thiết lập những kiểm soát việc lúc đăng nhập, cho phép người
dùng Guest truy cập và đánh giá chính sách điểm cuối, tới thực thi một cách linh
hoạt các chính sách và kiểm sốt sau khi đăng nhập, quản lý truy cập ứng dụng
theo quyền cũng như bao quát và kiếm soát ứng dụng và mạng. Giải pháp Kiểm
soát truy cập hợp nhất - United Access Control (UAC) phiên bản 2.1 sẽ cải tiến
khả năng của giải pháp này để đáp ứng những yêu cầu về bảo mật và kiểm soát
truy cập ngày càng tăng của các doanh nghiệp kinh doanh trên nền mạng hiệu
suất cao. Giải pháp Kiểm soát truy cập hợp nhất sẽ giải quyết những vấn đề:
Cung cấp khả năng kiểm soát, báo cáo, quản lý truy cập của ứng dụng và người
dung; giải quyết triệt để vấn đề về tuân thủ quy định một cách hiệu quả hơn
trong khi loại bỏ được những rủi ro và nguy cơ tiềm ẩn trước những hình thái đe
dọa ngày càng tăng trong mơi trường mạng...Với việc tăng cường khả năng kiểm
soát truy cập đối với lưu lượng mạng bằng cách thực thi các chính sách bảo mật

rộng hơn và sâu hơn đối với lõi mạng và mạng vùng biên, UAC 2.1 sẽ loại bỏ


7

được những rủi ro liên quan đến nguy cơ mất an tồn thơng tin - một nguồn tài
ngun trọng yếu của doanh nghiệp trong môi trường kinh tế mạng ngày nay.

1.3.

Chính sách bảo mật hiện nay tại các tổ chức, cơ quan

Trong mơi trường kinh tế, chính trị, và xã hội ngày nay, giải quyết vấn đề an
ninh đang trở thành một điều cần thiết cốt lõi cho hầu hết, nếu không phải tất cả,
các tổ chức khách hàng đang địi hỏi nó như là mối quan tâm về sự riêng tư và
sự gia tăng hành vi trộm cắp danh tính. Đối tác kinh doanh, nhà cung cấp, và các
nhà cung cấp đang đòi hỏi từ những người khác, đặc biệt là khi cung cấp lẫn
nhau mạng và truy cập thông tin. Gián điệp thông qua việc sử dụng mạng để đạt
được cạnh tranh trí tuệ và tống tiền các tổ chức đang trở nên phổ biến hơn. Quốc
gia và các quy định quốc tế đang kêu gọi các tổ chức (và các nhà lãnh đạo của
họ) để chứng minh việc chăm sóc do liên quan đến an ninh.

CHƯƠNG 2. KIỂM SOÁT TRUY CẬP DỰA TRÊN PHÂN
VAI - RBAC
2.1.

Giới thiệu tổng quan, khái niệm RBAC

2.1.1. Vai trò và các khái niệm liên quan
Vai trò là một bộ sưu tập các quyền nhất định, nhiệm vụ và vị trí mơ tả tình

trạng trong tổ chức, các nhà phát triển tạo ra các vai trị theo các chức năng cơng
việc được thực hiện trong công ty hay tổ chức, cấp các quyền cho các vai trò này và
sau cùng là gán những người sử dụng vào các vai trò này dựa trên cơ sở trách nhiệm
và năng lực của công việc đặc thù đó.
Một vai trị có thể trình bày một nhiệm vụ cụ thể như là một vai trò bác sĩ hay
vai trò một nhà điều hành kinh doanh. Một vai trị bao gồm quyền và trách nhiệm
trong đó quyền và trách nhiệm được phân biệt rất rõ ràng. Một người có thể có
quyền quản lý nhiều phịng ban nhưng anh ta chỉ có trách nhiệm đối với phịng ban
cụ thể được quản lý. Các vai trị cũng có thể phản ánh trách nhiệm cụ thể được gán
vòng quanh qua nhiều người sử dụng, ví dụ như trách nhiệm của một bác sĩ hay một
nhân viên làm ca.


8

Các vai trò định nghĩa cả sự cho phép riêng biệt cụ thể để truy cập các tài
nguyên và quy mơ của các tài ngun được truy cập. Lấy ví dụ một vai trị người
điều hành có thể truy cập tất cả các tài ngun máy tính nhưng khơng thể thay đổi
các quyền truy cập của mình, hay một kiểm tốn viên chỉ có thể truy cập vào máy
tính để kiểm tra sổ sách. Các vai trò được sử dụng để quản trị hệ thống trong nhiều
hệ điều hành mạng như NetWare của Novell hay WindowNT của Microsoft.

2.1.2.

Các loại kiểm soát truy cập

2.1.2.1.

Kiểm soát truy cập bắt buộc - Mandatory Access Control
(MAC)

2.1.2.2.

Kiểm soát truy cập tùy quyền - Discretionary access
control (DAC)

2.1.2.3.

Kiểm sốt truy cập dựa trên phân vai (vai trị) – RoleBased Access Control (RBAC)

2.2.

Sự khác nhau giữa RBAC, MAC và DAC.

Những động lực chính đằng sau RBAC là khả năng xác định và thực thi
chính sách kiểm sốt truy cập trong doanh nghiệp một cách cụ thể và đơn giản hóa
q trình quản lý chun mơn của người đứng đầu. RBAC đại diện cho một tiến bộ
lớn trong sự linh hoạt và chi tiết kiểm soát từ các tiêu chuẩn hiện có của DAC và
MAC.

 MAC (Mandatory Access Control)
 DAC (Discretionary access control) .
 RBAC (Role-Based Access Control)
2.3.

Các tiêu chuẩn về RBAC do NIST đề xuất.

Tiêu chuẩn này mô tả các tính năng RBAC đã được chấp nhận trong thị
trường thương mại. Nó bao gồm một mơ hình tham chiếu và các chi tiết kỹ thuật
đặc tả chức năng cho RBAC được xác định trong mơ hình tham chiếu.

Tiêu chuẩn này bao gồm hai phần chính - mơ hình tham chiếu RBAC và hệ
thống RBAC với đặc tả chức năng quản trị.


9

Mơ hình tham chiếu RBAC định nghĩa tập hợp các yếu tố cơ bản RBAC (tức
là, users, roles, permissions, operations, and objects) và các loại quan hệ, các chức
năng được bao gồm trong tiêu chuẩn này. Mơ hình tham chiếu RBAC phục vụ hai
mục đích. Đầu tiên, mơ hình tham chiếu xác định phạm vi của tính năng RBAC
được bao gồm trong tiêu chuẩn. Xác định các thiết lập tối thiểu các tính năng bao
gồm trong tất cả các hệ thống RBAC, các khía cạnh của hệ thống phân cấp vai trị,
các khía cạnh của mối quan hệ ràng buộc tĩnh, và các khía cạnh của mối quan hệ
ràng buộc năng động. Thứ hai, mơ hình tham chiếu cung cấp một ngơn ngữ chính
xác và nhất qn, trong điều khoản của bộ phần tử và các chức năng để sử dụng
trong việc xác định các đặc tả chức năng.

2.3.1. Core RBAC (RBAC 0)

Hình 2. Mơ hình tổng qt Core RBAC


10

2.3.2. Role hierarchy

Hình 3. Mơ hình tổng qt Role hierarchy (RBAC 1)

2.3.2.1. General Role Hierarchies
2.3.2.2. Limited Role Hierarchies

2.3.3. Constrained RBAC
2.3.3.1. Các quan hệ Static SoD (SSD)
2.3.3.2. Các quan hệ Dynamic SoD (DSD)
2.3.4. RBAC 3
2.4. Quản lý truy cập phân vai trong RBAC
Trong an ninh đối với các hệ thống máy tính, điều khiển truy cập trên cơ sở
vai trị (RBAC) là một trong số các phương pháp điều khiển và đảm bảo quyền sử
dụng cho người dùng. Đây là một phương pháp có thể thay thế điều khiển truy cập
tùy quyền (discretionary access control - DAC) và điều khiển truy cập bắt buộc
(mandatory access control - MAC).
Điều khiển truy cập dựa trên cơ sở vai trò (RBAC) khác với các hình thức điều
khiển truy cập tùy quyền – DAC và điều khiển truy cập bắt buộc – MAC. DAC và
MAC trước đây là hai mơ hình duy nhất được phổ biến trong điều khiển truy cập.
Nếu một hệ thống không dùng DAC thì người ta chỉ có thể cho rằng hệ thống đó
dùng MAC mà khơng có lựa chọn thứ ba. Song sau những cuộc nghiên cứu vào
những năm 90 đã cho thấy RBAC không phải là DAC hay MAC.


11

Trong nội bộ một tổ chức, các vai trò (role) được kiến tạo để đảm nhận các
chức năng công việc khác nhau. Mỗi vai trò được gắn liền với một số quyền hạn
(permissions) cho phép nó thao tác một số hoạt động cụ thể. Các thành viên trong
lực lượng cán bộ công nhân viên (hoặc những người dùng trong hệ thống) được
phân phối một vai trò riêng, và thong qua việc phân phối vai trò này mà họ tiếp thu
được một số những quyền hạn cho phép họ thi hành những chức năng cụ thể trong
hệ thống.
Vì người dùng khơng được cấp phép trực tiếp, mà chỉ tiếp thu được quyền hạn
thơng qua vai trị của họ (hoặc các vai trò), việc quản lý quyền hạn của người dùng
trở thành một việc khá đơn giản, và người ta chỉ cần chỉ định những vai trị thích

hợp cho người dùng mà thơi. Việc chỉ định vai trị này đơn giản hóa những công
việc thông thường như việc cho thêm một người dùng vào trong hệ thống, hay đổi
phịng cơng tác (department) của người dùng.

Hình 8. Điểm khác biệt giữa RBAC và các mơ hình truyền thống


12

CHƯƠNG 3. MƠ HÌNH RBAC TRONG HỆ THỐNG
INTRANET CỦA CÁC TỔ CHỨC, DOANH
NGHIỆP
3.1.
3.1.1.

Công nghệ RBAC và XML
Giới thiệu

Extensible Markup Language (XML) [8] có nguồn gốc như là một tài liệu
ngơn ngữ đánh dấu, nhưng các công cụ và tiêu chuẩn API xác định xung quanh
nó đã tăng cường rất nhiều tiềm năng cho các ứng dụng khác. Như một ngôn
ngữ đánh dấu tài liệu, XML có thể được phân biệt với HTML (ngôn ngữ đánh
dấu được sử dụng rộng rãi nhất cho các ứng dụng web) trong các thiết lập tùy
biến các thẻ cung cấp (có thể truyền đạt ngữ nghĩa của dữ liệu đại diện) so với
các từ khóa cố định thiết lập của HTML. Do đó một tài liệu XML có thể cung
cấp một đại diện hợp lý của nội dung dữ liệu của nó. Tổ chức hợp lý của bản
thân các thẻ, được sử dụng trong một tài liệu XML, được cung cấp trong một tài
liệu riêng biệt được gọi là Document Type Definition hoặc DTD.
Các công cụ phần mềm thương mại được gọi là bộ vi xử lý XML đã được xây
dựng để phân tích một tài liệu XML và tạo ra một cấu trúc dữ liệu có nội dung

sau đó có thể truy cập bởi các chương trình ứng dụng được viết bằng ngơn ngữ
như C + + hoặc Java.
Khả năng xử lý nội dung tài liệu XML bằng các chương trình ứng dụng với sự
giúp đỡ của các API tiêu chuẩn hóa mở ra khả năng XML được sử dụng cho
nhiều ứng dụng bên cạnh việc đánh dấu tài liệu. Một số các ứng dụng này là:
 Sử dụng XML để mô tả các metacontent các tài liệu về các tài nguyên trên
mạng để họ có thể được sử dụng bởi các cơng cụ tìm kiếm
 Sử dụng XML để xuất bản và trao đổi nội dung cơ sở dữ liệu, và
 Sử dụng XML như một định dạng tin nhắn để giao tiếp giữa các chương
trình ứng dụng. Cụ thể, XML đang được xem xét như là một thay thế công


13

nghệ EDI hoặc như là một công nghệ hỗ trợ cho việc cung cấp linh hoạt hơn
hệ thống truyền thông tin dựa trên EDI.

3.1.2.

So sánh với các công việc liên quan

Cơng việc mà có thể so sánh với các kỹ thuật thực hiện dựa trên XML được
nêu trong bài báo này là dự án MIX [4]. Dự án MIX đã tập trung vào việc lập
bản đồ các DTD XML để các lược đồ quan hệ cũng như phát sinh các DTD ứng
cử viên cho lược đồ quan hệ. Các công việc được nêu ở đây liên quan đến yêu
cầu chế biến phức tạp hơn nhiều (bằng cách sử dụng DOM API và một số
phương pháp độc quyền) hơn so với các kỹ thuật giản đồ bản đồ đơn giản nêu
trong MIX. Điều này là do những lý do đã nêu ở trên - rằng RBAC dựa trên dữ
liệu điều khiển truy cập không phải là một ứng dụng dữ liệu nằm dưới một mối
quan hệ được chỉ định nhưng được phân phối trên một số bảng hệ thống DBMS

mà không thể trực tiếp cập nhật.

3.2.

Tích hợp RBAC với cơ sở hạ tầng IT

Phần này thảo luận về các khái niệm và nguyên mẫu nghiên cứu có liên quan
đã được phát triển để tích hợp các khái niệm mơ hình RBAC vào doanh nghiệp
hiện có cơ sở hạ tầng CNTT. Sự lựa chọn của chúng ta về công nghệ dưới sự
quản lý của doanh nghiệp cơ sở hạ tầng CNTT được thúc đẩy bởi sự thành công
đã đạt được cho đến nay trong hội nhập RBAC vào các khối xây dựng của các
công nghệ này. Các công nghệ đã xem xét bao gồm WFMSs, các ứng dụng web,
hệ điều hành UNIX, hệ thống tập tin phân phối hoặc hệ thống tập tin mạng
(NFSs), Java, và hệ thống cơ sở dữ liệu liên (FDBS)..
Do điều kiện có hạn của luận văn, xin trình bày về RBAC trong Workflow
Manager Systen để minh họa việc ứng dụng RBAC với cơ sở hạ tầng trong các
doanh nghiệp hiện nay
WFMSs (Workflow Management System) là những hệ thống quản lý được
sử dụng để hỗ trợ (phối hợp và xử lý) các quy trình quản lý, phân cơng nhiệm
vụ, công việc trong lĩnh vực ứng dụng khác nhau như: giáo dục, tài chính, ngân
hàng, y tế, viễn thơng, và sản xuất.


14

WFMSs bao gồm một tập hợp các hoạt động được thực hiện theo một thứ tự
được xác định trước.Như vậy, kiểm sốt truy cập trở thành một phần khơng thể
thiếu trong việc ban hành một quy trình làm việc. Mỗi hoạt động đòi hỏi các
hoạt động đặc quyền truy cập mà được giới hạn người dùng được ủy quyền
những người tham gia vào các hoạt động đó. Hơn nữa, các hoạt động đặc quyền

được phép cho người sử dụng có thể thay đổi như một quy trình làm việc được
xử lý.. Yêu cầu như vậy để quản lý truy cập như các tiến bộ công việc cho thấy
việc sử dụng cơ chế kiểm sốt truy cập RBAC cũng có thể được sử dụng như
một phương tiện nhằm bảo đảm rằng các hoạt động tạo nên một công việc được
thực hiện theo đúng trình tự. Sau đây này trình bày một quá trình cho việc ban
hành các WFMSs bằng cách sử dụng RBAC. Q trình này cung cấp kiểm sốt
truy cập không chỉ cho từng hoạt động trong một WFMSs mà cịn là trình tự
thích hợp của các hoạt động theo quy định trong quá trình định nghĩa cho quá
trình kinh doanh, quy trình làm việc tự động hóa

3.2.1. Về RBAC
 Access Control: Kiểm sốt truy cập - Q trình truy cập hạn chế các nguồn
tài nguyên của một hệ thống chỉ có thẩm quyền, chương trình, quy trình hoặc
các hệ thống khác trong một mạng
 Objects: Đối tượng - Một thực thể thụ động có chứa hoặc nhận được thơng
tin
 Permissions: Quyền - Một mô tả của các loại tương tác được ủy quyền một
chủ đề có thể có với một object

 Resource: Tài nguyên - Bất cứ điều gì được sử dụng hoặc tiêu thụ trong khi
thực hiện một chức năng. Các loại tài nguyên là thời gian, thông tin, các đối
tượng, hoặc bộ vi xử lý.
 Role: Vai trị - Một chức năng cơng việc trong một tổ chức mô tả quyền hạn
và trách nhiệm được trao cho một người sử dụng được giao vai trò. Ở đây,
vai trò hạn cũng đề cập đến một sự trừu tượng mà được tạo ra để xác định
các chức năng của một hoạt động trong vịng một q trình kinh doanh.


15

 Session: Phiên - Một ánh xạ giữa một người dùng và tập hợp con một kích
hoạt của các thiết lập vai trò mà người dùng được gán.


Subject: Tiêu đề - Một thực thể hoạt động, thường ở dạng của một người,
quy trình, hoặc thiết bị, gây ra các thơng tin chảy giữa các đối tượng hoặc
thay đổi hệ thống nhà nước.



User: Người sử dụng - Bất kỳ người nào tương tác trực tiếp với một hệ thống
máy tính. Ở đây, thuật ngữ người sử dụng cũng đề cập đến một q trình
máy tính mà có thể hoặc có thể không đại diện cho một người.

3.2.2. Về WFMSs
 Activity - Hoạt động: mơ tả một phần cơng việc hình thành bước đi hợp lý
trong một quá trình. Một hoạt động thường là đơn vị nhỏ nhất của công việc
được lên kế hoạch bởi một quy trình cơng việc trong q trình ban hành.
 AND-Split: Một điểm trong quy trình làm việc, nơi kiểm soát chia tách một
chủ đề duy nhất thành hai hoặc nhiều hoạt động song song.
 AND-Join: Một điểm trong quy trình làm việc, hai hoặc nhiều hơn các hoạt
động thực hiện song song hội tụ duy nhất vào một kiểm soát chủ đề chung.
 Buisiness Process: Một tập hợp của một hay nhiều thủ tục liên kết, hoạt động
chung nhận ra một mục tiêu kinh doanh, mục tiêu chính sách, thường là
trong bối cảnh của một cơ cấu tổ chức xác định vai trò, chức năng và các mối
quan hệ
 Invoked Application: Một ứng dụng gọi là một ứng dụng công việc được gọi
bởi hệ thống quản lý cơng việc để tự động hóa một hoạt động, toàn bộ hoặc
một phần, hoặc để hỗ trợ một người tham gia công việc trong thiết kê một
mục công việc

 Parallel Routing: Một phân đoạn của một trường hợp quá trình được ban
hành bởi một hệ thống quản lý cơng việc, trong đó hai hoặc nhiều trường hợp
hoạt động được thực hiện song song trong quy trình làm việc, tạo ra nhiều đề
kiểm soát


16

 Process Definition: Sự hiện diện của một quá trình kinh doanh trong một
hình thức hỗ trợ thao tác tự động, chẳng hạn như mơ hình, hoặc ban hành bởi
một hệ thống quản lý cơng việc. Định nghĩa q trình bao gồm một mạng
lưới các hoạt động và các mối quan hệ của họ, tiêu chuẩn để chỉ bắt đầu và
chấm dứt của q trình, và thơng tin về các hoạt động cá nhân, như một
người tham gia, liên quan đến các ứng dụng và dữ liệu
 Siquential Routing Một phân đoạn của một trường hợp quá trình được ban
hành bởi một hệ thống quản lý cơng việc, trong đó một số hoạt động được
thực hiện theo thứ tự theo một chủ đề duy nhất.
 Workflow: Việc tự động hóa của một q trình kinh doanh, tồn bộ hoặc một
phần, trong đó các tài liệu, thơng tin hoặc các nhiệm vụ được thông qua từ
một trong những người tham gia khác để hành động, theo một tập hợp các
quy tắc tố kiểm tra.
 Workflow Managerment System: Một hệ thống định nghĩa, tạo ra và quản lý
việc thực hiện các quy trình cơng việc thơng qua việc sử dụng các phần
mềm, chạy trên một hoặc nhiều quy trình cơng việc, có khả năng để giải
thích q trình định nghĩa, tương tác với người tham gia công việc và nếu
cần, gọi việc sử dụng các công cụ CNTTvà các ứng dụng

3.2.3. Mô tả quy trình
Trong một hệ thống hỗ trợ RBAC, vai trò là phương tiện mà truy cập
vào một tài nguyên được xác định. RBAC, truy cập vào một nguồn tài

nguyên bởi một người dùng được phép chỉ khi:
 Sự cho phép cần thiết để truy cập vào các nguồn tài nguyên được giao cho
một vai trò.
 Vai trò được gán cho người dùng yêu cầu truy cập vào các nguồn tài ngun:
 Vai trị đó được kích hoạt trong phiên làm việc của người sử dụng
Ngồi vai trị sử dụng để kiểm sốt truy cập, một vai trị có thể được dùng để
chỉ tập hợp các hoạt động để cho phép kết hợp với vai trị đó cấp truy cập. Một


17

số triển khai của RBAC làm cho việc sử dụng của khái niệm này bằng cách trình
bày vai trị như là một sự lựa chọn menu cho người sử dụng
Vai trị có thể được sử dụng theo cách khác. Bởi vì một vai trị là phương
tiện mà truy cập vào một nguồn tài nguyên có thể được thi hành, chuyển nhượng
một sự cho phép để thực hiện một hoạt động và loại bỏ các chuyển nhượng như
vậy có thể được sử dụng như là một phương tiện để một chuỗi tập hợp các hoạt
động. Trình tự của các hoạt động là hành vi cơ bản cần thiết để hỗ trợ cơng việc.
Như vậy, một cơ chế RBAC có thể được sử dụng như một phương tiện để thực
hiện công việc.

3.3.

Trung tâm quản lý bảo mật sử dụng RBAC

Nhiều tổ chức vẫn còn phụ thuộc vào từng cá nhân, dựa trên sử dụng cơ chế
quản lý danh tính được xây dựng vào hệ thống điều hành và các ứng dụng phần
mềm riêng. Tuy nhiên, khi số lượng người sử dụng và gia tăng các ứng dụng, hỗ
trợ một hệ thống như vậy trở nên tốn thời gian, khó sử dụng và tốn kém. Người
dùng nhanh chóng trở thành thất vọng bởi sự cần thiết phải nhớ nhiều mật khẩu.

Điều cần thiết là một thấp bảo trì hệ thống mà tự động hóa quản lý thường xun
và kiểm sốt truy cập trên mạng để rằng bảo mật dữ liệu được đảm bảo. Một lựa
chọn là kiểm soát truy cập dựa trên vai trị (RBAC). Trong khi RBAC có thể
được thử thách để thiết kế và thực hiện, nó có thể được thiết kế theo mơ hình
kinh doanh của cơng ty và chấp nhận rủi ro an ninh. Sau khi thực hiện, quy mơ
cho sự tăng trưởng và địi hỏi bảo trì tối thiểu, mà đi một chặng đường dài
hướng tới việc ngăn chặn làn sóng các chi phí CNTT.: an ninh, kinh doanh, giá
trị cao chi phí bảo dưỡng thấp và hiệu quả tăng lên là một trong những lợi ích
chính của RBAC như là một chiến lược an ninh cho các tổ chức vừa và lớn.
Dưới đây là cách hoạt động: Khi tất cả những vai trò nhân viên được phân bổ
vào các cơ sở dữ liệu, quy tắc được xây dựng dựa trên vai trị và mơ-đun động
cơ cơng việc được thực hiện. Qua những yếu tố, đặc quyền dựa trên vai trị có
thể được nhập vào và cập nhật một cách nhanh chóng trên nhiều hệ thống, nền
tảng, ứng dụng và vị trí địa lý - ngay từ nhân sự hoặc quản lý máy tính để bàn.


18

Bằng cách kiểm soát truy cập của người sử dụng theo vai trị của họ và các thuộc
tính gắn liền với những vai trị, mơ hình RBAC cung cấp một q trình kiểm
sốt tồn cơng ty để quản lý các tài sản CNTT trong khi vẫn duy trì mức độ
mong muốn của an ninh. Tuy nhiên, hệ thống RBAC cũng có thể được thiết kế
để tối đa hóa hiệu suất hoạt động và giá trị chiến lược kinh doanh. Họ có thể sắp
xếp và tự động hóa các giao dịch và quy trình kinh doanh và cung cấp cho người
dùng với các nguồn lực để thực hiện công việc của họ tốt hơn, nhanh hơn và có
trách nhiệm cá nhân lớn hơn. Với một hệ thống RBAC tại chỗ, tổ chức được vị
trí tốt hơn để đáp ứng yêu cầu riêng của họ theo các quy định bảo mật thông tin
và bảo mật, đó là rất quan trọng cho các tổ chức chăm sóc sức khỏe và các tổ
chức tài chính, cũng như các yêu cầu áp đặt bởi đối tác kinh doanh bên ngồi và
các cơ quan chính phủ. Giám đốc, các nhà quản lý và nhân viên IT có khả năng

tốt hơn để giám sát cách dữ liệu đang được sử dụng và truy cập, với mục đích
chuẩn bị lập kế hoạch chính xác hơn và các mơ hình ngân sách dựa trên nhu cầu
thực sự. RBAC cũng làm giảm dịch vụ và chi phí hành chính nội bộ cũng như
bên ngoài, nếu tổ chức lựa chọn để cấp quyền truy cập dựa trên vai trò để chọn
các cử tri bên ngoài như tư vấn, đối tác kinh doanh, các nhà cung cấp và khách
hàng. Nhập nhân viên mới trở nên nhanh hơn và dễ dàng hơn, cũng như "khoá
cứng" của các tài khoản khi nhân viên ra khỏi nơi làm việc. Và nhân viên thường
tìm thấy rằng việc xây dựng trong tự động hóa q trình của hệ thống RBAC
làm tăng hiệu quả và năng suất của họ bằng cách loại bỏ hầu hết tính dự phịng
và các cơng việc hành chính mindless cần thiết theo u cầu của các hệ thống an
ninh trước đây "bị bưng bít"


19

CHƯƠNG 4. ỨNG DỤNG RBAC TẠI TRƯỜNG CAO ĐẲNG
NGHỀ GTVT TW 2
Trong chương này sẽ tập trung vào việc thiết kế một ứng dụng minh họa việc
triển khai mơ hình RBAC vào cài đặt thực tế để quản lý và điều khiển truy cập. Ứng
dụng này sẽ tập trung vào việc mô tả và cài đặt những chức năng cơ bản nhất mà
một hệ thống RBAC phải có. Các chức năng này bao gồm : chức năng quản lý các
vai trò, quản lý người sử dụng, quản lý các đối tượng và quyền thực thi trên các đối
tượng này, quản lý các đặc quyền của các vai trò.
Trong hệ thống mạng tại trường Cao Đẳng Nghề GTVT TW II, với mơ hình
quản lý mạng - Domain sử dụng Windows Server 2008, công cụ Active Directory
đem tới các phương tiện quản lý thông tin nhận dạng và các mối quan hệ cấu thành
nên hệ thống mạng trong một tổ chức. Active Directory cung cấp những tính năng
sẵn có cần thiết để cấu hình và quản trị hệ thống, người dùng và các thiết lập ứng
dụng một cách tập trung. Với Active Directory, ta có thể đơn giản hóa việc quản lý
người dùng và máy tính, cho phép truy cập SSO (Single sign-on) tới các tài nguyên

mạng, và giúp cải thiện tính riêng tư cũng như mức độ bảo mật của thông tin đã lưu
cũng như của các q trình truyền thơng. cho phép các quản trị viên để quản lý
quyền truy cập vào tất cả các đối tượng, tài nguyên mạng.
Bên cạnh đó Active Directory cịn cung cấp một cơng cụ Authorization
Manager (AzMan) nhằm kiểm soát việc truy cập các ứng dụng trên mạng, giúp
quản trị viên quản lý dễ dàng và trực quan hơn về các ứng dụng của hệ thống.
AzMan là một kiểm soát truy cập dựa trên vai trị (RBAC), cung cấp một cơng cụ
quản trị để quản lý các chính sách cấp phép và thời gian chạy, cho phép truy cập các
ứng dụng để thực hiện kiểm tra truy cập trái phép. AzMan công cụ quản trị
(AzMan.msc) được cung cấp như một Microsoft Management Console (MMC)
snap-in.
Việc cài đặt mơ hình RBAC sao cho đảm bảo được mọi yêu cầu như: xử lý các
ràng buộc, các xung đột quyền lợi, kiểm tra hiệu năng… mà lý thuyết đã chỉ ra là
một việc khơng hề đơn giản, địi hỏi nhiều thời gian và công sức cũng như kinh


20

nghiệm. Trong khuôn khổ của luận văn này sẽ cố gắng làm sáng tỏ hơn các khái
niệm vai trò (role), các quyền (permission), hay các phiên làm việc (session).thông
qua hai ứng dụng thực tế nhất hiện nay tại trường Cao đẳng nghề GTVT TW II

4.1.

Phân tích tác nhân của RBAC đến hạ tầng IT

4.1.1. Ứng dụng RBAC trên Active Directory
Phương pháp tiếp cận: có ba cách tiếp cận có thể là: từ dưới lên, từ trên
xuống, và kết hợp
 Các bước trong kịch bản

Bước 1: Xác định và sử dụng mơ hình các kịch bản
Bước 2: Rút ra được quyền truy cập theo các kịch bản
Bước 3: Xác định hạn chế
Bước 4: Tinh chỉnh kịch bản
Bước 5: Xác định nhiệm vụ và hồ sơ công việc
Bước 6: Xác định sơ bộ vai trò hệ thống phân cấp
Bước 7: Xác định mơ hình RBAC
4.1.2. Ứng dụng trên Web services

4.2.

Xây dựng mơ hình RBAC tại trường Cao đẳng nghề GTVT TW 2

4.2.1. Ứng dụng với Active Directory
Kịch bản quản trị vai trò: Di chuyển sinh viên vào một vai trò hạn chế
4.2.2. Ứng dụng trên Web services
4.2.2.1.

Cài đặt và thử nghiệm
Các chức năng chính của chương trình

 Quản lý các vai trị và người sử dụng
 Chức năng quản lý các đặc quyền


Chức năng quản lý các miền đối tượng

4.2.2.2.

Kiểm thử

4.2.2.3.

Kết quả đạt được khi hồn thành chương trình

4.2.2.4.

Những hạn chế của chương trình

4.2.2.5.

Hướng phát triển chương trình trong tương lai


21

KẾT LUẬN VÀ KIẾN NGHỊ
Điều khiển truy cập (access control) là một khái niệm khơng hề mới mẻ, nó là
khái niệm được hình thành từ thuở sơ khai của ngành cơng nghiệp máy tính. Tuy
nhiên đây vẫn là một thách thức và gây nhiều tranh cãi trong giới chuyên môn. Một
vấn đề mà tất cả các nhà phát triển đều quan tâm là làm sao tìm ra được một mơ
hình điều khiển truy cập tối ưu nhất, có thể quản lý người dùng và truy cập của họ
một cách khoa học nhất nhằm hạn chế tối đa những xâm phạm bất hợp pháp vào tài
nguyên của hệ thống. Hai mô hình tiền nhiệm của RBAC là MAC và DAC đã phần
nào giải quyết được những vấn đề trên, tuy nhiên sự giải quyết đó là chưa tồn diện
và cịn nhiều khiếm khuyết. Cho đến khi mơ hình RBAC ra đời, giới chuyên môn đã
thực sự bị thuyết phục bởi ưu điểm của mơ hình này. RBAC gắn liền với khái niệm
vai trò (role) và cho đến ngày nay RBAC đang là một mơ hình được áp dụng rộng
rãi nhất khơng chỉ trong các ứng dụng mà còn trong những hệ thống điều hành lớn
như các hệ điều hành mạng Windowns NT của Microsoft, NetWare của Novell, hay

hệ điều hành Sun Solaris của Sun micro system.
Sau một thời gian nỗ lực nghiên cứu và học hỏi, đến nay tơi đã hồn thành
khóa luận và đạt được những kết quả sau đây:
1. Đã tìm hiểu một cách khái qt về các mơ hình điều khiển truy cập,
đánh giá được điểm mạnh và điểm hạn chế của từng mơ hình.
2. Đã tìm hiểu ở mức độ cơ bản họ các mơ hình điều khiển truy cập trên
cơ sở vai trò RBAC.
3. Đã phân tích và thiết kế hồn thiện cơng cụ hỗ trợ bằng ngơn ngữ mơ
hình hóa UML.
4. Hồn thành việc cài đặt cơng cụ hỗ trợ bằng ngơn ngữ lập trình PHP
trên nền hệ điều hành nguồn mở Ubuntu sử dụng Apache webserver và
cơ sở dữ liệu MySql.


22

Tuy nhiên do hạn chế về mặt thời gian nghiên cứu, luận văn khó tránh khỏi
những khiếm khuyết kể cả về mặt lý thuyết lẫn việc phân tích và thiết kế công cụ hỗ
trợ. Những mặt hạn chế này bao gồm:
1. Mới chỉ tìm hiểu ở mức độ cơ bản về họ các mơ hình RBAC
2. Trong q trình phân tích, thiết kế và cài đặt cơng cụ hỗ trợ, chưa đặc tả
được các chức năng quản trị cao cấp của RBAC như: sự kế thừa các vai
trò, sự xung đột về lợi ích của người sử dụng khi họ ở trong hai vai trò
đối lập nhau, các ràng buộc SSD, DSD, và các phiên làm việc.
Trong tương lai, tôi sẽ tiếp tục mở rộng đề tài này theo hướng nghiên cứu
chun sâu hơn về họ các mơ hình RBAC, các xung đột quyền hạn. Phân tích, thiết
kế và cài đặt thêm các chức năng cao cấp của RBAC vào cơng cụ hỗ trợ cũng như
cách tích hợp mơ hình điều khiển truy cập RBAC trong một hệ thống thông tin hiện
đại.