基于属性的DDS访问控制机制研究.pdfVIP

摘要

数据分发服务（DataDistributionService,DDS）是以数据为中心的分布式实时通信

中间件标准，具备松耦合、高效可靠、可扩展等特性，可实现高效、安全及可靠的数据

分发。随着发布/订阅通信模式的普及，DDS也面临着许多安全威胁，例如未授权的发

布、未授权的订阅、数据窃听和篡改等，因此，迫切需要建立灵活可靠的安全机制来保

证发布/订阅通信模式下数据共享的安全性。

为解决DDS面临的安全威胁，DDS安全规范以安全服务插件的形式在DDS中增

加安全机制，在参与者发现匹配和数据分发过程中添加身份认证、访问控制、数据加解

密等安全措施，保障了数据的机密性和完整性。DDS安全规范中数据加密采用对称加密

方式，加密方与解密方具有确定的对应关系，与DDS通信系统中发布者、订阅者解耦

的模式不相适应。DDS参与者借助访问控制列表进行访问控制，无法制定复杂的访问控

制策略，并且无法满足参与者属性动态变化的需求。

针对上述问题，论文结合KP-ABE加密技术和ABAC访问控制模型，提出了一种基

于属性的DDS访问控制机制。在保障数据机密传输的基础上，实现了基于属性的DDS

细粒度访问控制，并且支持DDS参与者属性的动态变化。论文的主要工作包括：

（1）提出了基于KP-ABE和ABAC的DDS安全访问控制方案（KeyPolicyAttribute

BasedAccessControlModelforDDS，即KPABAC-DDS）。在DDS系统准备阶段，由DDS

策略管理者统一制定访问控制策略，并通过属性权威中心签发属性证书，保障参与者属

性的有效性。当参与者的属性发生变化时，属性权威中心会对其属性证书进行动态更新；

在DDS发现匹配阶段，DDS通信系统利用自动发现机制来控制DDS参与者之间的发

布/订阅关系的建立；在DDS发布订阅阶段，通过ABAC访问判决的结果来控制订阅者

获取解密密钥，只有通过访问判决的订阅者才能获得解密密钥。同时，在KP-ABE算法

中引入属性名值对的概念，实现了ABAC模型与KP-ABE算法之间的共享属性库。

（2）针对KPABAC-DDS方案仅支持离散的属性表达的问题，提出了支持属性谓词

的访问控制改进方案。设计属性映射算法，将属性名，属性值形式的属性名值对转化

为支持连续的属性表达的属性名，运算符，属性值形式的属性谓词，利用属性谓词对

发布数据进行加密。DDS策略管理者直接使用ABAC访问控制策略生成用户解密密钥，

实现ABAC模型与KP-ABE算法共享策略库。经过改进，论文的方案可有效处理数据

属性和访问策略的动态变化，从而实现更加灵活的访问控制。

（3）基于国产自主可控的uDDS中间件系统，集成论文提出的上述机制，设计并

实现了基于属性的DDS访问控制原型系统，并对原型系统进行了功能测试和性能测试。

测试结果表明，与其他DDS访问控制方案相比，论文提出的方案能够实现基于属性的

DDS细粒度访问控制，并且支持参与者属性的动态变化。此外，在实现系统安全目标的

同时，还保证了DDS的实时处理性能，不仅对DDS发布/订阅时延的影响较小，吞吐量

也优于其他方案。

关键词：数据分发服务；属性基加密；基于属性的访问控制；发布/订阅

Abstract

TheDDS(DataDistributionService)isastandardfordata-centricdistributedreal-time

communicationmiddlewarethatislooselycoupled,efficient,reliableandscalable,andit

enablesefficient,secureandreliabledatadistribution.Withthepopularityofthe

publish/subscribecommunicationmodel,DDSisalsoexposedtomanysecuritythreatssuchas

unautho