18、混合属性聚合模型：设计、需求与架构

混合属性聚合模型：设计、需求与架构

1. 引言

在身份联合管理系统中，为了尽可能减少对现有SAML服务提供商（SP）的影响，同时实现更好的属性聚合功能，我们考虑将IP和IR模型结合，构建一个混合模型。IP和IR模型都有诸多优点，且所需的信任假设较少。此外，IP模型对代理身份提供者（Proxy IdP）过度依赖的问题，可以通过让Proxy IdP在必要时充当中继身份提供者（Relay IdP）来解决，从而减少对该IdP的信任需求。那么，能否将这两个模型结合，利用一个模型的优点来弥补另一个模型的缺点，并提供现有模型单独所不具备的功能呢？接下来我们将深入探讨这个问题。

2. 混合模型概述

我们选择IP和IR模型作为研究的合适候选模型，接下来要做的是将它们结合设计出一个混合模型，该模型的可信身份提供者称为混合身份提供者（Hybrid IdP）。首先，我们需要设计一个威胁模型，以识别拟议模型中的威胁，并制定不同的安全和隐私要求，以尽量减少这些威胁。

3. 威胁建模

威胁建模是设计和开发安全系统的一个集成过程。一个定义良好的威胁模型有助于识别安全系统不同资产上的威胁。为了应对这些威胁，需要通过制定安全和隐私要求来规划不同的缓解策略。威胁建模主要包括以下步骤：
1. 列出系统资产
2. 识别这些资产可能面临的威胁
3. 规划缓解策略

由于每个安全系统的资产不同，一个系统的威胁建模过程会与另一个系统有很大差异。这里我们专注于联邦身份管理（FIM）系统的威胁建模。

3.1 列出资产

资产是FIM系统中需要保护免受对手（攻击者）侵害的抽象或物理资源。它是存在威