41、安全工作流的自动组合：理论与实践

安全工作流的自动组合：理论与实践

1. 安全约束下的工作流规划

在工作流规划中引入安全约束会增加问题的复杂性。我们的主要目的一是展示安全约束的引入如何提升基本规划问题的复杂度，二是给出能够实现安全工作流高效规划的条件。

1.1 Bell - LaPadula 安全模型基础

Bell - LaPadula（BLP）模型是一种基于格的信息流访问控制模型。格（L, ≺）是一个具有支配关系 ≺ 的偏序集，其中每对元素都定义了上界和下界。在 BLP 模型下，所有用户（主体）和数据（客体）都被分配安全标签，这些标签是格中的元素。
BLP 模型定义了两条基于数据对象标签和用户访问类标签进行访问控制决策的规则：
- 简单安全（ss - ）属性 ：用户的访问类标签支配对应对象标签时，才允许读取数据（禁止向上读取规则）。
- 星（* - ）属性 ：对应对象标签支配用户的访问类标签时，才允许写入数据（禁止向下写入规则）。

1.2 带有 Bell - LaPadula 安全约束的工作流规划模型

在工作流规划模型中表示 BLP 约束的目标是定义一个工作流组合问题，使得工作流的输出（即目标类型）能被指定的访问类访问。系统中来自原始源的数据（即初始状态的类型）可以用任意对象标签标记，这些标签作为输入提供给规划器。
在规划过程中，规划器会为处理数据的操作符分配主体标签，为所有生成的类型分配对象标签，以确保整个工作流满足 BLP 策略。
基本工作流规划模型中的对象对应数据类型，因此我们通过为每个数据类型分配一个安全标签变量来扩展模型。状态空间