ABAC，而非RBAC：欢迎进入（IoT）情境感知安全世界

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

一个看似简单的应用请求所能揭示的属性，远比乍看之下要多。当然，其中包括IP地址，可用于确定用户的位置。这就是地理定位，如今获取这项数据已是相当常见的做法。此外，还可以据此推断其他属性，例如用户是否“位于企业场所内”。通过更高级的数据挖掘，还可以判断该位置对于尝试访问应用的用户而言是否属于常用位置。

而这些信息仅从IP地址中就能获得。通过检查访问应用时发送的HTTP请求标头，可以轻松获取操作系统和设备参数。如果使用的是Web浏览器，还可以生成更具体的指纹，随后将其与以往的通信记录进行比较，以确定这个“Jim”是否确实就是过去获准访问的那个“Jim”。

所有这些信息，包括提取和推断出的变量，共同构成了应用交付控制器（ADC）行业多年来所称的“上下文”。这些上下文可为安全决策提供依据，推动交付创新，并有助于应用加速技术，从而改善应用体验。

因此，读到这篇宣告RBAC已死、ABAC登场的文章（基于属性的访问控制）也就不足为奇了。它以情境为基础，只是换了一个更酷、更顺口的缩写（听起来也正式得多）。这篇文章的重点（不妨先去读一读，我会在这里等您回来……）其实是取消以角色作为主要授权依据，改用属性，更侧重于内部或企业间的访问控制机制。不过，这一概念有着广泛的适用性。例如，它已广泛应用于银行和金融行业的反欺诈解决方案。您过去可能已经接触过这类方案：登录网上银行或查看股票时，应用会突然要求回答某个安全问题，让人颇感麻烦。这可能是因为登录地点与平时不同，或者使用了新设备或其他浏览器。

过去15年中，相当一部分安全事件源于应用访问问题（主要是凭据被盗），造成数百万美元的欺诈损失和个人信息泄露。因此，此类技术对于保护企业和消费者数据日益重要。根据Javelin Strategy & Research发布的《2014年身份欺诈报告：银行卡数据泄露和消费者密码使用习惯不当加剧令人担忧的欺诈趋势》，总体而言，61%的安全事件由凭据被盗导致。

如今，随着全球范围内与应用通信的“物”日益增多，让这些“物”能够访问应用已成为关乎生存的必要条件。

而传统上，这意味着需要某种形式的凭据。这些凭据可能被窃取并遭到滥用，进而严重破坏内部系统、网络和数据。

据我所知，目前没有任何组织认真考虑为可能需要访问权限的每个“物”分配一个角色。实现这一目标所需的规模在技术上可行，但并不实用。此外，为每个“物”分别分配身份似乎是一项难以克服的挑战；从数学角度看，这是一个永远无法达到的极限*。但事实上，这些物（及其所有者）将需要访问应用，其中至少有一部分可能位于您的数据中心内。这些应用用于激活、控制这些物并报告其状态。

务必在部署前考虑这一点。在正式发布前。在数百万消费者使用您的“物”尝试访问这些应用之前。

现在就应考虑如何提供安全访问，避免日后出现问题。应设计基于上下文（即基于属性）的解决方案，以免届时不得不为数以千万计的设备更新固件或软件。

可以通过MAC地址识别网络接口（以太网、蓝牙等）的供应商。在排查本地网络问题时，这是一项非常有用的信息，尤其是当工程师或操作人员能够在数据包捕获结果中轻松识别该信息时。物联网设备有望提供类似的基于属性的识别信息，从而帮助设计和实施ABAC系统。这里所指的不是无法在本地域之外持续有效的MAC地址，而是可嵌入通信交互中，并由访问控制机制用于判断合法性的其他设备识别属性。

如果要涉足物联网领域，考虑到需要识别的设备数量，您会希望设计并实施这样一套ABAC系统。

因此，如果您正投身于物联网领域（我们即将发布的《2016 年应用交付现状》报告数据显示，确实有不少人正在这样做），那么现在就开始考虑如何安全地管理访问权限并不算早。您可以称之为上下文、ABAC，也可以使用其他名称。但无论如何称呼，都不要忘记考虑并付诸行动。

*好吧，我承认。事实上，我本科辅修的是数学。好了，我说出来了。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章