摘要：研究在开放环境下利用Linda-like数据驱动协调模型所带来的安全问题。为了对数据协调空间的安全进行控制，提出了一种具有时间约束的安全协调模型。此协调模型通过对元组数据增加特定信息，并运用混合密钥机制实现对协调元组空间的安全访问控制。
关键词：访问控制协调混合密钥 协调模型提供了一种描述软件实体之间的交互框架。目前开放系统中的协调技术主要考虑如何促使软件实体之间能够顺利地进行交互。但事实上，在开放系统下不能保证每个软件实体都是可信的，基于系统安全方面的考虑，必须要有一定的安全访问控制机制来限制软件实体之间的交互。

目前仅有KLAIM和SecSOS协调语言提供了一定的安全访问控制机制。KLAIM协调语言利用类型来描述软件实体的访问权限，在软件实体和元组数据之间采用典型的访问控制策略，使得软件实体和数据形成一种一一对应的关系。这种方法不能很好地满足开放系统动态性的要求，并且不支持对元组数据细粒度的安全控制。SecSOS通过只对空问元组数据增加一定的附加信息来控制数据的访问。这种对字段的加锁方法不但能对整个元组数据进行控制，还支持数据细粒度的安全控制。但SecSOS的缺陷是不能区分两种不同类型的读操作，并且数据的读取者能够向元组数据空间写入同样的数据。Nadia Busi，Roberto Gorrieri等人在KLAIM和SeeSOS基础上进行了扩展．提出了SecSpaces安全协调模型。但是．SecSpaces每次都是运用非对称密钥进行匹配，计算复杂度高，而且没有提供时效控制，从而降低了系统的安全性。本文首先介绍了用于开放系统下数据驱动的协调模型Linda模型，然后简单地介绍了SecSpaces安全协调模型，最后提出了一种新的具有时间约束的安全数据驱动协调模型。
1 Linda数据驱动协调模型
在开放系统下，运用协调技术进行软件实体间的通信是一种非常有效的方法，能够满足开放系统互操作性、可移植性、伸缩性要求。Linda在1985年提出了基于数据驱动的协调模型体系结构，Sun Microsystem和IBM公司在此基础上开发了各自的商业产品JavaSpaces和TSpaces。这些都是利用一种被称为再生通信(genera-tire commtmication)的模式：数据的发送方和接收方通过一个共享的数据元组空间进行通信，发送方将数据送入这个共享空间。接收方从共享空间读取数据。数据共享空间独立于任何一方而存在，即一旦发送方将数据写入共享空间，数据将不属于数据的提供者。任何接收方都可以从中提取相应的数据。Linda模型定义了out(e)、int(t)和rd(t)三种基本操作。输入操作out(e)是将数据项e写入共享元组空间；int(t)是用模板t和共享空间中的数据项e匹配，如果发现匹配数据项e，然后读e并将共享空间中的e删除。rd(t)和im(t)类似，仅仅是读取而不删除。Linda模型定义的匹配规则如定义1.1。

定义1.1：设e=<d1；……；dn>为一数据项，t=<dt；……；dtm>为匹配模板，若要t和e匹配需满足下列条件：
(1)m≤n
(2)dti=di or dti=null,1≤i≤m

从定义1.1可以看出最初的Linch协调模型并没有提供相应的安全访问控制机制对读写操作进行控制，也不能区分int(t)和带有破坏性的rd(t)操作。

2 SOCSpaces安全数据驱动协调模型
目前仅有KLAIM和SeeSOS协调语言提供了一定的安全访问控制机制。2002年Nadia Busi、Roberto Gomeri等人对KLMM和SecSOS两种协调语言的安全访问控制机制进行了扩展和修改，提出了SecSpaces模型(支持在开放环境下安全的数据驱动协调模型)。SecSpaces不但能够区分读写操作，还能够区分非破坏性的读int(t)和具有破坏性的读rd(t)操作。SecSpaces对元组空间数据附加特定的控制信息。一个逻辑分区字段。Partition，另一个非对称逻辑分区字段Asymmetric Partition。前者用于对元组空间进行逻辑上的分区，通过这个字段不但可以快速的索引到相应的数据也增加了数据的安全性。后者利用密码学非对称密钥对数据的读和写操作进行认证，能够严格区分读和写。同时又将后者分为int(t)和rd(t)区域，能将这两种读取操作区别开。
3 具有时间约束的安全数据驱动协调模型
从上述SecSpaces模型所提供的安全访问控制机制可以看出：(1)数据每次读取操作都会进行非对称的解密操作．计算复杂；(2)一旦某个软件实体得到了读取某数据的密钥，它将获得永久的读取权，SecSpaces没有提供时效控制。这对于动态的开放系统是不安全的，例如一个Agent实体用密钥读取数据后离开，相隔一定的时间再次访问相应的数据，而此时的Agent可能已经变得不安全，但依靠先前的密钥仍能读取。

针对SecSpaces存在的安全问题本文提出了一种具有时间约束的安全数据驱动协调模型。本文对匹配模板增加时限控制字段来控制软件实体访问共享数据空间的时间，使协调模型具有时间约束性。同时运用混合密钥认证机制来代替非对称认证来减轻SecSpaces的计算复杂度。

模型安全控制规则描述如下：项目e和模板t

APartion,dt表示模板数据(通常用附