[論文レビュー] ARBAC Policy for a Large Multi-National Bank

Karthick Jayaraman, Vijay Ganesh+3 more|arXiv (Cornell University)|Oct 13, 2011

Access Control and Trust参考文献 5被引用数 3

ひとこと要約

本論文は、18の支店を有する大手多国籍銀行における管理型ロールベースアクセス制御（ARBAC）の実世界の事例研究を提示し、排他性（SOP）を防止するための共同不正行為を防ぐために、ARBACの表現力のある特徴（論理和、肯定的前件条件、ミックスドロール）がどのように活用されたかを示している。この研究では、安全クエリがSOP準拠を形式的に検証できることを示しており、複雑で規制が厳しい金融環境におけるARBACの実用性を裏付けている。

ABSTRACT

Administrative role-based access control (ARBAC) is the first comprehensive administrative model proposed for role-based access control (RBAC). ARBAC has several features for designing highly expressive policies, but current work has not highlighted the utility of these expressive policies. In this report, we present a case study of designing an ARBAC policy for a bank comprising 18 branches. Using this case study we provide an assessment about the features of ARBAC that are likely to be used in realistic policies.

研究の動機と目的

• 18の支店を有する大手多国籍銀行向けに、スケーラブルなARBACポリシーを設計すること。
• 重要な金融取引における権限分離（SOP）を強制し、共同不正行為を防止すること。
• 実世界のアクセス制御ポリシーにおける、ARBACの高度な特徴（論理和、肯定的前件条件、ミックスドロール）の実用的有用性を評価すること。
• 安全クエリをどのように形式的に定式化し、展開前にポリシーの性質を正式に検証できるかを示すこと。
• 規制を受けている金融機関における、複雑な管理アクセス制御ポリシーのモデリングと分析のための手法を提供すること。

提案手法

• ヨーロッパの銀行で既存のRBACポリシーを18の支店に拡張し、4つの事業部門にまたがる合計594のロールを構築した。
• 部門レベル、管理職、非管理職のロールを階層的に設計し、すべてが中央の「従業員」ロールから継承するようにした。
• 特に非管理職ロールに対して、肯定的および否定的前件条件を含むcan_assignおよびcan_revokeルールを実装し、SOP制約を強制した。
• 複数の支店にまたがるロール割り当てに関する複雑な分析クエリをエンコードするために、補助ロール（AnyFour_iおよびBranch_i）を導入した。
• 安全クエリを⟨u, r⟩のタプル形式で定式化し、ユーザーがターゲットロールに割り当て可能かどうかを検証することで、SOPの性質を正式に検証可能とした。
• モデルチェッカーを用いて、複雑なアクセス制御条件を論理的ルールおよびクエリに変換し、ポリシーの安全性を分析した。

実験結果

リサーチクエスチョン

• RQ1 ARBACの表現力のある特徴は、大規模で多支店にまたがる金融機関において、どのように権限分離（SOP）を効果的にモデル化・強制できるか？
• RQ2 論理和、肯定的前件条件、ミックスドロールは、実世界のARBACポリシーにおいて、SOP制約をどのように表現するかに果たす役割は何か？
• RQ3 多支店ロール割り当て制約のような複雑なアクセス制御性質を検証するため、安全クエリを体系的にどのように定式化できるか？
• RQ4 大規模で多国籍の組織において、ARBACの管理ルール（can_assignおよびcan_revoke）は、スケーラビリティを保ちつつ、管理可能であるか？
• RQ5 安全クエリによる形式的検証は、現実の銀行環境において、ポリシー展開前にSOP違反を検出できるか？

主な発見

• ARBACポリシーは、論理和、肯定的前件条件、ミックスドロールを活用して、18の支店にまたがる権限分離を成功裏に強制し、ユーザーが矛盾するロールを同時に保持することを防いだ。
• 補助ロール（AnyFour_iおよびBranch_i）の使用により、複数の支店にまたがるロール割り当てに関する複雑なクエリを形式的にエンコードでき、たとえばユーザーが少なくとも1つまたはすべての支店で4つの非管理職ロールを保持できるかどうかを明確にした。
• ⟨u, r⟩形式の安全クエリは、ポリシーの性質を検証するのに効果的であり、ターゲットロールへの割り当ては、ユーザーがすべての指定された前件条件を満たしている場合にのみ実行された。
• ポリシー設計は、ARBACの表現力のある特徴が複雑さを増す一方で、金融機関における現実的なセキュリティ要件（SOPなど）をモデル化する上で不可欠であることを示した。
• 非管理職ロールのcan_assignルールは、肯定的および否定的前件条件の組み合わせを慎重に設計することで、ロールの衝突を防ぎ、管理的安全性を確保した。
• 594のcan_assignおよび594のcan_revokeルールを含む完全なポリシーは、実装済みであり、分析のための公開が可能である。これにより、ARBACが大規模システムにおいて実現可能であることが裏付けられた。