[論文レビュー] Detecting Incompleteness, Conflicting and Unreachability XACML Policies using Answer Set Programming

Carroline Dewi Puspa Kencana Ramli|arXiv (Cornell University)|Mar 9, 2015

Logic, Reasoning, and Knowledge参考文献 7被引用数 9

ひとこと要約

本論文は、XACML 3.0アクセス制御ポリシーにおける不完全性、矛盾、到達不能なポリシーを自動的に検出するための、Answer Set Programming (ASP) を用いたフレームワークを提案する。XACML のコンponents を論理プログラムにエンコードし、アルゴリズムを統合することで、問題のあるパターンを効率的に静的解析可能となる。主な貢献として、ASP ソルバを用いた到達不能なポリシーの形式的検出と、矛盾解消の支援が挙げられる。

ABSTRACT

Recently, XACML is a popular access control policy language that is used widely in many applications. Policies in XACML are built based on many components over distributed resources. Due to the expressiveness of XACML, it is not trivial for policy administrators to understand the overall effect and consequences of XACML policies they have written. In this paper we show a mechanism and a tool how to analyses big access control policies sets such as (i) incompleteness policies, (ii) conflicting policies, and (iii) unreachable policies. To detect these problems we present a method using Answer Set Programming (ASP) in the context of XACML 3.0.

研究の動機と目的

• 大規模かつ複雑な XACML 3.0 ポリシー集合の管理における課題に対処すること。手動での解析は誤りを生じやすく、現実的ではない。
• 許可優先の PEP において、欠落した条件が原因で意図しないアクセスが発生する可能性がある不完全なポリシーを検出すること。
• XACML の単一の決定出力にもかかわらず、異なる組織単位で一貫性のない意思決定を引き起こす可能性がある矛盾するポリシーを特定すること。
• 最終的な意思決定に影響を及げない、到達不能なポリシーを検出することで、削除によるポリシー集合の最適化を可能にすること。
• 論理プログラミングと ASP を用いた形式的で自動的かつスケーラブルなポリシー解析手法を提供すること

提案手法

• ASP の意味論を用いて、XACML 3.0 のコンponents（ポリシー、ルール、ターゲット、属性）を論理プログラムにマッピングする。
• データベースに依存する述語（例：`subject(X) ← subject_db(X)`）を用いて、すべての可能な組み合わせの属性生成をエンコードする。
• 異なる結合アルゴリズム（例：deny-overrides、first-applicable）における適用可能性と意思決定結果をチェックする ASP ルールを用いて、ポリシーの到達可能性を定義する。
• 制約を用いて到達不能なポリシーをモデル化する：ルールの意思決定が最終的なポリシー結果で観測されない場合、そのルールは到達不能であるとみなす。
• 結合アルゴリズムの意味論（例：`first-applicable`、`only-one-applicable`）をエンコードし、意思決定の正しく伝搬され、上書き動作が検出可能となるようにする。
• ASP ソルバを用いて、論理的依存関係と意思決定伝搬を分析することで、到達不能なポリシー、矛盾、不完全性を明らかにする答え集合を計算する。

実験結果

リサーチクエスチョン

• RQ1 許可優先の PEP において、意図しないアクセスを防ぐために、XACML 3.0 ポリシーにおける不完全性を形式的に検出する方法は何か？
• RQ2 XACML の結合アルゴリズムが単一の意思決定を出力しても、矛盾するポリシーを特定する方法は何か？
• RQ3 ポリシー集合において、どのような条件下でポリシーが到達不能となるのか。論理プログラミングを用いて、その条件を形式的に捉えるにはどうすればよいか？
• RQ4 Answer Set Programming を用いて、XACML の結合アルゴリズムの意味論を効果的にモデル化・分析するにはどうすればよいか？
• RQ5 ASP を用いた解析により、到達不能なポリシーを特定・削除することで、大規模なポリシー集合の冗長性を検出し、最適化を支援できるか？

主な発見

• 提案された ASP を用いたフレームワークは、さまざまな結合アルゴリズム下での意思決定伝搬を分析することで、到達不能なポリシーの検出に成功した。
• 本手法は、許可優先の PEP を使用する場合、適用されるポリシーがない場合に意図しないアクセスを引き起こす可能性がある不完全なポリシーを特定した。
• 矛盾するポリシーは、結合論理によって最終的な意思決定が一貫している場合でも、ポリシーコンponents 間の意思決定の乖離を分析することで検出可能である。
• フレームワークは、first-applicable や deny-overrides を含む、XACML 3.0 のすべての結合アルゴリズムにおいて、到達不能なポリシーの検出をサポートしている。
• clasp や Smodels のような成熟した答え集合ソルバを活用することで、ASP を用いた大規模なポリシー集合の効率的かつスケーラブルな解析が可能となった。
• 本アプローチは、ポリシーの保守のための形式的基盤を提供し、管理者がアクセス制御動作に影響を与えることなく、到達不能なポリシーを安全に削除できるようにした。