[論文レビュー] Event Systems and Access Control

Domingo Mery, Stephan Merz|arXiv (Cornell University)|Apr 21, 2006

Access Control and Trust参考文献 18被引用数 3

ひとこと要約

本稿は、時間論理を用いてイベントシステム内のアクセス制御ポリシー（許可、禁止、義務、ユーザーライト）を形式的に規定・検証するフレームワークを提案する。ポリシーの実装を検証するための証明規則を導入し、低レベルのライトとシステムの義務を統合することで、システムの精錬中にユーザーライトを保持する条件を確立する。

ABSTRACT

We consider the interpretations of notions of access control (permissions, interdictions, obligations, and user rights) as run-time properties of information systems specified as event systems with fairness. We give proof rules for verifying that an access control policy is enforced in a system, and consider preservation of access control by refinement of event systems. In particular, refinement of user rights is non-trivial; we propose to combine low-level user rights and system obligations to implement high-level user rights.

研究の動機と目的

• 静的アクセス制御モデルと動的システム動作の間のギャップを埋めるために、アクセス制御をイベントシステムの実行時特性として形式化すること。
• 時間論理に基づく標準的な証明規則を用いて、システムが与えられたアクセス制御ポリシーを正しく実装しているかどうかを形式的に検証できることを可能にすること。
• 原子性やシステム構造の変更に伴う非自明な変化のため、システム精錬中にユーザーライトを保持する課題に対処すること。
• 高レベルのユーザーライトが精錬の過程で保持されることを保証するために、具象レベルのユーザーライトとシステム義務を組み合わせた統合的アプローチを提案すること。
• ローン管理システムの継続的例示を通じて、本アプローチの実現可能性を示すこと。この例では、アクセス制御要件が変化する状況を想定する。

提案手法

• 公平性条件を備えたイベントシステムとして情報システムをモデル化し、システムの状態と遷移を、前後条件述語および公平性制約を用いて形式的に定式化する。
• 許可と禁止を、時間論理におけるイベント有効化条件の制約として表す安全性特性として解釈する。
• 義務を線形時間論理（LTL）におけるライブネス特性としてモデル化し、所定の条件下で特定のイベントが最終的に発生することを保証する。
• ユーザーライトを分岐的特性として定義し、主体が望ましい結果に至るイベントのシーケンスを開始できる能力を表現する。
• 具象レベルのユーザーライトとシステム義務を統合した精錬条件を導入し、高レベルのユーザーライトが精錬中に保持されることを保証する。
• 標準的なイベントシステム検証技術に基づく証明規則を用いて、抽象的および具象的システムモデルの両方でアクセス制御ポリシーの実装が正しく保証されていることを形式的に検証する。

実験結果

リサーチクエスチョン

• RQ1 許可、禁止、義務、ユーザーライトを含むアクセス制御ポリシーは、どのようにイベントシステムの実行の動的特性として形式的に規定できるか？
• RQ2 システム実装が与えられたアクセス制御ポリシーを正しく実装しているかどうかを検証するための証明規則は、どのように確立できるか？
• RQ3 時間論理を用いたイベントシステム枠組み内で、義務をどのように形式的に解釈・検証できるか？
• RQ4 原子性の粒度が変化する場合を含め、精錬中にユーザーライトが保持されるための条件は何か？
• RQ5 具象レベルの権利とシステム義務の組み合わせを用いて、精錬されたシステムにおいて高レベルのユーザーライトを合成できるか？

主な発見

• 許可と禁止は、イベントシステム実行における安全性特性として成功裏に形式化され、標準的な精錬理論により、精錬下でも保持されることを保証する。
• 義務は線形時間論理（LTL）におけるライブネス特性として効果的にモデル化され、事前条件が満たされた場合に必要な行動が最終的に発生することを保証する。
• 分岐的特性としてのユーザーライトは、標準的な精錬では保持されないため、精錬ステップ間で保持されるようにするための追加条件が必要である。
• 具象レベルのユーザーライトとシステム義務を統合した提案された条件により、高レベルのユーザーライトが精錬中に保持されることを、ローン管理システムの例を通じて実証した。
• 本フレームワークは、クライアントが支払い限度を超えて複数回リクエストを送信して制限を回避するといった、意図しない振るまいを防止する。限度に達すると、システムが追加支払いの承認義務を失うためである。
• 本アプローチにより、動的システムにおけるアクセス制御ポリシーの形式的検証が可能となり、イベントシステムおよび精錬に基づく形式的開発手法とアクセス制御規定を統合する基盤を提供する。