[論文レビュー] SAFE: A Declarative Trust Management System with Linked Credentials

Vamsi Thummala, Jeffrey S. Chase|arXiv (Cornell University)|Oct 15, 2015

Access Control and Trust参考文献 35被引用数 3

ひとこと要約

SAFE は、リンクされた資格情報と共有キー値ストアを用いて、信頼意思決定のためのコンテキスト構築を自動化する宣言的信頼管理システムである。セットリンクを通じて安全でキャッシュ可能かつ合成可能な論理セットを提供することにより、フェデレーテッドで分散型のシステムにおける資格情報の発見、失効、ポリシーの適用を簡素化する。実世界の事例（DNSsecに類似したリゾルバやIaaSの権限付与モジュール）を通じてその有効性が実証された。

ABSTRACT

We present SAFE, an integrated system for managing trust using a logic-based declarative language. Logical trust systems authorize each request by constructing a proof from a context---a set of authenticated logic statements representing credentials and policies issued by various principals in a networked system. A key barrier to practical use of logical trust systems is the problem of managing proof contexts: identifying, validating, and assembling the credentials and policies that are relevant to each trust decision. This paper describes a new approach to managing proof contexts using context linking and caching. Credentials and policies are stored as certified logic sets named by secure identifiers in a shared key-value store. SAFE offers language constructs to build and modify logic sets, link sets to form unions, pass them by reference, and add them to proof contexts. SAFE fetches and validates credential sets on demand and caches them in the authorizer. We evaluate and discuss our experience using SAFE to build secure services based on case studies drawn from practice: a secure name service resolver, a secure proxy shim for a key value store, and an authorization module for a networked infrastructure-as-a-service system with a federated trust structure.

研究の動機と目的

• 論理ベースの信頼管理システムにおける資格情報の発見、新鮮性、使いやすさという実用的課題に対処すること。
• 分散型でフェデレーテッドな信頼環境における、スケーラブルで効率的な証明コンテキスト構築を可能にすること。
• スクリプト言語（slang）と安全で名前付きの論理セットを用いて、信頼ポリシーの作成とアプリケーション論理への統合を簡素化すること。
• 共有で安全なキー値ストア（SafeSets）を介して、資格情報の効率的なキャッシュと再利用を支援すること。
• 宣言的信頼論理を、安全な名前解決やIaaSの権限付与といった実世界のシステムに実用的に展開できることを示すこと。

提案手法

• 資格情報とポリシーは、共有で分散型のキー値ストア（SafeSets）に格納され、安全な識別子によって名前が付けられた暗号的に署名された論理セット（slogsets）として保存される。
• セットリンクにより、資格情報セットの論理的結合（ユニオン）が可能となり、証明構築時にオンデマンドで解決される依存関係のグラフが形成される。
• slang スクリプト言語を用いることで、slogsets の一次的取り扱いが可能となり、参照渡しやリンクされたコンテキストの合成が可能になる。
• 証明コンテキストは、リンクされたセットから伝播的に構築され、承認者側でキャッシュされることで、重複した検証を回避する。
• 信頼アンカーとローカルポリシーを用いて証明を検証し、SD3と同様の認証済み検証をエミュレートする。
• Datalogルールを用いて委任とエンダースメントをサポートし、speaksForは共同所有または第三者への帰属の目的でのみ使用される。

実験結果

リサーチクエスチョン

• RQ1 論理ベースの信頼システムにおける証明コンテキストは、分散型でフェデレーテッドな環境で、どのように効率的に発見され、構築されるか？
• RQ2 グローバルな名前解決が不要な状況で、スケーラブルで安全な資格情報の共有とキャッシュを実現するメカニズムは何か？
• RQ3 宣言的信頼論理は、実世界のサービス実装において実用的かつ合成可能にできるか？
• RQ4 セットリンクと共有ストレージは、資格情報検証のオーバーヘッドを低減させ、信頼管理のパフォーマンスを向上させられるか？
• RQ5 スクリプト言語（slang）と安全な論理ストアの統合は、使いやすさとポリシー表現力の両方をどのように向上させるか？

主な発見

• SAFE は、DNSsecに類似した安全な名前サービスリゾルバ（SafeNS）を実装し、リンクされた資格情報を用いたエンドツーエンドの信頼検証を実現した。
• 承認者側で資格情報セットの効率的なキャッシュが可能となり、重複した検証が削減され、パフォーマンスが向上した。
• セットリンクにより、資格情報を依存関係のグラフとして整理することで、グローバルな証明書照会の必要性を回避し、スケーラブルな資格情報発見が可能になった。
• 論理セットに安全で公開鍵ベースの識別子を用いることで、共有ストア（SafeSets）における整合性が保証され、偽造が防止された。
• ネットワーク化されたIaaSシステムおよび安全なプロキシシャムにおける事例研究から、SAFE は最小限の信頼管理の複雑さで、複雑な実世界の信頼ポリシーをサポートできることを確認した。
• スクリプト言語、リンク、共有ストレージを組み合わせることで、宣言的信頼論理が実用的に展開可能であることが実証された。これにより、従来の使いやすさとスケーラビリティの障壁が克服された。