[論文レビュー] Towards A Generic Formal Framework for Access Control Systems

Jason Crampton, C. Morisset|arXiv (Cornell University)|Apr 11, 2012

Access Control and Trust参考文献 20被引用数 7

ひとこと要約

本論文は、属性ベースのアクセス制御モデルにおける単調性や完全性といった重要な性質の分析を可能にする汎用的な形式的枠組みを提案する。要求、ポリシー、意思決定論理といったコアなコンponentsを抽象化することで、単調かつ完全なモデルの形式的定式化を可能にし、XACMLのような既存の基準の評価と改善の基盤を提供する。著者らは、XACMLが単調でも完全でもないことを示している。

ABSTRACT

There have been many proposals for access control models and authorization policy languages, which are used to inform the design of access control systems. Most, if not all, of these proposals impose restrictions on the implementation of access control systems, thereby limiting the type of authorization requests that can be processed or the structure of the authorization policies that can be specified. In this paper, we develop a formal characterization of the features of an access control model that imposes few restrictions of this nature. Our characterization is intended to be a generic framework for access control, from which we may derive access control models and reason about the properties of those models. In this paper, we consider the properties of monotonicity and completeness, the first being particularly important for attribute-based access control systems. XACML, an XML-based language and architecture for attribute-based access control, is neither monotonic nor complete. Using our framework, we define attribute-based access control models, in the style of XACML, that are, respectively, monotonic and complete.

研究の動機と目的

• 単調性や完全性といった重要な性質についての推論を可能にする、アクセス制御システムの汎用的な形式的枠組みの開発を目的とする。
• XACMLのような既存のアクセス制御言語が単調でも完全でもないという限界を、単調かつ完全なモデルを形式的に特徴づけることで是正することを目的とする。
• アクセス制御ポリシー言語の表現力およびセキュリティ特性を評価するための構造的メソッドの提供を目的とする。
• ポリシー結合子、意思決定集合、原子的ポリシーを含む、モデルのコンponentsに基づいて、異なるアクセス制御モデルを形式的に比較することを目的とする。
• 非単調な挙動に起因する脆弱性を回避できるように、表現力と安全性の両方を備えたアクセス制御システムの設計を支援することを目的とする。

提案手法

• この枠組みは、アクセス制御システムを、要求（属性を有する）、原子的ポリシー、意思決定、評価関数といったコアコンponentsに抽象化する。
• 承認ポリシーは、葉ノードが原子的ポリシーを表し、内部ノードが論理演算子を表す木構造としてモデル化され、価値割り当て関数によって意思決定が計算される。
• 単調性は、追加の属性が要求者にとっての結果を改善できないことを保証する性質として形式化され、意思決定の順序（例：0 < ⊥ < 1）に基づいて定義される。
• 完全性は、与えられた原子的ポリシーの集合、意思決定集合、ポリシー結合子を用いて、すべての可能な理想ポリシーを表現できる能力として定義される。
• 多値論理および部分論理を用いて、ポリシー評価の形式的意味論に基づき、単調性または完全性が保証されるモデルを構築する。
• 特定のコンponentsを選択することで、さまざまなアクセス制御モデルのインスタンス化が可能となり、それらの性質の体系的分析が可能になる。

実験結果

リサーチクエスチョン

• RQ1 特定のポリシー言語に依存しない形で、アクセス制御モデルにおける単調性と完全性の分析を可能にする汎用的な形式的枠組みを開発することは可能か？
• RQ2 XACMLはなぜ単調でも完全でもないのか？ どのような条件下でそれらの性質を満たすようにできるのか？
• RQ3 固定された原子的ポリシーの集合と意思決定の意味論が与えられたもとで、単調かつ完全なモデルを形式的に構築する方法は何か？
• RQ4 ポリシー結合子、意思決定集合の選択と、アクセス制御モデルの完全性との関係は何か？
• RQ5 この枠組みは、時間の経過に伴うポリシーの進化をサポートしながら、ライブネスやセキュリティといった性質を保持できるか？

主な発見

• 標準的な意思決定順序に基づくと、XACMLが形式的に単調でも完全でもないことが示され、その設計に根本的な限界があることが明らかになった。
• この枠組みにより、追加の属性が要求者の承認結果を改善しないように保証することで、単調性が保証される属性ベースのアクセス制御モデルを構築できる。
• この枠組みは、定義された原子的ポリシーの集合、意思決定集合、結合子を用いて、あらゆる理想ポリシーを表現できるモデルの構築を支援する。
• 形式的定式化により、単調性が意思決定の順序に敏感であることが判明し、使用する意思決定ラティスに応じて、より強い形の単調性が存在することがわかった。
• この枠組みは、ポリシーの同値性、順序付け、最適性の分析を可能にし、実現可能なポリシーと理想のアクセス制御要件との間の比較を可能にする。
• 今後の研究では、管理ポリシーおよびポリシーの進化ルールをこの枠組み内でモデル化でき、ライブネスおよびセキュリティの性質の形式的検証が可能になるだろう。