[논문 리뷰] A General Approach for Securely Querying and Updating XML Data

Houari Mahfoud, Abdessamad Imine|arXiv (Cornell University)|2012. 01. 31.

Access Control and Trust참고 문헌 22인용 수 3

한 줄 요약

이 논문은 쿼리 재작성 기반으로 XML 데이터에 대한 안전한 쿼리 및 업데이트를 위한 일반적인 접근 제어 모델을 제시하며, 읽기 및 쓰기 권한이 모두 존재하는 상황에서도 기밀성과 무결성을 보장한다. 이는 재귀적 DTD와 보안 뷰를 고려한 두 단계의 재작성 프로세스를 도입하여, 마스킹된 데이터에 대한 업데이트 작업으로 인한 추론 공격을 방지한다.

ABSTRACT

Over the past years several works have proposed access control models for XML data where only read-access rights over non-recursive DTDs are considered. A few amount of works have studied the access rights for updates. In this paper, we present a general model for specifying access control on XML data in the presence of update operations of W3C XQuery Update Facility. Our approach for enforcing such updates specifications is based on the notion of query rewriting where each update operation defined over arbitrary DTD (recursive or not) is rewritten to a safe one in order to be evaluated only over XML data which can be updated by the user. We investigate in the second part of this report the secure of XML updating in the presence of read-access rights specified by a security views. For an XML document, a security view represents for each class of users all and only the parts of the document these users are able to see. We show that an update operation defined over a security view can cause disclosure of sensitive data hidden by this view if it is not thoroughly rewritten with respect to both read and update access rights. Finally, we propose a security view based approach for securely updating XML in order to preserve the confidentiality and integrity of XML data.

연구 동기 및 목표

• XML 데이터에 대한 읽기 및 업데이트 작업을 모두 지원하는 종합적인 접근 제어 모델의 부재를 해결하기 위해.
• 임의의 DTD, 특히 재귀적인 DTD에 대해도 업데이트 정책을 통합된 프레임워크로 명시하기 위해.
• 보안 뷰에 의해 숨겨진 민감한 데이터가 드러날 수 있는 추론 공격을 방지하기 위해.
• 사용자가 접근 가능하고 업데이트 가능한 노드에만 업데이트 작업이 적용되도록 보장하기 위해.
• 존재하는 보안 뷰 모델을 확장하여, 데이터 기밀성과 무결성을 유지하면서도 안전한 업데이트 작업을 지원하기 위해.

제안 방법

• 이 접근 방식은 두 단계의 쿼리 재작성 기법을 사용한다: 먼저 사용자의 읽기 권한에 따라 대상 XPath 표현식을 재작성하고, 그 다음 업데이트 권한에 따라 다시 재작성한다.
• 접근 제어 애너테이션(A^acc)과 업데이트 권한 애너테이션(U_delete 등)을 사용하여 업데이트 작업을 접근 가능한 노드만 대상으로 하는 안전한 형태로 변환하는 'Rewrite'라는 재작성 알고리즘을 도입한다.
• XML 트리 구조를 통해 접근 제어 제약 조건을 전파함으로써 재귀적 DTD를 처리하며, 재작성 과정에서 정확한 범위 전파를 보장한다.
• 보안 뷰는 사용자별 데이터 가시성을 모델링하며, 이러한 뷰를 통해 업데이트 작업이 숨겨진 데이터의 의도치 않은 노출을 유도하지 않도록 보장한다.
• W3C XQuery Update Facility와 통합되어 XML 노드에 대한 삽입, 삭제, 대체 등의 작업을 지원한다.
• 조건 재작성(RW_Pred)을 포함한 재작성 프로세스로, 업데이트 작업의 조건이 간접적으로 민감한 데이터에 접근하거나 이를 추론하지 못하도록 보장한다.

실험 결과

연구 질문

• RQ1 임의의 DTD, 특히 재귀적인 DTD에 대해 XML 데이터에서 업데이트 접근 제어를 어떻게 통일적으로 모델링할 수 있는가?
• RQ2 민감한 데이터가 보안 뷰에 의해 숨겨진 상태에서 업데이트 작업을 수행할 경우, 이를 방지하기 위한 메커니즘은 무엇인가?
• RQ3 쿼리 재작성 기법을 어떻게 활용하여 읽기 및 업데이트 접근 제어를 동시에 강제할 수 있는가?
• RQ4 사용자가 보지 못하는 노드에 대한 정보가 유출되지 않도록 보장하기 위한 필수 조건은 무엇인가?
• RQ5 읽기 및 쓰기 권한이 복잡하고 가능하면 재귀적인 XML 구조 위에 정의된 경우, 업데이트 작업의 보안성을 어떻게 유지할 수 있는가?

주요 결과

• 제안된 모델은 사용자가 읽을 수 있고 업데이트할 수 있는 노드에만 업데이트 작업이 적용되도록 재작성함으로써 추론 공격을 성공적으로 방지하며, 숨겨진 데이터의 간접적 노출을 제거한다.
• 재작성 알고리즘은 업데이트 작업의 조건이 접근 제어 애너테이션을 준수하도록 변환하여, 'not (exists(...))'와 같은 조건이 접근 불가능한 노드에 대한 정보를 泄露하지 않도록 보장한다.
• 병원 예시에서는, 대상 환자가 보이지 않을 경우 보안 뷰를 통해 재작성된 업데이트 작업이 원본 문서에 영향을 주지 않아, 환자의 존재 여부나 데이터에 대한 추론을 방지했다.
• 재귀적 DTD에 대해 접근 제어 제약 조건을 트리 구조를 통해 전파함으로써 안전한 업데이트를 지원하며, 복잡한 계층에서조차도 정확성을 유지한다.
• 이 방법은 임의의 DTD와 재귀적 보안 뷰에 대해 읽기 및 업데이트 접근 제어를 통합적으로 해결하는 최초의 솔루션이며, 기밀성과 무결성을 보장한다.
• 평가 결과, 적절한 재작성 없이 보안 뷰를 통해 업데이트 작업을 수행할 경우 정보 유출이 발생할 수 있으나, 재작성 기법을 적용하면 이러한 유출이 완전히 제거됨을 확인했다.