[논문 리뷰] ARBAC Policy for a Large Multi-National Bank

Karthick Jayaraman, Vijay Ganesh외 3명|arXiv (Cornell University)|2011. 10. 13.

Access Control and Trust참고 문헌 5인용 수 3

한 줄 요약

이 논문은 18개 지점이 있는 대규모 다국적 은행에서 행정 역할 기반 접근 제어(ARBAC)를 구현한 실제 사례 연구를 제시한다. 이 연구는 분리된 권한(SOP)을 방지하기 위해 ARBAC의 표현력 있는 기능인 논리합, 양의 전제 조건, 혼합 역할을 어떻게 활용할 수 있는지 보여주며, 안전성 쿼리를 통해 SOP 준수 여부를 형식적으로 검증할 수 있음을 입증한다. 이는 복잡하고 규제가 엄격한 금융 환경에서 ARBAC의 실용성을 입증한다.

ABSTRACT

Administrative role-based access control (ARBAC) is the first comprehensive administrative model proposed for role-based access control (RBAC). ARBAC has several features for designing highly expressive policies, but current work has not highlighted the utility of these expressive policies. In this report, we present a case study of designing an ARBAC policy for a bank comprising 18 branches. Using this case study we provide an assessment about the features of ARBAC that are likely to be used in realistic policies.

연구 동기 및 목표

• 18개 지점과 594개 역할을 포함한 대규모 다국적 은행에 대해 확장 가능한 ARBAC 정책을 설계한다.
• 비밀 유지가 필요한 핵심 재무 운영에서 역할 간 분리(소위 SOP)를 강제하여 공모 사기 행위를 방지한다.
• 실제 접근 제어 정책에서 ARBAC의 고급 기능인 논리합, 양의 전제 조건, 혼합 역할의 실용적 유용성을 평가한다.
• 안전성 쿼리가 어떻게 형식적으로 정책의 성질을 검증할 수 있는지 사전 배포 전에 검증할 수 있도록 체계적으로 구성하는 방법을 보여준다.
• 규제된 금융 기관에서 복잡한 행정 접근 제어 정책을 모델링하고 분석하는 방법론을 제공한다.

제안 방법

• 유럽 은행의 기존 RBAC 정책을 18개 지점으로 확장하여 4개 사업 부문에서 594개의 역할을 포함하는 정책을 구축한다.
• 부서 수준, 관리자 역할, 비관리자 역할을 포함한 계층적 역할 구조를 설계하며, 모든 역할은 중심 역할인 'Employee'에서 상속받는다.
• 특히 비관리자 역할에 대해 분리된 권한(SOP) 제약 조건을 강제하기 위해 양의 전제 조건과 음의 전제 조건을 포함한 can_assign 및 can_revoke 규칙을 구현한다.
• 지점 간 역할 할당에 관한 복잡한 분석 쿼리를 표현하기 위해 보조 역할(AnyFour_i 및 Branch_i)을 도입한다.
• 안전성 쿼리를 ⟨u, r⟩ 형태의 튜플로 정의하여 사용자가 목표 역할에 할당될 수 있는지 검증함으로써, SOP 성질의 형식적 검증을 가능하게 한다.
• 모델 체커를 활용하여 복잡한 접근 제어 조건을 논리 규칙과 쿼리로 표현하고 정책의 안전성을 분석한다.

실험 결과

연구 질문

• RQ1 어떻게 ARBAC의 표현력 있는 기능을 활용하여 대규모 다지점 금융 기관에서 분리된 권한(SOP)을 효과적으로 모델링하고 강제할 수 있는가?
• RQ2 논리합, 양의 전제 조건, 혼합 역할은 실제 ARBAC 정책에서 SOP 제약 조건을 어떻게 표현하는가?
• RQ3 다중 지점 역할 할당 제약 조건과 같은 복잡한 접근 제어 성질을 검증하기 위해 안전성 쿼리를 어떻게 체계적으로 구성할 수 있는가?
• RQ4 대규모 다국적 조직에서 ARBAC의 행정 규칙(can_assign 및 can_revoke)은 얼마나 확장 가능하며 유지 관리가 가능한가?
• RQ5 실제 은행 환경에서 안전성 쿼리를 통해 형식적 검증을 수행하면, 정책 배포 이전에 SOP 위반 사항을 탐지할 수 있는가?

주요 결과

• ARBAC 정책은 논리합, 양의 전제 조건, 혼합 역할을 활용하여 18개 지점 전역에서 분리된 권한을 성공적으로 강제하여 사용자가 상충되는 역할을 동시에 소지하는 것을 방지했다.
• 보조 역할(AnyFour_i 및 Branch_i)의 사용으로 다중 지점 역할 할당에 관한 복잡한 쿼리를 형식적으로 표현할 수 있었으며, 예를 들어 사용자가 적어도 한 곳 또는 모든 지점에서 4개의 비관리자 역할을 소지할 수 있는지 여부를 분석할 수 있었다.
• ⟨u, r⟩ 형태의 안전성 쿼리는 정책 성질 검증에 효과적이었으며, 목표 역할에 할당되기 위해서는 사용자가 모든 지정된 전제 조건을 충족해야만 허용되었다.
• 정책 설계 과정을 통해 ARBAC의 표현력 있는 기능은 복잡성을 증가시키지만, 금융 기관에서 실제 보안 요구 사항(예: 분리된 권한)을 모델링하는 데 필수적임을 입증했다.
• 비관리자 역할의 can_assign 규칙는 양의 전제 조건과 음의 전제 조건의 조합을 신중히 설계하여 역할 간 충돌을 방지하고 행정적 안전성을 확보했다.
• 594개의 can_assign 및 594개의 can_revoke 규칙를 포함한 전체 정책는 구현되었으며, 분석을 위해 공개되어 있어 ARBAC가 대규모 시스템에서 실현 가능하다는 점을 검증했다.