[논문 리뷰] Function-Based Access Control (FBAC): From Access Control Matrix to Access Control Tensor

Yvo Desmedt, Arash Shaghaghi|arXiv (Cornell University)|2016. 09. 15.

Access Control and Trust참고 문헌 35인용 수 4

한 줄 요약

이 논문은 기존의 2차원 접근 제어 행렬을 대체하여 데이터 세그먼트 수준에서 기능별로 세밀하게 제어할 수 있는 3차원 접근 제어 텐서(Act)를 도입하는 기능 기반 접근 제어(FBAC)라는 새로운 접근 제어 모델을 제안한다. 이를 통해 정당한 접근 권한을 가진 사용자라도 과도한 권한을 악용하는 것을 방지하여, 위클리이크스 및 영국 재정국(HMRC) 데이터 泄密 사고와 같은 내부자 위협에 대한 기초적인 해결책을 제공한다.

ABSTRACT

Security researchers have stated that the core concept behind current implementations of access control predates the Internet. These assertions are made to pinpoint that there is a foundational gap in this field, and one should consider revisiting the concepts from the ground up. Moreover, Insider threats, which are an increasing threat vector against organizations are also associated with the failure of access control. Access control models derived from access control matrix encompass three sets of entities, Subjects, Objects and Operations. Typically, objects are considered to be files and operations are regarded as Read, Write, and Execute. This implies an `open sesame' approach when granting access to data, i.e. once access is granted, there is no restriction on command executions. Inspired by Functional Encryption, we propose applying access authorizations at a much finer granularity, but instead of an ad-hoc or computationally hard cryptographic approach, we postulate a foundational transformation to access control. From an abstract viewpoint, we suggest storing access authorizations as a three-dimensional tensor, which we call Access Control Tensor (ACT). In Function-based Access Control (FBAC), applications do not give blind folded execution right and can only invoke commands that have been authorized for data segments. In other words, one might be authorized to use a certain command on one object, while being forbidden to use exactly the same command on another object. The theoretical foundations of FBAC are presented along with Policy, Enforcement and Implementation (PEI) requirements of it. A critical analysis of the advantages of deploying FBAC, how it will result in developing a new generation of applications, and compatibility with existing models and systems is also included. Finally, a proof of concept implementation of FBAC is presented.

연구 동기 및 목표

• 기존의 2차원 행렬에 의존하는 접근 제어 모델의 근본적 한계를 해결하기 위해, 접근 권한이 부여된 후 데이터를 악용당하는 과도한 권한을 가진 사용자가 악용하는 것을 방지한다.
• 위클리이크스 및 HMRC 데이터 泄密 사례로 나타난 바와 같이, 정당한 자격 증명을 가진 사용자가 데이터를 유출하는 내부자 공격의 증가 추세에 대응한다.
• 기존의 데이터 객체 수준의 제약을 넘어서, 특정 작업(예: 복사, 이메일 전송) 수준에서 데이터 세그먼트 수준에서 제약을 부과하는 새로운 접근 제어 기반을 개발한다.
• 클라우드 플랫폼과 모바일 디바이스와 같은 현대 시스템에서 데이터 접근 권한과 전체 실행 권한을 분리함으로써 안전하고 선택적인 정보 공유를 가능하게 한다.
• FBAC의 정책, 실행, 구현(PEI)을 위한 공식적인 프레임워크를 제공하여 기존 시스템과의 호환성을 확보하면서도 새로운 보안 보장을 가능하게 한다.

제안 방법

• 기본적인 접근 제어 행렬(주체 × 대상)을 주체 × 대상 × 기능의 3차원 텐서로 대체하여 기능별 권한 부여를 가능하게 한다.
• 각 항목(s, o, f)이 주체 s가 대상 o에서 기능 f를 수행하는 것을 허가하는지 여부를 지정하는 텐서로서 접근 권한을 정의한다.
• 파일 수준이 아니라 데이터 세그먼트 수준에서 모델을 적용하여, 검색, 복사, 인쇄와 같은 작업에 대한 세밀한 제어를 가능하게 한다.
• 모든 시스템 호출과 기능 호출을 중재함으로써 FBAC 정책을 시행하는 보안 커널 기반의 참조 모니터 아키텍처를 설계한다.
• 정책 시행이 암호학적으로 타당하고 변조에 강한 것을 보장하기 위해 기능 암호화와 디지털 서명과 같은 암호 기반 원리를 통합한다.
• Android용 프로토타입 구현을 개발하여 FBAC가 실제 모바일 환경에서 구현 가능한지를 입증한다.

실험 결과

연구 질문

• RQ1 정당한 자격 증명을 가진 사용자라도 과도한 권한을 악용하는 내부자 위협을 방지하기 위해 접근 제어를 어떻게 근본적으로 재구성할 수 있는가?
• RQ2 2차원 행렬이 표현할 수 없는 바를 넘어서, 3차원 접근 제어 텐서(Act) 모델이 데이터 세그먼트 수준에서 기능별로 세밀하게 제어할 수 있는 권한을 얼마나 잘 포괄하고 실행할 수 있는가?
• RQ3 ACT 기반의 실용적이고 기존 시스템과의 호환성이 확보된 접근 제어 모델의 정책, 실행, 구현(PEI) 요구사항은 무엇인가?
• RQ4 운영 체제, 클라우드 플랫폼, 모바일 애플리케이션과 같은 기존 시스템에 아키텍처 전체를 대체하지 않고도 FBAC를 어떻게 통합할 수 있는가?
• RQ5 기능 암호화와 비밀 분할과 같은 암호 기반 메커니즘이 FBAC 정책을 안전하고 효율적으로 시행하기 위해 어떻게 적응될 수 있는가?

주요 결과

• 접근 제어 텐서(Act) 모델은 주체 × 대상 × 기능의 3차원 접근 권한 표현을 가능하게 하여 기존의 2차원 접근 제어 행렬이 표현할 수 없는 세밀한 권한 부여를 가능하게 한다.
• FBAC는 사용자가 데이터를 볼 수 있도록 허가된 경우에도 복사나 인쇄와 같은 작업을 제한함으로써 내부자 위협을 방지한다.
• 프로토타입 구현을 통해 FBAC가 Android에서 실제로 구현 가능하며, 모바일 애플리케이션에서 기능 수준의 접근 제어를 가능하게 함을 입증했다.
• 특정 데이터 세그먼트에서만 허가된 기능(예: 검색, 보기)을 허용하고 다른 기능(예: 복사, 내보내기)은 차단함으로써 클라우드 및 모바일 환경에서 선택적 정보 공유를 지원한다.
• 데이터 접근 권한과 실행 권한을 분리함으로써 과도한 권한을 가진 사용자가 정당한 접근을 악용하는 위험을 줄일 수 있도록 하여 새로운 보안 보장을 제공한다.
• 기존 정책 언어인 XACML을 기능 차원을 지원하도록 확장하는 데에는 중요한 연구 격차가 있음을 밝혀내었으며, FBAC에 특화된 새로운 사양 언어의 필요성을 제기한다.