[논문 리뷰] On Secure Distributed Implementations of Dynamic Access Control

Avik Chaudhuri|ArXiv.org|2008. 05. 30.

Cryptography and Data Security참고 문헌 22인용 수 4

한 줄 요약

이 논문은 능력 기반 분산 액세스 제어 구현에 대한 형식적 분석을 제시하며, 동적 액세스 정책에서의 핵심적인 정확성 문제를 드러낸다. 논문은 논리 시계를 도입하고 사양을 일반화하여 안전성과 보안성을 확보하는, 보안적이고 형식적으로 검증된 분산 구현을 제안한다. 이는 시뮬레이션 기반 증명과 다른 상태 기반 계산에 적용 가능한 설계 원칙을 통해 이루어진다.

ABSTRACT

Distributed implementations of access control abound in distributed storage protocols. While such implementations are often accompanied by informal justifications of their correctness, our formal analysis reveals that their correctness can be tricky. In particular, we discover several subtleties in a standard protocol based on capabilities, that can break security under a simple specification of access control. At the same time, we show a sensible refinement of the specification for which a secure implementation of access control is possible. Our models and proofs are formalized in the applied pi calculus, following some new techniques that may be of independent interest. Finally, we indicate how our principles can be applied to securely distribute other state machines.

연구 동기 및 목표

• 능력 기반 분산 액세스 제어 구현의 정확성에 대한 형식적 분석을 수행하며, 특히 동적 액세스 정책 하에서의 정확성에 초점을 맞춘다.
• 간단한 액세스 제어 사양 조건 하에서도 안전성과 보안성을 해치는 미묘한 결함을 기존의 구현에서 식별한다.
• 형식적 검증과 체계적인 설계를 통해 동적 액세스 정책에 대한 보안적이고 안전한 분산 구현을 개발한다.
• 사양을 일반화하고 논리 시계를 도입하여 보안적이고 형식적으로 검증된 분산 액세스 제어를 가능하게 한다.
• 액세스 제어를 초월하여 다른 상태 기반 계산의 분산 배포에 적용 가능한 일반적인 설계 원칙을 도출한다.

제안 방법

• 응용된 피 계산법 기반의 형식 모델을 사용하여 액세스 제어 정책과 그 분산 구현을 명시한다.
• 시뮬레이션 기반 증명을 적용하여 안전성(비규격 동작 없음)과 보안성(행동 동치성 유지)을 검증한다.
• 시간 민감한 작업의 유효 기간을 제한하기 위해 논리 시계 메커니즘을 도입하여 안전성을 확보한다.
• 능력 사용에 대한 시간 제약 조건을 강제하기 위해 시스템 그래프를 수정하여 시간 기반 노드(예: $v^\#$)를 추가한다.
• 시간 제약 조건과 행동 제약 조건을 포함하도록 사양을 일반화하여 동적 정책의 보안적 구현을 가능하게 하며, 수정된 모델에서 완전 추상화를 달성한다.
• 정책 泄露 및 타이밍 사이드 채널과 같은 공격 벡터에서 유도된 설계 원칙을 보다 안전한 시스템 구축을 위한 지침으로 삼는다.

실험 결과

연구 질문

• RQ1 분산 액세스 제어 구현에서 정확성을 보장하는 형식적 기준은 무엇이며, 이 맥락에서 안전성과 보안성은 어떻게 다릅니까?
• RQ2 기존의 동적 액세스 정책 구현은 단순한 사양 조건 하에서도 왜 안전성이나 보안성을 유지하지 못합니까?
• RQ3 논리 시계는 동적 액세스 취소 시나리오에서 안전성을 복원하는 데 어떻게 활용될 수 있습니까?
• RQ4 능력 기반 동적 액세스 제어에서 보안성을 확보하기 위해 사양에 어떤 수정이 필요합니까?
• RQ5 동일한 원칙은 다른 상태 기반 계산의 보안적 분산 배포에도 일반화될 수 있습니까?

주요 결과

• 동적 액세스 정책의 안전한 구현은 능력 유효 기간을 제한하기 위해 논리 시계가 도입되어야만 가능하다.
• 시간 제약 조건과 행동 제약 조건을 포함하도록 사양을 일반화하지 않으면, 동적 액세스 제어에서 보안성을 확보할 수 없다.
• 기존의 구현은 타이밍 사이드 채널과 능력 구조를 통한 정보 泄露로 인해 액세스 정책에 대한 정보를 유출하여 보안 요구사항을 위반한다.
• 제안된 방법은 원본 모델과 수정된 모델 간의 완전 추상화를 보장하며, 시뮬레이션을 통한 증명을 통해 정확성을 입증한다.
• 이 분석에서 도출된 설계 원칙은 액세스 제어를 초월하여 다른 상태 기반 계산의 보안적 분산 배포에 적용 가능하다.