[논문 리뷰] Towards A Generic Formal Framework for Access Control Systems

Jason Crampton, C. Morisset|arXiv (Cornell University)|2012. 04. 11.

Access Control and Trust참고 문헌 20인용 수 7

한 줄 요약

이 논문은 속성 기반 접근 제어 모델에서 단조성과 완전성과 같은 핵심 성질을 분석할 수 있는 일반적인 형식적 프레임워크를 제안한다. 요청, 정책, 결정 논리와 같은 핵심 구성 요소를 추상화함으로써, 이 프레임워크는 단조적이며 완전한 모델의 형식적 명세를 가능하게 하며, XACML과 같은 기존 표준의 평가 및 개선을 위한 기반을 제공한다. 저자들은 XACML이 단조적이지도 않고 완전하지도 않음을 입증한다.

ABSTRACT

There have been many proposals for access control models and authorization policy languages, which are used to inform the design of access control systems. Most, if not all, of these proposals impose restrictions on the implementation of access control systems, thereby limiting the type of authorization requests that can be processed or the structure of the authorization policies that can be specified. In this paper, we develop a formal characterization of the features of an access control model that imposes few restrictions of this nature. Our characterization is intended to be a generic framework for access control, from which we may derive access control models and reason about the properties of those models. In this paper, we consider the properties of monotonicity and completeness, the first being particularly important for attribute-based access control systems. XACML, an XML-based language and architecture for attribute-based access control, is neither monotonic nor complete. Using our framework, we define attribute-based access control models, in the style of XACML, that are, respectively, monotonic and complete.

연구 동기 및 목표

• 접근 제어 시스템을 위한 일반적인 형식적 프레임워크를 개발하여 단조성 및 완전성과 같은 핵심 성질에 대한 추론을 가능하게 한다.
• XACML과 같은 기존 접근 제어 언어의 한계를 해결하기 위해, 단조적이며 완전한 모델를 형식적으로 특성화함으로써, 이러한 성질을 갖는 모델을 제안한다.
• 접근 제어 정책 언어의 표현력과 보안 성질을 평가하기 위한 체계적인 방법을 제공한다.
• 정책 연결자, 결정 집합, 원자 정책과 같은 구성 요소를 기반으로 서로 다른 접근 제어 모델을 형식적으로 비교할 수 있도록 한다.
• 표현력과 보안성을 동시에 확보하는 접근 제어 시스템의 설계를 지원하여, 비단조적 행동으로 인한 취약성을 방지한다.

제안 방법

• 프레임워크는 접근 제어 시스템을 요청(속성 포함), 원자 정책, 정책 결정, 평가 함수 등의 핵심 구성 요소로 추상화한다.
• 권한 정책은 단말 노드가 원자 정책을 나타내고 내부 노드가 논리 연산자를 나타내는 트리로 모델링되며, 결정은 평가 함수를 통해 계산된다.
• 단조성은 추가적인 속성이 요청자의 결과를 향상시킬 수 없음을 보장하는 성질로 정의되며, 결정 순서(예: 0 < ⊥ < 1)에 따라 정의된다.
• 완전성은 주어진 원자 정책 집합, 결정 집합, 정책 연결자를 사용하여 모든 가능한 이상 정책을 표현할 수 있는 능력으로 정의된다.
• 다중 진리값 및 부분 논리를 사용하여, 정책 평가의 형식적 의미에 기반해 증명 가능한 단조성 또는 완전성을 갖는 모델을 구축한다.
• 특정 구성 요소를 선택하여 다양한 접근 제어 모델을 인스턴스화할 수 있으며, 이는 그 성질에 대한 체계적 분석을 가능하게 한다.

실험 결과

연구 질문

• RQ1 특정 정책 언어에 종속되지 않고 접근 제어 모델에서 단조성과 완전성을 분석할 수 있는 일반적인 형식적 프레임워크를 개발할 수 있는가?
• RQ2 XACML은 왜 단조적이지도 않고 완전하지 않은가? 어떤 조건에서 이를 단조적이며 완전하게 만들 수 있는가?
• RQ3 고정된 원자 정책 집합과 결정 의미론을 바탕으로, 단조적이며 완전한 모델를 형식적으로 구성할 수 있는가?
• RQ4 정책 연결자의 선택, 결정 집합과 접근 제어 모델의 완전성 간의 관계는 무엇인가?
• RQ5 프레임워크는 보안 성질인 활성화성(liveness)과 안전성(safety)을 유지하면서 접근 제어 정책의 진화를 어떻게 지원할 수 있는가?

주요 결과

• 표준 결정 순서에 기반해 XACML이 단조적이지도 않고 완전하지도 않다는 것이 형식적으로 입증되었으며, 이는 설계상의 근본적 한계를 드러낸다.
• 프레임워크는 추가 속성이 요청자의 권한 결과를 향상시키지 못하도록 보장함으로써, 속성 기반 접근 제어 모델이 증명 가능한 단조성을 갖도록 할 수 있도록 한다.
• 프레임워크는 주어진 원자 정책 집합, 결정 집합, 연결자를 사용해 모든 이상 정책을 표현할 수 있는 모델을 구축하는 데에 기여한다.
• 형식화 과정에서 단조성이 결정 순서에 민감함이 드러났으며, 사용하는 결정 격자에 따라 더 강력한 단조성 형태가 존재한다.
• 프레임워크는 정책의 동치성, 순서, 최적성 분석을 가능하게 하여, 실현 가능한 정책과 이상 접근 제어 요구사항 간의 비교를 지원한다.
• 향후 연구에서는 행정 정책과 정책 진화 규칙을 프레임워크 내에서 모델링하여 활성화성과 안전성 성질의 형식적 검증을 가능하게 할 수 있다.