[논문 리뷰] Valued Authorization Policy Existence Problem

Jason Crampton, Eduard Eiben외 3명|arXiv (Cornell University)|2021. 06. 10.

Access Control and Trust참고 문헌 22인용 수 1

한 줄 요약

이 논문은 최소 무게를 가진 권한 정책을 반환함으로써 완벽한 해결책이 존재하지 않을 경우 '가장 나은 정책'을 제공하는 고도화된 APEP의 일반화인 Valued APEP(가중치 부여된 APEP)를 제안한다. 제약 위반에 가중치를 할당함으로써 Valued APEP는 '최소한의 악영향'을 초래하는 정책을 제공하며, 저자들은 두 가지 핵심 제약 조건을 만족할 경우 이 문제가 고정 매개변수 복잡도로 가능하다는 것을 증명한다. 이는 기존 APEP의 복잡도 결과보다 크게 향상된 것이다.

ABSTRACT

Problems of satisfiability and resiliency in workflows have been widely studied in the last decade. Recent work has shown that many such problems may be viewed as special cases of the authorization policy existence problem (APEP), which returns an authorization policy if one exists and 'No' otherwise. A solution may not exist because of the restrictions imposed by the base authorization relation and constraints that form part of the input to APEP. However, in many practical settings it would be more useful to obtain a 'least bad' policy than just a 'No', where 'least bad' is characterized by some numerical value associated with the policy indicating the extent to which the policy violates the base authorization relation and constraints. Accordingly, we introduce the Valued APEP, which returns an authorization policy of minimum weight, where the (non-negative) weight is determined by the constraints violated by the returned solution (and is 0 if all constraints are satisfied). We then establish a number of results concerning the parameterized complexity of Valued APEP. We prove that the problem is fixed-parameter tractable if the set of constraints satisfies two restrictions, but is intractable if only one of these restrictions holds. (Most constraints known to be of practical use satisfy these restrictions.) We introduce the notion of a user profile for a weighted constraint, which enables us to prove a powerful result, a corollary of which improves on known complexity results for APEP. Finally, we consider Valued APEP when restricted to particular sub-classes of constraints and show that instances of such problems can be reduced to the Valued WSP, enabling us to exploit known algorithms to solve these particular instances.

연구 동기 및 목표

• 완벽한 권한 정책이 존재하지 않을 경우 '해결 불가'를 반환하는 고전적 APEP의 한계를 해결하기 위해, '최소한의 악영향'을 초래하는 정책을 반환하는 가중치 부여된 변종을 도입한다.
• 실제 권한 시스템에서 제약 위반이 피할 수 없는 상황을 모델링하기 위해, 위반에 수치적 가중치를 할당하고 총 가중치를 최소화한다.
• 실용적인 제약 조건 하에서 Valued APEP의 매개변수 복잡도를 규명하여, 제약 조건에 대해 두 가지 구조적 제약 조건이 만족될 경우의 트랙터빌리티를 보여준다.
• 가중치가 부여된 제약 조건에 대해 사용자 프로파일을 도입함으로써, APEP에 대해 기존에 알려진 복잡도 경계를 향상시킬 수 있는 강력한 이론적 결과를 도출한다.
• 특정 하위 클래스의 Valued APEP가 Valued Workflow Satisfiability Problem(Valued WSP)로 감소됨을 보여주며, 기존 알고리즘의 활용을 가능하게 한다.

제안 방법

• 저자들은 목적 함수가 위반된 제약 조건의 총 가중치가 최소가 되는 권한 정책을 찾는 최소화 문제로 Valued APEP를 수식화한다.
• 각 가중치가 부여된 제약 조건에 대해 사용자 프로파일을 정의하여, 사용자 역할과 권한의 분포를 기록함으로써 제약 조건 간 상호작용의 구조적 분석을 가능하게 한다.
• 논문은 제약 조건이 두 가지 구조적 제약 조건을 만족할 경우 Valued APEP가 고정 매개변수 복잡도로 가능하다고 규명한다: 제약 조건의 트리 폭이 유한하고, 각 제약 조건에 포함된 역할 수가 유한하다.
• 두 제약 조건 중 하나만 만족될 경우 문제는 비결정성 문제가 되며, 이는 복잡도의 날카로운 경계를 입증한다.
• 특정 하위 클래스의 Valued APEP를 Valued WSP로 감소시켜, 특정 제약 유형에 대해 알려진 다항 시간 알고리즘의 적용을 가능하게 한다.
• 이론적 결과는 커널화 및 트리 분해 기반 동적 프로그래밍을 포함한 매개변수 복잡도 기법을 사용하여 유도된다.

실험 결과

연구 질문

• RQ1 Valued APEP가 고정 매개변수 복잡도로 가능해지는 조건는 무엇이며, 이러한 조건는 실용적인 권한 워크로드와 어떻게 관련이 있는가?
• RQ2 가중치가 부여된 제약 조건에 대한 사용자 프로파일 개념을 활용하여, 기존에 알려진 APEP의 복잡도 결과보다 더 강력한 복잡도 결과를 도출할 수 있는가?
• RQ3 두 구조적 제약 조건 중 하나를 완화할 경우 Valued APEP의 매개변수 복잡도에 어떤 영향을 미치는가?
• RQ4 특정 하위 클래스의 제약 조건에 대해 Valued APEP가 Valued WSP로 어떻게 감소할 수 있으며, 알고리즘적 해결책에 어떤 함의를 갖는가?
• RQ5 제약 위반에 가중치를 도입함으로써 권한 정책 합성의 실용성은 어느 정도 향상되는가?

주요 결과

• 제약 조건이 두 가지 구조적 제약 조건을 만족할 경우 Valued APEP는 고정 매개변수 복잡도로 가능하다: 제약 조건의 트리 폭이 유한하고, 각 제약 조건에 포함된 역할 수가 유한하다.
• 두 제약 조건 중 하나만 만족될 경우 문제는 비결정성 문제가 되며, 이는 복잡도의 날카로운 경계를 나타낸다.
• 가중치가 부여된 제약 조건에 대한 사용자 프로파일 도입으로 기존 APEP에 대한 복잡도 결과를 향상시킬 수 있는 추론 결과를 도출할 수 있다.
• Valued WSP로 감소시킬 수 있는 제약 조건의 하위 클래스로 제한된 경우 문제는 여전히 트랙터빌리티를 유지하며, 기존 효율적인 알고리즘의 재사용이 가능하다.
• 완벽한 해결책이 존재하지 않을 경우 '해결 불가'를 반환하는 고전적 APEP의 실용적 대안으로, '최소한의 악영향'을 초래하는 정책을 반환함으로써 실용성을 향상시킨다.