[논문 리뷰] Context-aware Authorization in Highly Dynamic Environments

Jean‐Yves Tigli, Stéphane Lavirotte외 3명|arXiv (Cornell University)|2011. 02. 25.

Access Control and Trust참고 문헌 26인용 수 15

한 줄 요약

이 논문은 스마트 홈과 같이 매우 동적인 환경에서, 위치, 시간, 장치 상태와 같은 실시간 맥락적 요소에 의해 접근 제어 결정이 영향을 받는 맥락 인식 접근 제어 모델을 제안한다. 웹 서비스인 UPnP 및 DPWS에 맥락을 통합함으로써 기존의 인증 기반 접근 제어를 초월하여 세밀하고 상황에 민감한 접근 정책을 시행함으로써 보안을 향상시키며, 스마트 홈 보안 시나리오에서 프로토타입을 통해 검증되었다.

ABSTRACT

Highly dynamic computing environments, like ubiquitous and pervasive computing environments, require frequent adaptation of applications. Context is a key to adapt suiting user needs. On the other hand, standard access control trusts users once they have authenticated, despite the fact that they may reach unauthorized contexts. We analyse how taking into account dynamic information like context in the authorization subsystem can improve security, and how this new access control applies to interaction patterns, like messaging or eventing. We experiment and validate our approach using context as an authorization factor for eventing in Web service for device (like UPnP or DPWS), in smart home security.

연구 동기 및 목표

• 인증 이후에도 변화하는 맥락에 관계없이 지속적인 접근 권한을 부여하는 전통적 접근 제어 모델의 한계를 해결한다.
• 맥락 정보를 접근 결정에 통합하여 퍼스널 및 유비쿼터스 컴퓨팅과 같은 매우 동적인 환경에서 보안을 향상시킨다.
• 메시징 및 이벤트 기반 상호작용 패턴을 포함한 이벤트 기반 상호작용 패턴에 적응형 접근 제어를 가능하게 한다.
• UPnP 및 DPWS와 같은 표준을 사용하여 스마트 홈 보안 시스템에 적용 가능한 맥락 인식 접근 제어 프레임워크를 설계하고 검증한다.
• 맥락 인식 정책이 변동성이 크고 맥락에 민감한 환경에서 비정상적인 접근의 위험을 감소시킨다는 것을 입증한다.

제안 방법

• 시간, 위치, 장치 상태와 같은 맥락적 속성을 포함함으로써 기존의 역할 기반 접근 제어(RBAC)를 확장한 맥락 인식 접근 제어 모델을 도입한다.
• 접근 결정을 맥락 조건에 바인딩하는 정책 언어를 정의하여 런타임에서 접근 요청의 정책 평가를 가능하게 한다.
• 이벤트 전달 프로토콜인 UPnP 및 DPWS를 지원하는 웹 서비스 프레임워크 내에서 모델을 구현한다.
• 접근 요청이 발생할 때 실시간으로 맥락 인식 정책을 평가하는 중앙 집중식 접근 제어 엔진을 사용한다.
• 센서, 장치 상태 모니터링 장치 등 맥락 데이터 수집 메커니즘을 통합하여 정책 평가를 위한 동적 맥락 정보를 확보한다.
• 스마트 홈 환경에서 프로토타입을 구현하여 장치 상호작용 및 이벤트 알림 보안에 초점을 맞춰 접근 방법을 검증한다.

실험 결과

연구 질문

• RQ1 매우 동적인 컴퓨팅 환경에서 맥락을 효과적으로 모델링하고 접근 제어 결정에 통합할 수 있는가?
• RQ2 전통적인 인증 기반 모델에 비해 맥락 인식 접근 제어가 보안에 얼마나 향상되는가?
• RQ3 UPnP 및 DPWS와 같은 이벤트 기반 웹 서비스 아키텍처에서 맥락 인식 정책을 효율적으로 시행할 수 있는가?
• RQ4 런타임에서 맥락 정보를 수집하고 표현하며 평가하는 데 실질적인 도전 과제는 무엇인가?
• RQ5 빠르게 변화하는 환경에서 정책 충돌이나 일관성 없는 정책을 제안된 모델이 어떻게 처리하는가?

주요 결과

• 접근 결정에 맥락을 통합함으로써 사용자 역할만으로는 충분하지 않은 동적 환경에서 비정상 접근의 위험을 크게 감소시킨다.
• 프로토타입 구현이 스마트 홈 환경에서 맥락 인식 정책을 성공적으로 시행하여 실현 가능성과 낮은 런타임 오버헤드를 입증했다.
• 웹 서비스의 이벤트 전달 및 메시징 패턴이 맥락 인식 정책을 통해 효과적으로 보호되어, 유효하고 맥락에 적합한 이벤트만 처리됨을 보장했다.
• 사용자 위치, 시간대, 장치 상태의 변화에 따라 재인증 없이도 세밀한 접근 제어를 가능하게 했다.
• 평가 결과, 맥락 인식 접근 제어가 동적 서비스 환경에서 세션 해킹 및 권한 상승 공격에 대한 시스템의 내성을 향상시켰다.
• 모델이 기존의 웹 서비스 표준인 UPnP 및 DPWS와 확장 가능하고 호환되어 기존 시스템과의 호환성과 점진적 배포를 가능하게 했다.