[论文解读] Security Policy Consistency

Carlos Ribeiro, André Zúquete+2 more|ArXiv.org|Jun 30, 2000

Access Control and Trust参考文献 11被引用 24

一句话总结

本文提出PCV，一种基于约束处理规则（CHR）语言的工具，利用形式化约束推理检测多种类型的访问控制策略不一致——包括策略内部及策略与工作流规范之间的不一致。该工具可在复杂、多策略环境中检测冲突、策略覆盖和策略不相容问题，并通过SPL和WPDL规范进行验证。

ABSTRACT

With the advent of wide security platforms able to express simultaneously all the policies comprising an organization's global security policy, the problem of inconsistencies within security policies become harder and more relevant. We have defined a tool based on the CHR language which is able to detect several types of inconsistencies within and between security policies and other specifications, namely workflow specifications. Although the problem of security conflicts has been addressed by several authors, to our knowledge none has addressed the general problem of security inconsistencies, on its several definitions and target specifications.

研究动机与目标

• 解决现有方法对多样化安全策略不一致（除简单冲突外）缺乏系统化检测的问题。
• 不仅支持安全策略内部的一致性检查，也支持安全策略与其他基于约束的规范（如工作流模型）之间的一致性检查。
• 提供一种灵活、可扩展的验证框架，可适应不同组织的策略与规范类型。
• 克服临时性冲突解决机制掩盖真实不一致性的局限性。
• 支持在统一平台中集成复杂、多层安全策略，同时保证正确性。

提出的方法

• 以约束处理规则（CHR）语言为基础，用于指定和执行一致性检查。
• 使用SPL语言建模安全策略，使用WPDL语言建模工作流规范，两者均转换为CHR约束。
• 在CHR中定义简化与传播规则，以检测诸如策略覆盖、禁止所有操作以及冲突访问规则等不一致。
• 引入“simpagation”规则，将简化与传播统一于单一规则形式，提升表达能力。
• 使用“open”和“close”假设作为桥梁，连接三值安全逻辑与工作流约束中的二值逻辑。
• 在SICstus Prolog的CHR求解器上实现PCV工具，执行约300条CHR规则，以验证策略与工作流组合的一致性。

实验结果

研究问题

• RQ1 在复杂、多策略安全规范与其他组织约束之间，存在哪些类型的不一致？
• RQ2 如何通过统一的形式化框架检测超出简单策略冲突的不一致，包括策略覆盖与策略不一致？
• RQ3 基于约束的方法（如CHR）能否有效建模并验证安全策略与工作流规范之间的一致性？
• RQ4 需要何种机制来弥合三值安全逻辑与工作流系统中二值逻辑之间的语义鸿沟？
• RQ5 像PCV这样的工具在多大程度上可泛化并适配不同的组织策略与规范模型？

主要发现

• PCV成功检测到SPL-based安全策略中的多种不一致类型，包括策略覆盖、互斥性冲突以及冲突访问规则。
• 该工具识别出安全策略与WPDL工作流规范之间的不一致，例如因策略过于严格而导致工作流中出现禁止访问的情况。
• 通过使用“open”和“close”假设，实现了三值安全逻辑与二值工作流逻辑之间的语义衔接，增强了跨规范一致性检查能力。
• 该原型包含约300条CHR规则，能够处理SPL与WPDL的所有约束，证明了其在真实策略组合场景下的可扩展性。
• 对职责分离、信息流等安全策略组合的实验表明，PCV在检测不一致方面表现良好。
• 与临时性冲突解决策略相比，PCV通过暴露真实不一致而非通过优先级规则掩盖问题，展现出更优的性能。