[论文解读] A General Approach for Securely Querying and Updating XML Data

Houari Mahfoud, Abdessamad Imine|arXiv (Cornell University)|Jan 31, 2012

Access Control and Trust参考文献 22被引用 3

一句话总结

本文提出了一种通用的访问控制模型，通过查询重写技术实现对XML数据的安全查询与更新，确保在存在读取和更新权限的情况下仍能保障机密性与完整性。该模型引入了两步重写过程，能够处理递归DTD和安全视图，防止通过掩蔽数据的更新操作引发推理攻击。

ABSTRACT

Over the past years several works have proposed access control models for XML data where only read-access rights over non-recursive DTDs are considered. A few amount of works have studied the access rights for updates. In this paper, we present a general model for specifying access control on XML data in the presence of update operations of W3C XQuery Update Facility. Our approach for enforcing such updates specifications is based on the notion of query rewriting where each update operation defined over arbitrary DTD (recursive or not) is rewritten to a safe one in order to be evaluated only over XML data which can be updated by the user. We investigate in the second part of this report the secure of XML updating in the presence of read-access rights specified by a security views. For an XML document, a security view represents for each class of users all and only the parts of the document these users are able to see. We show that an update operation defined over a security view can cause disclosure of sensitive data hidden by this view if it is not thoroughly rewritten with respect to both read and update access rights. Finally, we propose a security view based approach for securely updating XML in order to preserve the confidentiality and integrity of XML data.

研究动机与目标

• 为解决缺乏同时支持XML数据读取与更新操作的全面访问控制模型的问题。
• 提供一个统一框架，用于指定针对任意DTD（包括递归DTD）的更新策略。
• 防止在安全视图隐藏敏感数据的情况下，通过更新操作引发推理攻击。
• 确保仅对用户既可访问又可更新的节点执行更新操作。
• 扩展现有安全视图模型，以支持安全的更新操作，同时保持数据机密性与完整性。

提出的方法

• 该方法采用两阶段查询重写技术：首先根据用户的读取权限重写目标XPath表达式，然后根据更新权限再次重写。
• 引入了一种重写算法“Rewrite”，将更新操作转换为仅作用于可访问节点的安全形式，使用访问控制注解（A^acc）和更新权限注解（U_delete等）。
• 通过在XML树结构中传播访问控制约束，处理递归DTD，确保重写过程中作用域传播的正确性。
• 使用安全视图来建模用户特定的数据可见性，系统确保对这些视图的更新操作不会导致隐藏数据的意外披露。
• 该方法与W3C XQuery Update Facility集成，支持对XML节点的插入、删除和替换等操作。
• 重写过程包含谓词重写（RW_Pred），以确保更新操作中的条件不会无意中访问或推断出敏感数据。

实验结果

研究问题

• RQ1 如何为任意DTD（包括递归DTD）统一建模XML数据的更新访问控制？
• RQ2 在安全视图隐藏敏感数据的情况下，应采用何种机制防止更新操作引发的推理攻击？
• RQ3 如何利用查询重写同时强制实施读取与更新访问控制？
• RQ4 应满足哪些必要条件，以确保更新操作不会泄露用户不可见节点的信息？
• RQ5 当读取和更新权限定义在复杂且可能递归的XML结构上时，如何保持更新操作的安全性？

主要发现

• 所提出的模型通过将更新操作重写为仅作用于用户既可读又可更新的节点，成功防止了推理攻击，消除了对隐藏数据的间接披露。
• 重写算法确保更新操作中的谓词被转换为尊重访问控制注解的形式，因此像“not (exists(...))”这样的条件不会泄露关于不可访问节点的信息。
• 在医院示例中，当目标患者不可见时，对安全视图的重写更新操作对原始文档无任何影响，从而防止了关于患者存在性或数据的推理。
• 该方法通过在树结构中传播访问控制约束，支持对递归DTD的安全更新，即使在复杂层次结构中也能保持正确性。
• 该方法是首个为任意DTD和递归安全视图提供读写访问控制统一解决方案的方法，确保了机密性与完整性。
• 评估结果表明，若无适当的重写机制，对安全视图的更新操作可能导致信息泄露；但通过重写，此类泄露可被完全消除。