[论文解读] An Audit Logic for Accountability

Jan Cederquist, Ricardo Corin+3 more|University of Twente Research Information|Feb 24, 2005

Access Control and Trust被引用 9

一句话总结

本文提出了一种用于去中心化系统中问责机制的审计逻辑框架，适用于无法实施策略执行的场景。该框架使各方能够分发带有使用策略的数据，并采用携带证明的审计机制，由权威机构通过检查各方提供的正当理由来事后验证合规性，从而在无需运行时强制执行的情况下实现问责。

ABSTRACT

We describe and implement a policy language. In our system, agents can distribute data along with usage policies in a decentralized architecture. Our language supports the specification of conditions and obligations, and also the possibility to refine policies. In our framework, the compliance with usage policies is not actively enforced. However, agents are accountable for their actions, and may be audited by an authority requiring justifications.

研究动机与目标

• 解决在去中心化、不可信环境中强制执行数据使用策略的挑战，其中集中式执行不可行。
• 通过允许权威机构基于可验证的合规性证明，在事件发生后审计各方行为，提供问责机制。
• 支持表达性强的策略规范，包括条件、义务、变量和策略精炼，以实现灵活的策略共享。
• 通过在审计时使用形式化证明系统，将策略执行与运行时控制解耦，将责任转移至审计时验证。
• 通过允许多个或去中心化的权威机构基于可观测行为和日志验证各方行为，实现动态和分布式的审计。

提出的方法

• 定义一种支持条件、义务、变量和量词的策略语言，以实现表达性强的策略规范。
• 引入使用 Twelf 证明检查器的形式化证明系统，用于建模和验证各方提供的合规性正当理由。
• 通过三个核心函数建模审计过程：可观测性（哪些行为是可见的）、结论推导（如何得出结论）和证明义务（需要何种证明）。
• 支持策略委托和精炼，使各方能够从已有策略生成新策略，提升策略传播的灵活性。
• 实现一种递归审计程序，确保其终止，并允许权威机构基于日志和传递的策略验证各方行为。
• 采用基于逻辑的框架，要求各方提供合规性证明，审计者使用形式化系统验证这些证明，确保不可否认性以及对审计结果的信任。

实验结果

研究问题

• RQ1 在运行时策略执行不可行的去中心化系统中，如何确保问责？
• RQ2 何种形式化机制允许各方为其行为提供可验证的合规性正当理由？
• RQ3 如何在不依赖可信执行组件的前提下，灵活地在不可信各方之间共享、精炼和审计策略？
• RQ4 权威在审计中扮演何种角色？如何实现多个观察者之间的动态和分布式审计？
• RQ5 如何构建并验证一个形式化证明系统，以支持对各方行为的事后审计？

主要发现

• 该框架通过将策略执行从运行时转移到事后审计，并结合形式化证明检查，实现了去中心化系统中的问责。
• 采用携带证明的机制，使审计者能够使用形式化证明验证各方的合规性，确保不可否认性并增强对审计结果的信任。
• 通过支持策略精炼和委托的逻辑，各方能够从已有策略生成新策略，提升了表达能力与复用性。
• 在 Twelf 中的实现提供了一个形式化、机器可检查的系统，用于建模证明及其验证，确保正确性与一致性。
• 审计过程可自定义，并可适应不同级别的可观测性，可观测性越强，审计结果的置信度越高。
• 该系统不在运行时强制执行策略，但若各方违反策略，将面临被检测和问责的风险，使不合规行为代价高昂且可追溯。