[论文解读] ARBAC Policy for a Large Multi-National Bank

Karthick Jayaraman, Vijay Ganesh+3 more|arXiv (Cornell University)|Oct 13, 2011

Access Control and Trust参考文献 5被引用 3

一句话总结

本文 presents一项在拥有18家分支机构的大型跨国银行中实施管理型基于角色的访问控制（ARBAC）的实际案例研究，展示了ARBAC的表达性功能——析取、正向前提条件和混合角色——如何强制执行权限分离（SOP），以防止共谋欺诈。研究显示，安全查询可正式验证SOP合规性，证明ARBAC在复杂且受监管的金融环境中的实用性。

ABSTRACT

Administrative role-based access control (ARBAC) is the first comprehensive administrative model proposed for role-based access control (RBAC). ARBAC has several features for designing highly expressive policies, but current work has not highlighted the utility of these expressive policies. In this report, we present a case study of designing an ARBAC policy for a bank comprising 18 branches. Using this case study we provide an assessment about the features of ARBAC that are likely to be used in realistic policies.

研究动机与目标

• 为拥有18家分支机构和594个角色的大型跨国银行设计可扩展的ARBAC策略。
• 在关键金融操作中强制执行权限分离（SOP），以防止共谋欺诈。
• 评估ARBAC高级功能——析取、正向前提条件和混合角色——在现实世界访问控制策略中的实际效用。
• 展示如何制定并使用安全查询，以在策略部署前正式验证策略属性。
• 为在受监管的金融机构中建模和分析复杂管理型访问控制策略提供一种方法论。

提出的方法

• 将一家欧洲银行现有的RBAC策略扩展至18家分支机构，共创建了594个角色，涵盖四个业务部门。
• 设计了分层角色结构，包括部门级、管理级和非管理级角色，所有角色均继承自一个中心化的“Employee”角色。
• 通过正向和负向前提条件实现can_assign和can_revoke规则，以强制执行SOP约束，特别是针对非管理级角色。
• 引入辅助角色（AnyFour_i和Branch_i）以编码关于跨分支机构角色分配的复杂分析查询。
• 将安全查询形式化为⟨u, r⟩元组，以验证用户是否可被分配至目标角色，从而实现对SOP属性的正式验证。
• 使用模型检测工具通过将复杂访问控制条件编码为逻辑规则和查询，分析策略的安全性。

实验结果

研究问题

• RQ1 如何有效利用ARBAC的表达性功能来建模和强制执行大型多分支机构金融机构中的权限分离（SOP）？
• RQ2 析取、正向前提条件和混合角色在现实世界ARBAC策略中如何表达SOP约束？
• RQ3 如何系统性地制定安全查询，以验证诸如多分支机构角色分配约束等复杂访问控制属性？
• RQ4 ARBAC中的管理规则（can_assign和can_revoke）在大型跨国组织中是否具有可扩展性并保持可管理性？
• RQ5 通过安全查询进行的形式化验证是否能在现实银行环境中于策略部署前检测出SOP违规？

主要发现

• ARBAC策略成功地通过析取、正向前提条件和混合角色，在18家分支机构中强制执行了权限分离，防止用户持有冲突角色。
• 辅助角色（AnyFour_i和Branch_i）的使用使得能够正式编码关于多分支机构角色分配的复杂查询，例如验证用户是否可在至少一个或所有分支机构中持有四个非管理角色。
• 形式为⟨u, r⟩的安全查询在验证策略属性方面非常有效，目标角色仅在用户满足所有指定前提条件时才被分配。
• 策略设计表明，尽管ARBAC的表达性功能增加了复杂性，但它们对于建模金融机构中如SOP等现实安全需求至关重要。
• 非管理角色的can_assign规则通过正向和负向前提条件的组合精心设计，以防止角色冲突并确保管理安全性。
• 完整策略（包括594个can_assign和594个can_revoke规则）已实现并公开提供分析，验证了ARBAC在大规模系统中的可行性。