[论文解读] Attribute-Based Access Control for Smart Cities: A Smart Contract-Driven Framework

Yuanyu Zhang, Mirei Yutaka+2 more|arXiv (Cornell University)|Sep 7, 2020

Blockchain Technology Applications and Security参考文献 31被引用 5

一句话总结

本文提出了一种基于区块链的去中心化属性基访问控制（ABAC）框架，用于智慧城市，利用以太坊智能合约管理策略、主体/对象属性及访问决策。与基于ACL的方案相比，该框架在大规模系统中表现出更低的长期运营成本，尤其适用于具有动态、细粒度访问需求的场景。

ABSTRACT

Efficient and reliable access control in smart cities is critical for the protection of various resources for decision making and task execution. Existing centralized access control schemes suffer from the limitations of single point of failure, low reliability and poor scalability. This paper therefore proposes a distributed and reliable access control framework for smart cities by combining the blockchain smart contract technology and the Attribute-Based Access Control (ABAC) model. The framework consists of one Policy Management Contract (PMC) for managing the ABAC policies, one Subject Attribute Management Contract (SAMC) for managing the attributes of subjects (i.e., entities accessing resources), one Object Attribute Management Contract (OAMC) for managing the attributes of objects (i.e., resources being accessed), and one Access Control Contract (ACC) for performing the access control. To show the feasibility of the proposed framework, we construct a local private Ethereum blockchain system to implement the four smart contracts and also conduct experiments to evaluate the monetary cost as well as to compare the proposed framework with an existing Access Control List (ACL)-based scheme. The experimental results show that although the proposed scheme consumes more money than the ACL-based scheme at the deployment stage, it introduces less monetary cost during the system running especially for large-scale smart cities.

研究动机与目标

• 为解决智慧城市中集中式访问控制的局限性，包括单点故障、可扩展性差以及易受攻击等问题。
• 设计一种适用于智慧城市大规模、分布式物联网环境的去中心化、可信且动态的访问控制系统。
• 实现可根据时间、位置和用户角色等上下文因素动态调整的细粒度访问控制。
• 与现有的基于访问控制列表（ACL）的方案相比，降低大规模智慧城市部署中的长期运营成本。
• 评估在私有以太坊区块链上通过智能合约实现ABAC的可行性与成本效率。

提出的方法

• 该框架使用四个以太坊智能合约：策略管理合约（PMC）、主体属性管理合约（SAMC）、对象属性管理合约（OAMC）和访问控制合约（ACC）。
• ABAC策略通过PMC在区块链上编码并管理，支持动态和策略驱动的访问决策。
• 主体和对象的属性（如角色、位置和访问权限）分别通过SAMC和OAMC进行存储和管理。
• ACC通过检查主体属性是否符合PMC中编码的策略条件来评估访问请求，返回允许/拒绝的决策。
• 系统在本地私有以太坊区块链上实现，以评估气体消耗和成本效率。
• 通过实验测量部署和运营成本，将ABAC框架与现有的基于ACL的方案进行比较。

Figure 1: The proposed ABAC framework.

实验结果

研究问题

• RQ1 基于智能合约的ABAC框架能否有效替代大规模智慧城市环境中的集中式访问控制？
• RQ2 在长期运营效率方面，ABAC框架的部署和运行气体成本与基于ACL的方案相比如何？
• RQ3 在物联网赋能的智慧城市中，动态、细粒度访问控制对系统成本和可扩展性有何影响？
• RQ4 在不同数量的主体和对象下，尤其是在最坏情况场景下，该框架的性能表现如何？
• RQ5 在支持去中心化、防篡改访问控制的同时，该框架能否保持安全性和可靠性？

主要发现

• 所提出的ABAC框架在最坏情况（涉及300个新主体和多个对象）下的初始部署成本高于基于ACL的方案，约为119,791.07美元。
• 尽管部署成本较高，但ABAC框架的运营成本显著降低，最佳情况下仅为49.125美元，远低于基于ACL方案的8,720.20美元。
• 在主体和对象间存在常见属性的大规模部署中，ABAC模型相比基于ACL的方法可将运营成本降低高达99.4%。
• 该框架在私有以太坊区块链上表现出可行性与可扩展性，核心操作（如策略管理、属性更新和访问控制决策）的气体消耗已量化测量。
• 吞吐量受限于以太坊1.0的每秒15笔交易，但未来迁移到采用PoS和分片技术的以太坊2.0后，性能有望提升64至数百倍。
• 该系统与底层区块链解耦，可在更快速的区块链上部署，以提升可扩展性并降低延迟。

Figure 2: Access control process.