[论文解读] Detecting Incompleteness, Conflicting and Unreachability XACML Policies using Answer Set Programming

Carroline Dewi Puspa Kencana Ramli|arXiv (Cornell University)|Mar 9, 2015

Logic, Reasoning, and Knowledge参考文献 7被引用 9

一句话总结

本文提出了一种基于答案集编程（ASP）的框架，用于自动检测 XACML 3.0 访问控制策略中的不完整性、冲突以及不可达策略。通过将 XACML 组件编码并结合算法转化为逻辑程序，该方法实现了对策略集的高效静态分析，以识别问题模式，主要贡献包括对不可达策略的正式检测以及通过 ASP 求解器实现的冲突解决支持。

ABSTRACT

Recently, XACML is a popular access control policy language that is used widely in many applications. Policies in XACML are built based on many components over distributed resources. Due to the expressiveness of XACML, it is not trivial for policy administrators to understand the overall effect and consequences of XACML policies they have written. In this paper we show a mechanism and a tool how to analyses big access control policies sets such as (i) incompleteness policies, (ii) conflicting policies, and (iii) unreachable policies. To detect these problems we present a method using Answer Set Programming (ASP) in the context of XACML 3.0.

研究动机与目标

• 为解决在大型复杂 XACML 3.0 策略集中进行人工分析易出错且不可行的挑战。
• 检测可能导致因缺少条件而导致意外访问的不完整策略，尤其是在采用允许优先（permit-biased）PEP 的情况下。
• 识别可能导致不同组织单位间决策不一致的冲突策略，尽管 XACML 的输出为单一决策。
• 检测从不影响最终决策的不可达策略，从而通过移除实现策略集的优化。
• 提供一种形式化、自动化且可扩展的策略分析方法，利用逻辑编程与 ASP

提出的方法

• 使用 ASP 语义将 XACML 3.0 组件（策略、规则、目标、属性）映射为逻辑程序。
• 使用数据库支持的谓词（例如，`subject(X) ← subject_db(X)`）对所有可能的组合进行属性生成编码。
• 通过 ASP 规则定义策略可达性，以检查在不同组合算法（例如，deny-overrides、first-applicable）下的适用性和决策结果。
• 使用约束建模不可达策略：若某条规则的决策在最终策略结果中从未被观察到，则其为不可达。
• 对组合算法语义（例如，`first-applicable`、`only-one-applicable`）进行编码，以正确传播决策并检测覆盖行为。
• 使用 ASP 求解器计算答案集，通过分析逻辑依赖关系和决策传播，揭示不可达策略、冲突以及不完整性。

实验结果

研究问题

• RQ1 如何形式化检测 XACML 3.0 策略中的不完整性，以防止在采用允许优先 PEP 时发生意外访问？
• RQ2 在 XACML 的组合算法仅产生单一决策的情况下，有哪些方式可以识别冲突策略？
• RQ3 在策略集中，什么条件会导致策略不可达？这些条件如何通过逻辑编程形式化表达？
• RQ4 答案集编程如何有效用于建模和分析 XACML 组合算法的语义？
• RQ5 基于 ASP 的分析能否检测冗余性，并通过识别和移除不可达策略来支持大规模策略集的优化？

主要发现

• 所提出的基于 ASP 的框架通过分析不同组合算法下策略集中的决策传播，成功检测出不可达策略。
• 该方法识别出在使用允许优先 PEP 时可能导致意外访问的不完整策略，尤其是在无策略适用的情况下。
• 通过分析策略组件间的分歧决策，检测出策略之间的冲突，即使最终决策因组合逻辑而一致。
• 该框架支持在所有 XACML 3.0 组合算法（包括 first-applicable 和 deny-overrides）下检测不可达策略。
• 使用 ASP 可借助成熟的答案集求解器（如 clasp 和 Smodels）实现对大规模策略集的高效且可扩展的分析。
• 该方法为策略维护提供了形式化基础，使管理员能够安全地移除不可达策略，而不会影响访问控制行为。