[论文解读] Function-Based Access Control (FBAC): From Access Control Matrix to Access Control Tensor

Yvo Desmedt, Arash Shaghaghi|arXiv (Cornell University)|Sep 15, 2016

Access Control and Trust参考文献 35被引用 4

一句话总结

本文提出功能访问控制（FBAC），一种新型访问控制模型，将传统的二维访问控制矩阵替换为三维访问控制张量（ACT），以在数据段级别实现细粒度、功能特定的授权。通过将访问权限建模为受体、对象和功能（如复制、搜索）三者构成的张量，FBAC可防止权限过高的用户滥用合法访问权限，从而为类似维基解密和英国HMRC数据泄露事件中所见的内部威胁提供基础性解决方案。

ABSTRACT

Security researchers have stated that the core concept behind current implementations of access control predates the Internet. These assertions are made to pinpoint that there is a foundational gap in this field, and one should consider revisiting the concepts from the ground up. Moreover, Insider threats, which are an increasing threat vector against organizations are also associated with the failure of access control. Access control models derived from access control matrix encompass three sets of entities, Subjects, Objects and Operations. Typically, objects are considered to be files and operations are regarded as Read, Write, and Execute. This implies an `open sesame' approach when granting access to data, i.e. once access is granted, there is no restriction on command executions. Inspired by Functional Encryption, we propose applying access authorizations at a much finer granularity, but instead of an ad-hoc or computationally hard cryptographic approach, we postulate a foundational transformation to access control. From an abstract viewpoint, we suggest storing access authorizations as a three-dimensional tensor, which we call Access Control Tensor (ACT). In Function-based Access Control (FBAC), applications do not give blind folded execution right and can only invoke commands that have been authorized for data segments. In other words, one might be authorized to use a certain command on one object, while being forbidden to use exactly the same command on another object. The theoretical foundations of FBAC are presented along with Policy, Enforcement and Implementation (PEI) requirements of it. A critical analysis of the advantages of deploying FBAC, how it will result in developing a new generation of applications, and compatibility with existing models and systems is also included. Finally, a proof of concept implementation of FBAC is presented.

研究动机与目标

• 解决传统访问控制模型的根本局限性，这些模型依赖于二维矩阵，导致权限过高的用户在获得访问权限后滥用数据。
• 应对日益增长的内部攻击威胁——以维基解密和HMRC数据泄露事件为典型，其中授权用户利用合法凭证窃取数据。
• 开发一种新的访问控制基础架构，不仅限制对数据对象的访问，还限制在数据段级别对特定操作（如复制、邮件发送）的限制。
• 通过将数据访问与完整执行权限解耦，实现在云平台和移动设备等现代系统中的安全、选择性信息共享。
• 提供FBAC的策略、执行与实现（PEI）形式化框架，确保与现有系统的向后兼容性，同时实现新的安全保证。

提出的方法

• 用三维张量（受体 × 对象 × 功能）替代经典访问控制矩阵（受体 × 对象），实现按功能的授权。
• 将访问权限定义为张量，其中每个条目 (s, o, f) 指定受体 s 是否被授权对对象 o 执行功能 f。
• 在数据段级别而非文件级别应用该模型，从而实现对搜索、复制或打印等操作的细粒度控制。
• 设计基于安全内核的参考监控器架构，通过中介所有系统调用和功能调用，强制执行FBAC策略。
• 集成功能性加密和数字签名等密码原语，确保策略执行具有密码学上的安全性与抗篡改性。
• 为Android开发概念验证实现，证明FBAC在真实移动环境中的可行性。

实验结果

研究问题

• RQ1 如何从根本上重新构想访问控制，以防止内部威胁者利用权限过高的访问权限，即使其凭证合法？
• RQ2 三维访问控制张量（ACT）模型在多大程度上能够捕捉并强制执行在数据段级别上的功能特定授权，超越传统二维矩阵的表达能力？
• RQ3 基于ACT的实用、向后兼容的访问控制模型，其策略、执行与实现（PEI）需求是什么？
• RQ4 如何在不进行完整架构重构的前提下，将FBAC集成到操作系统、云平台和移动应用等现有系统中？
• RQ5 功能性加密和秘密共享等密码机制能否被适配以安全且高效地强制执行FBAC策略？

主要发现

• 访问控制张量（ACT）模型实现了访问权限的三维表示——受体 × 对象 × 功能——支持传统二维访问控制矩阵无法建模的细粒度授权。
• FBAC通过不仅限制数据访问，还限制在用户被授权查看数据后可执行的操作（如复制、打印），从而防止内部威胁。
• 概念验证实现表明，FBAC可在Android上实际部署，支持移动应用中的功能级别访问控制。
• 该模型通过仅允许对特定数据段执行授权功能（如搜索、查看），同时阻止其他操作（如复制、导出），支持在云和移动环境中的选择性信息共享。
• FBAC通过将数据访问与执行权限解耦，实现新的安全保证，从而减轻权限过高的用户滥用合法访问的风险。
• 本文识别出现有策略语言（如XACML）在扩展功能维度方面存在关键研究空白，提示需要为FBAC量身定制新型规范语言。