[论文解读] On Secure Distributed Implementations of Dynamic Access Control

Avik Chaudhuri|ArXiv.org|May 30, 2008

Cryptography and Data Security参考文献 22被引用 4

一句话总结

本文通过能力机制对分布式访问控制实现进行了形式化分析，揭示了动态访问策略中关键的正确性问题。通过引入逻辑时钟并泛化规范，提出了一种安全、形式化验证的分布式实现，利用基于模拟的证明和可推广至其他有状态计算的设计原则，确保了安全性和正确性。

ABSTRACT

Distributed implementations of access control abound in distributed storage protocols. While such implementations are often accompanied by informal justifications of their correctness, our formal analysis reveals that their correctness can be tricky. In particular, we discover several subtleties in a standard protocol based on capabilities, that can break security under a simple specification of access control. At the same time, we show a sensible refinement of the specification for which a secure implementation of access control is possible. Our models and proofs are formalized in the applied pi calculus, following some new techniques that may be of independent interest. Finally, we indicate how our principles can be applied to securely distribute other state machines.

研究动机与目标

• 对基于能力的分布式访问控制实现的正确性进行形式化分析，尤其关注动态访问策略下的情况。
• 识别现有实现中细微的缺陷，这些缺陷即使在简单的访问控制规范下也会损害安全性和正确性。
• 通过形式化验证和系统化设计，开发一种安全且正确的动态访问策略分布式实现。
• 泛化规范并引入逻辑时钟，以实现安全、形式化验证的分布式访问控制。
• 推导出可推广至其他有状态计算的通用设计原则。

提出的方法

• 使用基于应用pi演算的形式化模型来指定访问控制策略及其分布式实现。
• 应用基于模拟的证明来验证安全性（无未指定行为）和保密性（保持行为等价性）。
• 引入逻辑时钟机制，通过限制时间敏感操作的时间窗口，确保在动态撤销访问时的安全性。
• 通过添加时间绑定节点（如 $v^\#$）修改系统图，以在能力使用上强制实施时间约束。
• 泛化规范以支持动态策略的安全实现，使修订模型中实现完全抽象。
• 从攻击向量（如策略泄露和时序侧信道）中推导出设计原则，以指导安全系统的构建。

实验结果

研究问题

• RQ1 在分布式访问控制实现中，确保正确性的形式化标准是什么？安全性和保密性在此上下文中的区别是什么？
• RQ2 为何现有动态访问策略的实现即使在简单规范下也无法维持安全或保密性？
• RQ3 如何利用逻辑时钟在动态访问撤销场景中恢复安全性？
• RQ4 为实现基于能力的动态访问控制的安全性，规范需要做出哪些修改？
• RQ5 这些原则是否可推广至其他有状态计算的安全分发？

主要发现

• 只有在引入逻辑时钟以限制能力有效性的时窗时，才能实现动态访问策略的安全实现。
• 若不泛化规范以包含时间边界和行为约束，就无法在动态访问控制中实现安全性。
• 现有实现通过时序侧信道和能力结构泄露访问策略信息，违反了安全要求。
• 所提方法在原始模型与修订模型之间实现了完全抽象，通过模拟证明了正确性。
• 从本分析中推导出的设计原则可应用于其他有状态计算的安全分发，其适用范围超越访问控制。