[论文解读] Relationships, Paths and Principal Matching: A New Approach to Access Control

Jason Crampton, James Sellwood|arXiv (Cornell University)|May 29, 2015

Access Control and Trust参考文献 15被引用 3

一句话总结

本文提出了关系、路径与主匹配（RPPM）模型，这是一种新颖的访问控制框架，利用基于关系的策略与路径条件（类似于正则表达式）相结合，并通过非确定性有限自动机来评估授权请求。该模型支持上下文感知的访问控制，内置缓存、职责分离和中国墙策略支持，相较于传统的RBAC和ABAC模型，在表达能力和性能方面均有显著提升。

ABSTRACT

Recent work on relationship-based access control has begun to show how it can be applied to general computing systems, as opposed to simply being employed for social networking applications. The use of relationships to determine authorization policies enables more powerful policies to be defined than those based solely on the commonly used concept of role membership. The relationships, paths and principal matching (RPPM) model described here is a formal access control model using relationships and a two-stage request evaluation process. We make use of path conditions, which are similar to regular expressions, to define policies. We then employ non-deterministic finite automata to determine which policies are applicable to a request. The power and robustness of the RPPM model allows us to include contextual information in the authorization process (through the inclusion of logical entities) and allows us to support desirable policy foundations such as separation of duty and Chinese Wall. Additionally, the RPPM model naturally supports a caching mechanism which has significant impact on request evaluation performance.

研究动机与目标

• 为解决基于角色的访问控制（RBAC）在建模用户与资源之间上下文相关关系方面的局限性。
• 将基于关系的访问控制从社交网络扩展到通用计算系统，包括文件系统和有状态资源。
• 提供一种形式化、可扩展的访问控制模型，通过逻辑实体和历史追踪支持复杂策略（如职责分离和中国墙）。
• 通过原生缓存机制重用图级别的授权决策，减少冗余计算，从而提升性能。
• 通过将策略建模为路径条件并使用非确定性有限自动机进行请求验证，统一策略表达能力与高效评估。

提出的方法

• RPPM模型将主体、对象和关系表示为有向图中的节点和边，其中边可标记类型，并包含逻辑（上下文）实体。
• 路径条件被定义为类似正则表达式的模式，用于指定主体之间的允许关系，包括强制目标和排除目标。
• 通过非确定性有限自动机（NFA）评估授权请求，基于路径条件遍历系统图，实现高效的策略匹配。
• 该模型支持类型边和审计边，用于编码历史访问模式，从而支持基于历史记录的策略（如中国墙）。
• 通过将授权决策持久化为系统图中的边实现缓存，使多个请求可重用先前计算的匹配结果，无需重新评估主体匹配过程。
• 该模型集成了管理主体和规则，以支持状态修改操作（如添加节点或边），从而构建完整的管理模型。

实验结果

研究问题

• RQ1 如何表达访问控制策略，以捕捉超越静态角色分配的用户与资源之间的动态、上下文敏感关系？
• RQ2 能否设计一种形式化的访问控制模型，支持如职责分离和中国墙等复杂策略，同时保持高效与可扩展性？
• RQ3 授权决策的缓存能在多大程度上集成到访问控制模型中，以降低运行时评估成本？
• RQ4 如何形式化路径条件，以同时实现策略表达的丰富性与基于有限自动机的高效算法评估？
• RQ5 使用逻辑实体和审计边对建模有状态和历史依赖的访问控制策略有何影响？

主要发现

• RPPM模型通过等价于正则表达式的路径条件支持丰富的策略表达，可实现复杂的上下文感知访问规则。
• 使用非确定性有限自动机评估路径条件，提供了形式化且高效的请求评估机制，其复杂度可分析且可控。
• 在系统图的边级别缓存授权决策，通过重用先前计算的匹配结果，显著提升了性能。
• 通过使用审计边和类型化关系，该模型天然支持职责分离和中国墙策略，可基于历史访问模式进行强制执行。
• 将逻辑实体集成到系统图中，支持动态上下文建模，例如区分用户在不同课程中的角色或患者-医生关系。
• 作者的初步实验工作表明，RPPM中的缓存机制在高吞吐量、分布式环境中带来了明显且显著的性能提升。