[论文解读] SAFE: A Declarative Trust Management System with Linked Credentials

Vamsi Thummala, Jeffrey S. Chase|arXiv (Cornell University)|Oct 15, 2015

Access Control and Trust参考文献 35被引用 3

一句话总结

SAFE 是一种声明式信任管理机制，通过使用链接凭证和共享键值存储，自动化联邦、分布式系统中的上下文组装以支持信任决策。通过启用安全、缓存和可组合的逻辑集（通过集合链接实现），SAFE 简化了在联邦、分布式系统中凭证发现、撤销和策略执行的问题，如 DNSSec 类似解析器和 IaaS 授权模块等实际案例所展示的那样。

ABSTRACT

We present SAFE, an integrated system for managing trust using a logic-based declarative language. Logical trust systems authorize each request by constructing a proof from a context---a set of authenticated logic statements representing credentials and policies issued by various principals in a networked system. A key barrier to practical use of logical trust systems is the problem of managing proof contexts: identifying, validating, and assembling the credentials and policies that are relevant to each trust decision. This paper describes a new approach to managing proof contexts using context linking and caching. Credentials and policies are stored as certified logic sets named by secure identifiers in a shared key-value store. SAFE offers language constructs to build and modify logic sets, link sets to form unions, pass them by reference, and add them to proof contexts. SAFE fetches and validates credential sets on demand and caches them in the authorizer. We evaluate and discuss our experience using SAFE to build secure services based on case studies drawn from practice: a secure name service resolver, a secure proxy shim for a key value store, and an authorization module for a networked infrastructure-as-a-service system with a federated trust structure.

研究动机与目标

• 解决基于逻辑的信任管理系统中凭证发现、新鲜度和可用性方面的实际挑战。
• 在分布式、联邦信任环境中，实现可扩展且高效的证明上下文构建。
• 通过脚本语言（slang）和安全、命名的逻辑集，简化信任策略编写与应用逻辑的集成。
• 通过共享、安全的键值存储（SafeSets）支持凭证的高效缓存和重用。
• 在真实系统中展示声明式信任逻辑的实际部署，如安全名称解析和 IaaS 授权。

提出的方法

• 凭证和策略以加密签名的逻辑集（slogsets）形式存储，通过安全标识符命名，并存放在一个名为 SafeSets 的共享、分布式键值存储中。
• 集合链接支持凭证集的逻辑并集，形成依赖图，在证明构建期间按需解析依赖关系。
• slang 脚本语言支持对 slogsets 的一等操作，包括按引用传递和组合链接的上下文。
• 证明上下文通过链接集合递归构建，授权者处进行缓存以避免重复验证。
• 通过信任锚点和本地策略验证证明，模拟类似 SD3 的认证验证机制。
• 系统通过 Datalog 规则支持委托和背书，仅在联合所有权或第三方归属时使用 speaksFor。

实验结果

研究问题

• RQ1 在分布式、联邦环境中，如何高效地发现并组装基于逻辑的信任系统的证明上下文？
• RQ2 哪些机制能够在无需全局名称解析的情况下，实现可扩展且安全的凭证共享与缓存？
• RQ3 如何使声明式信任逻辑在真实世界服务实现中变得实用且可组合？
• RQ4 集合链接和共享存储是否能够降低凭证验证的开销并提升信任管理性能？
• RQ5 将脚本语言（slang）与安全逻辑存储集成，如何提升可用性和策略表达能力？

主要发现

• SAFE 成功实现了安全名称服务解析器（SafeNS），其模拟 DNSSec，展示了使用链接凭证实现端到端信任验证的能力。
• 系统在授权者处支持凭证集的高效缓存，减少了重复验证，提升了性能。
• 集合链接通过将凭证组织为依赖图，实现了可扩展的凭证发现，避免了对全局证书查询的需求。
• 使用基于公钥的安全、公开标识符来命名逻辑集，确保了共享存储（SafeSets）中的完整性，并防止伪造。
• 在联网 IaaS 系统和安全代理中间件中的案例研究证实，SAFE 能够以极低的信任管理复杂度支持复杂的真实世界信任策略。
• 该系统表明，当结合脚本语言、链接机制和共享存储时，声明式信任逻辑可以实现实际部署，从而克服以往在可用性和可扩展性方面的障碍。