Objektorientierter Zugriffsschutz in R ACCOON Manuel Koch FU Berlin

Gliederung Problem Zugriffsschutz Corba Standard-Zugriffschutzmodell View-Based Access Control Raccoon Infrastruktur

The worst problem with access control policy, especially in object systems, is that there's so much of it. [Blakley2000] Sicherheitsproblem Management Almost all security failures are in fact due to implementation and management errors. [Anderson1994] Erhöhte Handhabbarkeit führt direkt zu mehr Sicherheit!

Wo liegen die Probleme? Ursprünge von Komplexität: Heterogenität Größenordnung Verteilung auch bei Entwicklung und Management (Zugriffsschutz-) Modelle, Tools Definiere Abstraktionen [...] we all know that unmastered complexity is at the root of the Misery. [Dijkstra2001]

Manuel Koch, Freie Universität Berlin 5 CORBA Standard Zugriffschutzmodell Rechte-Familien s (set), g (get), u (use), m (manage) Kombinierbar (konjunktiv, disjunktiv) Neue Rechte können definiert werden Rechte bzgl. einzelner Operationen Required und Effective Rights Required: Zuordnung der generischen Rechte zu Operationen Effective: Zuordnung von Rechten zu Rollen, Gruppen,...

Manuel Koch, Freie Universität Berlin 6 Beispiel name service: interface NamingContext –resolve a name –list bindings –bind a name –bind a subcontext –unbind names, destroy contexts

Manuel Koch, Freie Universität Berlin 7 Effective vs. Required Rights

Manuel Koch, Freie Universität Berlin 8 Nachteile Beschränkte Rechtemenge, low- level(Object rwx) Alle Objekte eines Typs werden gleich behandelt Keine dynamischen Rechteänderungen Keine Verbote Politiksemantik geht leicht verloren

View-based Access Control View Policy Language Deklarative Politiksprache (VPL) Wiederverwendung, Dokumentation, Kommunikation Fixes Objektmodell (CORBA-IDL) erlaubt statische Konsistenzprüfung Feinkörniger Schutz Dynamische Rechteänderungen Skalierbarkeit durch Aggregation: Gruppen, Rollen, Views, Typen, Domains

Manuel Koch, Freie Universität Berlin 10 Views interface Document { view Reading controls Document { void read(out string s); allow read void write(in string s); } void append(in string s); view Writing: Reader void correct(in string s); restricted_to Author { }; allow write append } Sind higher-level authorizations gruppieren Rechte auf Operationen Constraints Beziehung zwischen Views

Manuel Koch, Freie Universität Berlin 11 Object n:NamingCtx o2:Paper o3:Review o4:T Role resolve Employee bind read bind_new_ctx. Secretary resolve append correct list read read resolve read read TechAuthor list, bind, write Access Matrix Model Resolving Binding view Resolving controls NamingContext { allow resolve; } view Binding : Resolving { allow bind; bind_new_context; }

Manuel Koch, Freie Universität Berlin 12 Rollen Verhaltensabstraktion hierarchische Strukturen, Constraints roles Examiner Head: Examiner // Head is senior to // examiner President: Head maxcard 1 Lecturer: Examiner Candidate excludes Examiner

Manuel Koch, Freie Universität Berlin 13 IDL: interface Paper { Review submitReview( in string text ); }; VPL: schema SubmitSchema observes Paper { submitReview assigns Modifying to caller assigns ReviewReading on this to caller removes ReviewSubmitting on this from caller } Schemas beschreiben dynamische Rechteänderungen

Manuel Koch, Freie Universität Berlin 14 Infrastruktur für VPL Development VPL Compiler Deployment Verifier + Repositories Management View/Role/Domain Server und Management Tools

Manuel Koch, Freie Universität Berlin 15 Development and Deployment Development VPL XML PrecompilerVerifier VR RR IR XML Deployment Verifier Policy Descriptor XML IR

Manuel Koch, Freie Universität Berlin 16 Server Laufzeitumgebung Target request() Client

Manuel Koch, Freie Universität Berlin 17 Server Laufzeitumgebung Target Access Decision request() Domain Server Domain Policy Server Policy Role Mgmt. Domain Mgmt.Policy Mgmt. Client Interceptor Roles Role Server

Manuel Koch, Freie Universität Berlin 18 Anwendungs- domäne 1 Anwendungs- domäne 1Domänenhierarchien Strukturierung und Generalisierung (Politiken gemäß Organisationsstruktur, Zuständigkeiten) Geltungsbereich der Elterndomäne umfasst Mitgliedsobjekte der Kinddomänen US Branch Europe Hype Inc. R&D Anwendungs- domäne 2 Anwendungs- domäne 2 Sales Anwendungs- domäne n Anwendungs- domäne n...

Manuel Koch, Freie Universität Berlin 19 Metapolitiken zur Konfliktauflösung Konflikte zwischen Politiken für ein Objekt Domänen hierarchisch angeordnet bzw. gemeinsame Mitglieder Auflösung semantikabhängig Metapolitiken spezifisch für Politiktypen Metapolitiken werden Domänen zugeordnet Keine Meta-Metapolitiken: Ordnung: erste anwendbare Metapolitik gilt (= Metapolitik passenden Typs in der nächsten gemeinsamen Elterndomäne)

Manuel Koch, Freie Universität Berlin 20 Role Management Client Role Server 1: Rollen- zertifikate? RR 2:Rollen für Benutzer? 3: Rollen Target Access Decision Interceptor 4:Rollenzertifikate 5:request() Server RZ Principal- Authentic ator

Manuel Koch, Freie Universität Berlin 21 Wens interessiert... Studentische Hilfskraft Aufgaben CORBA-Applikation Medizin Firewall Intrusion detection WebServices