Objektorientierter Zugriffsschutz in RACCOON

Präsentation zum Thema: "Objektorientierter Zugriffsschutz in RACCOON"—  Präsentation transkript:

1 Objektorientierter Zugriffsschutz in RACCOON
Roman Kober, Manuel Koch, Cristian Oancea FU Berlin

2 Gliederung Problem Zugriffsschutz Corba Standard-Zugriffschutzmodell
View-Based Access Control Raccoon Infrastruktur Raccoon Fallstudien

3 Sicherheitsproblem Management
Almost all security failures are in fact due to implementation and management errors [Anderson1994] The worst problem with access control policy, especially in object systems, is that there's so much of it [Blakley2000] Erhöhte Handhabbarkeit führt direkt zu mehr Sicherheit!

4 Wo liegen die Probleme? [...] we all know that unmastered complexity is at the root of the Misery. [Dijkstra2001] Ursprünge von Komplexität: Heterogenität Größenordnung Verteilung auch bei Entwicklung und Management (Zugriffsschutz-) Modelle, Tools Definiere Abstraktionen

5 CORBA Standard Zugriffschutzmodell
Rechte-Familien s (set), g (get), u (use), m (manage) Kombinierbar (konjunktiv, disjunktiv) Neue Rechte können definiert werden Rechte bzgl. einzelner Operationen Required und Effective Rights Required: Zuordnung der generischen Rechte zu Operationen Effective: Zuordnung von Rechten zu Rollen, Gruppen, ... Manuel Koch, Freie Universität Berlin

6 Beispiel name service: interface NamingContext resolve a name
list bindings bind a name bind a subcontext unbind names, destroy contexts Manuel Koch, Freie Universität Berlin

7 Effective vs. Required Rights
Manuel Koch, Freie Universität Berlin

8 Nachteile Beschränkte Rechtemenge, low- level(“Object rwx”)
Alle Objekte eines Typs werden gleich behandelt Keine dynamischen Rechteänderungen Keine Verbote Politiksemantik geht leicht verloren Manuel Koch, Freie Universität Berlin

9 View-based Access Control View Policy Language
Deklarative Politiksprache (VPL) Wiederverwendung, Dokumentation, Kommunikation Fixes Objektmodell (CORBA-IDL) erlaubt statische Konsistenzprüfung Feinkörniger Schutz Dynamische Rechteänderungen Skalierbarkeit durch Aggregation: Gruppen, Rollen, Views, Typen, Domains

10 Views Sind “higher-level authorizations”
gruppieren Rechte auf Operationen Constraints Beziehung zwischen Views interface Document { view Reading controls Document { void read(out string s); allow read void write(in string s); } void append(in string s); view Writing: Reading void correct(in string s); restricted_to Author { }; allow write append } Manuel Koch, Freie Universität Berlin

11 Access Matrix Model Object NamingCtx o2:Paper o3:Review o4:T
Role resolve Employee bind read bind_new_ctx. Secretary resolve append correct list read read resolve read read TechAuthor list, bind, write view Resolving controls NamingContext { allow resolve; } view Binding : Resolving { bind; bind_new_context; Resolving Binding Manuel Koch, Freie Universität Berlin

12 Rollen Verhaltensabstraktion hierarchische Strukturen, Constraints
roles Examiner Head: Examiner // Head is senior to // examiner President: Head maxcard 1 Lecturer: Examiner Candidate excludes Examiner Manuel Koch, Freie Universität Berlin

13 Schemas beschreiben dynamische Rechteänderungen IDL: VPL:
interface Paper { Review submitReview( in string text ); }; VPL: schema SubmitSchema observes Paper { submitReview assigns Modifying on result to caller assigns ReviewReading on this to caller removes ReviewSubmitting on this from caller } Manuel Koch, Freie Universität Berlin

14 Infrastruktur für VPL Development Deployment Management VPL Compiler
Verifier + Repositories Management View/Role/Domain Server und Management Tools Manuel Koch, Freie Universität Berlin

15 Development and Deployment
VPL XML XML Precompiler Verifier XML Policy Descriptor IR Development Deployment IR VR Verifier RR Manuel Koch, Freie Universität Berlin

16 Laufzeitumgebung Policy Server Domain Server Role Server Policy Domain
Role Mgmt. Domain Mgmt. Policy Mgmt. Domain Server Domain Policy Server Policy Roles Role Server request() Target Access Decision Interceptor Server Client Manuel Koch, Freie Universität Berlin

17 Rollen-Management 2:Rollen für Benutzer? Role Server 3: Rollen
zertifikate? 4:Rollenzertifikate Server Client Target Access Decision 5:request() RZ Interceptor Interceptor Manuel Koch, Freie Universität Berlin

18 Domänenhierarchien Strukturierung und Generalisierung (Politiken gemäß Organisationsstruktur, Zuständigkeiten) Geltungsbereich der Elterndomäne umfasst Mitgliedsobjekte der Kinddomänen Hype Inc. Europe US Branch Anwendungs- domäne 2 Sales domäne n . . . R&D Anwendungs- domäne 1 Manuel Koch, Freie Universität Berlin

19 Metapolitiken zur Konfliktauflösung
Konflikte zwischen Politiken für ein Objekt Domänen hierarchisch angeordnet bzw. gemeinsame Mitglieder Auflösung semantikabhängig  Metapolitiken spezifisch für Politiktypen Metapolitiken werden Domänen zugeordnet Keine Meta-Metapolitiken: Ordnung: erste anwendbare Metapolitik gilt (= Metapolitik passenden Typs in der nächsten gemeinsamen Elterndomäne) Manuel Koch, Freie Universität Berlin

20 Related Work Views als Gruppierungskonzept Ponder
Verteilte Objektsysteme [Hagimont94] Zugriffserlaubnisse im Bereich Datenbanken [Baldwin90, Scholl et al. 91] Ponder Sicherheits- und Managementpolitiken Allgemeiner als VPL Keine zugehörige Infrastruktur Views: fein-granularer und modularer. Auf spezielle Objekte. Bessere Integration der Managementkonzepte wie Gruppen und Rollen. Manuel Koch, Freie Universität Berlin

21 Raccoon Fallstudien Zugriffsschutz im Krankenhaus
Zugriffsschutz in der Bank Manuel Koch, Freie Universität Berlin