Access Control Model and Policies for Collaborative Environments

Um eine effektive Teilnahme an modernen Kollabrationen zu ermöglichen, müssen beteiligte Organisationen fähig sein, spezifische Daten und Funktionalität mit ihren Partnern auszutauschen und dabei sicherstellen, dass die eigenen Ressourcen sicher vor unerlaubten Zugriff sind. Dies verlangt nach Zugriffskontrolle, Policies und Mechanismen für kollaborative Systeme. Diese Dissertation beschreibt meine Forschungsarbeit, welche zwei wichtige Belange in kollaborativen Systemen betrifft: Zugriffskontrolle und Policies.

Function-Based Authorization Constraints. Es existieren zwei wichtige Belange in Bezug auf Authorisierungseinschränkungen: Ihre Spezifizierung und ihre Durchsetzung. Jedoch können existierende Ansätze nicht beide Belange umfassend unterstützen. Im Rahmen meiner Arbeit habe ich neuartige Schemata für Authorisierungsaeinschränkungen entworfen, genannt „prohibition constraint scheme“ und „obligation constraint scheme“. Diese Schemata sind mit entity set functions und entity relation functions im Bereich der Authorisierung verwandt, die direkt auf die für Anwendungsszenarien zu entwickelden Funktionen abgebilded werden können. Basierend auf diesen Funktionen können verschiedene Schemata für Einschränkungen einfach definiert und durchgesetzt werden.

Team and Task based RBAC (TT-RBAC) Model. TT-RBAC erweitert das rollenbasierte Zugriffskontrollmodell durch die Hinzunahme von zwei grundlegenden Datenelementen, genannt Team und Aufgabe. Das TT-RBAC model ist im Wesentlichen definiert durch die Zuordnung von einzelnen Benutzern zu Rollen und Teams, die Beziehung zwischen Rollen und Aufgaben zu Teams und Berechtigungen, welche wiederum Rollen und Aufgaben zugewiesen sind. Aufgrund der Teamzugehörigkeit erhalten Benutzer Zugriff auf Ressourcen, die durch Aufgaben zugewiesen sind. Das Team definiert eine kleine und spezifische RBAC
Anwendungszone, durch welche die Vorteile der skalierbaren Sicherheitsadministration erhalten werden können, die durch RBAC-Modelle geboten werden. Überdies wird eine Flexibilität erreicht durch die genaue Kontrolle von individuellen Benutzern in spezifischen.

Label-Based Access Control Policy (LBACP). Das grundlegende Prinzip von LBACP stellt die Definition von Auszeichnungen (labels) dar, die den Informationsfluss spezifizieren und deren Zuweisung zu anderen Authorisierungspolicies oder ihren Komponenten. Der Einsatz von solchen Policies oder Policy-Komponenten muss den Einschränkungen hinsichtlich des Informationsflusses folgen, welche durch die Label spezifieziert sind. LBACP kann zu ereiner Veringerung des Administrationsaufwandes führen und potentielle Sicherheitslücken ausschließen. Insgesamt stellt LBACP eine Abstraktionsschicht über herkömmliche Zugriffskontroll-Policies dar.

Root Policy. In kollaborativen Umgebungen wird eine flexibele und skalierbare
Autorisierung benötigt, um verschiedene Sicherheitsmechanismen und Policies zu unterstützen. Dazu habe ich im Rahmen meiner Arbeit ein System genant Root-Policy entwickelt, welches verschiedene Sicherheitsmechanismen und Policies spezifizieren und durchstzen kann. In einer Root-Policy kann die Speicherung von Autoriesierungspolicies, das Trust-Management und deren Durchsetzung unabhängig voneinander definiert werden. Darüberhinas können verschiedene Root-Policies zusammen kooperieren, um verteilte Szenarien zu bedienen.

Download der Dissertation (pdf-Format)