Privacy enhanced role based access control model in object oriented environments with multiple frameworks

Abstract

Während der Entwicklung der Informatik wurden stets neue Sicherheitszugriffskontrollmodelle aufgestellt, abgeleitet und weiter verbessert. Die fünf wichtigsten, aktuellen Modelle, "Discretionary Access Control (DAC)", "Lattice Based Access Control (LBAC)" , "Role Based Access Control (RBAC)", "Enterprise Dynamic Access Control (EDAC)" und "Attribute Based Access Control (ABAC)" werden in dieser Arbeit abgehandelt. Alle Modelle zeigen Schwächen im Bezug auf Sicherheitsanforderungen in einem aktuellen objektorientierten System auf. So ist beispielsweise DAC eingeschränkt skalierbar und wird mit steigender Größe des Systems komplexer und schwerer zu administrieren. Bei der Entwicklung von LBAC stand die Kontrolle des Informationsflusses im Vordergrund, weshalb der Abdeckungsbereich dieses Modells zu klein für heutige Systeme ist. EDAC und ABAC sind sehr dynamische und mächtige Systeme, da ihre Regeln zum Zeitpunkt des Zugriffs evaluiert werden, was jedoch den Nachteil mit sich führt, dass Effekte von Änderungen schwer vorhersehbar sind. RBAC hingegen ist gut skalierbar, jedoch ist die Rollenzuordnung statisch was zu redundanten Definitionen führt um beispielsweise die Verwendung von privaten Objekten zu implementieren. Die meisten sehr mächtigen Modelle (z.B.: RBAC, EDAC, ABAC) sind schwer zu verstehen und verleiten daher falsch eingesetzt und konfiguriert zu werden. Die Herausforderung ist es, ein System zu entwickeln, welches das statische Rollen- und Privilegienkonzept mit deren dynamischen Zuweisung verbindet. Eine Lösung des Komplexitätsproblems (Firmenstruktur x Systemstruktur x Unternehmenssicherheitsdefinition) wird ausgearbeitet.<br />Die Definition und Zuweisung von Rollen und Zugriffsrechten werden auf die jeweiligen Spezialisten aufgeteilt um größte Skalierbarkeit und einfachere Wartbarkeit zu gewährleisten. Zusätzlich werden Vorlagen für eine einfachere Rollen-, Zugriffs- und Regelerstellung bereitgestellt. Der erste Teil der Arbeit verwendet "Exploratory Research" in Kombination mit "Secondary Research". Alle wichtigen Modelle werden beschrieben sowie analysiert, zum Großteil basierend auf dem offiziellen Dokument. Nach der Erstellung der Forschungsfrage und Problemstellung basiert der restliche Teil der Arbeit auf "Constructive Research" um "Privacy Enhanced Role Based Access Control (PERBAC)" auszuarbeiten. Die Anforderungen an ein Zugriffsmodell für objektorientierte Systeme werden analysiert und alle notwendigen Eigenschaften, die PERBAC erfüllen muss, werden abgeleitet. Der letzte Teil zeigt ein praktisches Beispiel um PERBAC in alle Teile eines Sicherheitssystems zu integrieren.<br />

In the history of information technology there have been ongoing developments of access control models. The five most important state-of-the-art models, Discretionary Access Control (DAC), Lattice Based Access Control (LBAC) , Role Based Access Control (RBAC), Enterprise Dynamic Access Control (EDAC) and Attribute Based Access Control (ABAC) are covered in this thesis.<br />To satisfy the security needs of an actual object oriented system all these models show lacks in some important characteristics. For instance DAC does not scale well and grows increasingly complex and hard to change as the system's size increase. LBAC is concentrating on information flow and thus, has a too small coverage regarding nowadays demands. EDAC and ABAC are highly dynamic systems, because their access policies are evaluated dynamically, but all effects of changes cannot always be foreseen. RBAC in contrast does scale well, but role assignment is done static and redundant definitions are necessary to implement e.g. private objects. Most systems with great expressive power (e.g. RBAC, EDAC, ABAC) are difficult to understand and thus prone to misconfiguration. The research challenge is to develop a system which merges the static role, permission concept and an automated dynamic assignment of these.<br />Also a solution for the development and administration complexity problem (Company Structure x System Structure x Company Security Policies) is provided. The definition and assignment of roles and access rights is segmented in different responsibilities to allow best scalability and easier maintainability. Additionally a set of templates for easy role, permission and rule engineering is provided. The first part of this thesis uses exploratory research in combination with secondary research. The necessary state-of-the-art models are described and analyzed based, in large parts, on the respective papers.<br />After defining the research question and problem statement the rest of this thesis utilizes constructive research to create Privacy Enhanced Role Based Access Control (PERBAC). The new demands on access control required by object oriented environments are analyzed and all features supplied by PERBAC are derived. The last part presents a practical example and a best practice for implementing PERBAC through all stages of securing a computer system.