Rooliperusteinen kulunvalvonta

Roolipohjainen kulunvalvonta (RBAC ) on valikoivan kulunvalvontapolitiikan kehitystä , kun  taas järjestelmän subjektien käyttöoikeudet objekteihin ryhmitellään niiden sovelluksen erityispiirteet huomioon ottaen, muodostaen rooleja . [1] [2]

Roolien muodostuksella on tarkoitus määritellä selkeät ja ymmärrettävät säännöt tietokonejärjestelmän käyttäjien kulunvalvontaan . Roolipohjainen kulunvalvonta mahdollistaa joustavien kulunvalvontasääntöjen toteuttamisen, jotka muuttuvat dynaamisesti tietokonejärjestelmän toiminnan aikana.

Tällainen kulunvalvonta on osa monia nykyaikaisia ​​tietokonejärjestelmiä. Pääsääntöisesti tätä lähestymistapaa käytetään DBMS - suojausjärjestelmissä , ja yksittäiset elementit toteutetaan verkkokäyttöjärjestelmissä . Rooliperustaista lähestymistapaa käytetään usein järjestelmissä, joissa käyttäjillä on selkeästi määritellyt työtehtävät ja vastuut.

Huolimatta siitä, että rooli on joukko pääsyoikeuksia tietokonejärjestelmän objekteihin, roolipohjainen kulunvalvonta ei missään nimessä ole valikoivan pääsynhallinnan erikoistapaus, koska sen säännöt määräävät menettelyn, jolla tietokoneen kohteille myönnetään pääsy. järjestelmä, riippuen rooleista, jotka sillä on (tai ei ole) joka hetki, mikä on tyypillistä pakollisille kulunvalvontajärjestelmille . Toisaalta roolipohjaisen kulunvalvonnan säännöt ovat joustavampia kuin pakollisen kulunvalvontatavan kanssa.

Koska oikeuksia ei jaeta suoraan käyttäjille ja he hankkivat ne vain roolinsa (tai rooliensa) kautta, käyttäjän yksilöllisten oikeuksien hallinta rajoittuu olennaisesti roolien osoittamiseen hänelle. Tämä yksinkertaistaa toimintoja, kuten käyttäjän lisäämistä tai osastojen vaihtamista käyttäjän toimesta.

Historia

RBAC - mallin perusmuotoja on toteutettu monissa erikoismuodoissa monissa järjestelmissä 1970 - luvulta lähtien . Tällä hetkellä käytössä oleva roolipohjainen kulunvalvonta perustuu Ferraiolon ja  Kuhnin ( 1992 ) ehdottamaan malliin ja mallina  , jota Sandhu , Coyne, Feinstein ja Yeoman ( 1996 ) myöhemmin tarkensivat.  

• Ferraiolo ja Kuhn vuoden 1992  paperi, joka määrittelee RBAC:n pääsyn vain roolien, hierarkioiden ja rajoitusten kautta. muodollinen malli;
• 1994 - DTOS-pohjainen prototyyppi RBAC, joka perustuu Ferraiolo, Kuhn, Gavrila ( eng.  Gavrila )  ehdottamaan prototyyppimalliin
• 1994 Nyanchaman ja Osbornin paperi määrittelee mallin;
• 1994 - IBM jätti (Euroopassa) ensimmäisen patenttihakemuksen RBAC:n alalla Ferraioloon ja Kuhniin viitaten;
• 1995  - Ferraiolo, Cugini ( englanniksi  Cugini ), Kuhn laajensi muodollista mallia ottamalla käyttöön tehtävien erottamisen muotojen määritelmän;
• 1996  - Sandyn menetelmä RBAC-pohjaisen MAS:n tekemiseen;
• 1997 - 1998  - Sybase, Secure Computing, Siemens julkisti RBAC-tuotteita, joiden kuvataan perustuvan suoraan malliin
• 1997 - Secure Computing sisällyttää Ferriolo-Kuhn RBAC -mallin Yhdysvaltain globaaliin DoD Command and Control Systemiin; Kuhnin artikkeli on julkaistu aiheesta tehtävien erottaminen, eron turvallisuuden välttämättömät ja riittävät edellytykset;
• 1997 - Osbornen paperi, joka perustuu RBAC:n ja pakollisen turvallisuuspolitiikan mallin monitasoisen turvallisuuden väliseen suhteeseen; roolimerkintä, joka yhdistää RBAC:n ja kerrostetun suojauksen
• 1998 - RBAC - Kuhnin menetelmä RBAC:n toteuttamiseksi MAC-järjestelmässä;
• 1999  - Barkley , Ferraiolo  , Kuhn avasi alkuperäisen RBAC-prototyypin edistyneille web-palvelimille;
• 2000  - Sandi, Ferraiolo, Kuhn julkaisee paperin, jossa määritellään yhtenäinen RBAC-malli ja ehdotetaan RBAC-standardia;
• 2004  – American National Standards Institute ja International Committee for Information Technology Standards (ANSI/INCITS) ottavat käyttöön Sandyn, Ferraiolon ja Kuhnin ehdottaman RBAC-mallin yhdeksi standardiksi.

RBAC-perusmalli

Seuraavia käytäntöjä käytetään RBAC-mallin määrittämiseen:

• S = Subject ( Englanninkielinen  Subject ) = Ihminen tai automaattinen agentti (käyttäjien joukko);
• R = Rooli ( Englanti  Role ) = Työtoiminto tai nimi, joka on määritetty valtuutustasolla (useita rooleja);
• P = Käyttöoikeudet ( Englanninkieliset  Permissions ) = Resurssin käyttötavan väitteet (joukko käyttöoikeuksia järjestelmäobjekteihin);
• SE = Session ( Englanninkielinen  istunto ) = vastaavuus S:n, R:n ja/tai P:n välillä
• SA = Subject Assignment 
• PA: R → 2 p  on funktio, joka määrittää joukon käyttöoikeuksia kullekin roolille; lisäksi jokaiselle p ∈ P:lle on olemassa r ∈ R siten, että p ∈ PA(r); ( Englanninkielinen  lupatehtävä )
• RH = Osittain järjestetty roolihierarkia .  RH voidaan kirjoittaa myös näin: ≥
• Yhdellä aiheella voi olla useita rooleja.
• Useilla näyttelijöillä voi olla sama rooli.
• Yhdellä roolilla voi olla useita käyttöoikeuksia.
• Yksi lupa voi kuulua useisiin rooleihin.

Rooleja jaetaan aiheille, jolloin kohteet saavat tiettyjä oikeuksia roolien kautta. RBAC vaatii tällaista osoitusta, ei suoraa käyttöoikeuksien osoittamista kohteille, muuten se johtaa vaikeasti hallittavaan suhteeseen subjektien ja käyttöoikeuksien välillä [3] .

Mahdollisuus periä käyttöoikeudet vastakkaisille rooleille on rajoitetun säännön alainen, joka mahdollistaa moodien asianmukaisen erottelun. Sama henkilö ei esimerkiksi saa luoda tiliä jollekin ja sitten kirjautua kyseiselle tilille.

Käyttäen joukkoteorian merkintää :

• , jolla on oikeudet, jotka on määritetty roolisuhteille monelta moneen -suhteessa.
• , jossa kohteet jaetaan rooli-näyttelijä-suhteisiin monelta moneen -suhteessa.
• 

Merkintä: x ≥ y tarkoittaa, että x perii y:n käyttöoikeudet.

Aiheella voi olla useita samanaikaisia ​​istuntoja eri käyttöoikeuksilla.

Ominaisuudet ja sovellukset

Roolipohjainen kulunvalvontatekniikka on joustava ja riittävän vahva mallintamaan sekä selektiivistä kulunvalvontaa (DAC) [4] että pakollista kulunvalvontaa (MAC) [5] .

Ennen RBAC:n kehittämistä ainoat tunnetut kulunvalvontamallit olivat MAC ja DAC. 90-luvun tutkimus osoitti, että RBAC ei kuulunut kumpaankaan kategoriaan.

Organisaatiossa luodaan rooleja erilaisiin työtehtäviin. Tietyille rooleille on annettu käyttöoikeudet tiettyjen toimintojen suorittamiseen. Henkilökunnan jäsenille (tai muille järjestelmän käyttäjille) on määritetty kiinteät roolit, joiden kautta he saavat asianmukaiset oikeudet suorittaa kiinteitä järjestelmätoimintoja. Toisin kuin kontekstipohjaisessa pääsynhallinnassa (CBAC )  , puhdas RBAC-toteutus ei ota huomioon nykyistä tilannetta (kuten esimerkiksi sitä, mistä yhteys muodostettiin).

RBAC eroaa perinteisissä selektiivisissä kulunvalvontajärjestelmissä käytetyistä pääsynhallintaluetteloista ( ACL ) siinä, että se voi myöntää oikeuksia monimutkaisiin toimintoihin yhdistetyillä tiedoilla, ei vain atomioperaatioille matalan tason tietoobjekteille.  Esimerkiksi pääsynhallintaluettelo voi myöntää tai estää kirjoitusoikeuden tietylle järjestelmätiedostolle, mutta se ei voi rajoittaa tiedoston muokkaamista. RBAC-pohjaisen järjestelmän avulla voit luoda toimintoja, kuten "lainan" avaamisen rahoitushakemuksessa tai "verensokeritestin" merkinnän täyttämisen lääketieteellisessä hakemuksessa. Toiminnon suorittamisoikeuden määrittäminen on moniarvoista, koska toiminnot ovat sovelluksen sisällä rakeisia.

Roolihierarkian ja rajoitusten käsitteiden avulla voit luoda tai mallintaa hilapohjaista pääsynhallintaa (LBAC )  RBAC:n avulla. Siten RBAC voi olla LBAC:n perusta ja laajennus.

Organisaatioissa, joissa on heterogeeninen IT-infrastruktuuri, joka sisältää kymmeniä ja satoja järjestelmiä ja sovelluksia, roolihierarkian käyttö ja oikeuksien periytyminen auttavat. Ilman tätä RBAC:n käyttäminen tulee erittäin hämmentävää. Artikkelissa "Lisäroolit: Käytännön lähestymistapa yrityskäyttäjien palvelemiseen" [6] käsitellään vaihtoehtoisia strategioita laajamittaisten käyttäjien oikeuksille.

Nykyaikaiset järjestelmät laajentavat vanhaa NIST -mallia [7] RBAC:n rajoituksin käyttöönotettaviksi suurissa yrityksissä.

Suurissa järjestelmissä, joissa on satoja rooleja, tuhansia käyttäjiä ja miljoonia käyttöoikeuksia, roolien, käyttäjien, käyttöoikeuksien ja niiden suhteiden hallinta on monimutkainen tehtävä, joka ei ole mahdollista pienelle ryhmälle tietoturvajärjestelmänvalvojia. Houkutteleva tilaisuus on käyttää itse RBAC:tä RBAC:n hajautetun hallinnon helpottamiseksi.

RBAC:tä käytetään laajalti käyttäjien oikeuksien hallintaan yhdessä järjestelmässä tai sovelluksessa. Tällaisten järjestelmien luettelo sisältää Microsoft Active Directory , SELinux , FreeBSD , Solaris , Oracle Database , PostgreSQL 8.1 , SAP R/3 , Lotus Notes ja monet muut.

Katso myös

• Tietoturva
• Todennus

Muistiinpanot

1. ↑ Ferraiolo DF, Kuhn DR (lokakuu 1992). "Roolipohjainen pääsynhallinta" (PDF) . 15. kansallinen tietoturvakonferenssi . s. 554-563. Arkistoitu (PDF) alkuperäisestä 18.10.2011 . Haettu 28.07.2008 . Käytöstä poistettu parametri |deadlink=( ohje )
2. ↑ Sandhu R., Coyne EJ, Feinstein HL, Youman CE Role-Based Access Control Models  (määrittämätön)  // IEEE Computer. - IEEE Press, 1996. - elokuu ( osa 29 , nro 2 ). - S. 38-47 . Arkistoitu alkuperäisestä 5. kesäkuuta 2011.
3. ↑ NIST Computer Security Division - Automated Combinatorial Testing for Software (ACTS) . csrc.nist.gov. Haettu 7. heinäkuuta 2016. Arkistoitu alkuperäisestä 21. kesäkuuta 2016. (määrätön)
4. ↑ . Ravi Sandhu, Qamar Munawer (lokakuu 1998). "Kuinka tehdä harkinnanvaraista pääsynhallintaa rooleja käyttämällä". Kolmas ACM-työpaja roolipohjaisesta kulunvalvontasta . s. 47-54. Käytöstä poistettu parametri |month=( ohje )
5. ↑ Sylvia Osborn, Ravi Sandhu, Qamar Munawer (2000). "Roolipohjaisen pääsynhallinnan määrittäminen pakollisten ja harkinnanvaraisten kulunvalvontakäytäntöjen toteuttamiseksi". ACM Transactions on Information and System Security (TISSEC) . s. 85-106.
6. ↑ Beyond Roles: Käytännön lähestymistapa yrityksen käyttäjien hallintaan . Käyttöpäivä: 28. heinäkuuta 2008. Arkistoitu alkuperäisestä 21. elokuuta 2008. (määrätön)
7. ↑ Sandhu R., Ferraiolo DF ja Kuhn DR (heinäkuu 2000). "NIST-malli roolipohjaiseen kulunvalvontaan: kohti yhtenäistä standardia." 5. ACM-työpaja Rooliin perustuva kulunvalvonta . s. 47-63. Käytöstä poistettu parametri |month=( ohje )

Linkit

• Usein kysyttyä RBAC-malleista ja  -standardeista
•  Rooliperusteiset pääsynvalvontajärjestelmät NIST:ssä
• XACML-ydin- ja hierarkkinen roolipohjainen pääsynhallintaprofiili  - OASIS XACML  - standardi
• Kulunvalvontamenetelmät: RBAC vs. ABAC  (venäjä) - Roolipohjaisen kulunvalvonnan ja attribuuttipohjaisen kulunvalvonnan vertailu.