CC BY
17Информационная безопасность
УДК 004.056
ПАРАМЕТРИЧЕСКОЕ РАЗГРАНИЧЕНИЕ ДОСТУПА В РАСШИРЕННОЙ РОЛЕВОЙ МОДЕЛИ БЕЗОПАСНОСТИ НА ОСНОВЕ ЯВАС
Д. Д. Кононов
Институт вычислительного моделирования СО РАН Российская Федерация, 660036, г. Красноярск, Академгородок, 50/44 Е-шаП: [email protected]
Целью работы является улучшение расширенной ролевой модели безопасности, основанной на RBAC (Role Based Access Control). Приведено описание существующей модели безопасности, показана необходимость доработки. Описаны новые элементы и функции разработанной модели безопасности. Показано преимущество нового подхода к разграничению доступа.
Ключевые слова: безопасность, модель, RBAC, веб.
PARAMETRIC ACCESS CONTROL IN EXTENDED ROLE-BASED SECURITY
MODEL BASED ON RBAC
D. D. Kononov
Institute of Computational Modelling SB RAS 50/44, Akademgorodok, Krasnoyarsk, 660036, Russian Federation Е-mail: [email protected]
The aim of this work is to improve the extended role-based security model based on RBAC (Role Based Access Control). The paper describes the existing security model and emphasize need for improvement. New elements and functions of developed security model are described. Author shows advantages of new access control approach.
Keywords: security, access control, RBAC, web.
Развитие современного общества невозможно без информационных технологий, бурное развитие которых обеспечивается благодаря использованию веб-технологий. На сегодняшний день сохраняются высокие риски компрометации и взлома систем. В 2017 году 29,4 % компьютеров пользователей подвергались веб-атакам [1]. Разработка информационной системы сопряжена с решением комплексной задачи по обеспечению защиты информации. Одним из аспектов защиты информации является применение модели безопасности. Современные веб-приложения и веб-сервисы используют ролевую модель безопасности из-за возможности гибкого разграничения доступа [2; 3]. Целью данной работы является дальнейшее улучшение разработанной автором расширенной ролевой модели безопасности.
Ролевое разграничение доступа описано в работе [4]. Базовая модель ролевого разграничения доступа RBAC0 задается набором элементов:
<U, R, P, S, UA(U), PAR), user(S), roles(S)>,
где U - множество пользователей; R - множество ролей; P - множество прав доступа; S - множество сессий пользователей. Также заданы следующие функции:
UA: U ^ 2R - функция, определяющая для каждого пользователя множество ролей, на которые он может быть авторизован;
PA: R ^ 2P - функция, определяющая для каждой роли множество прав доступа, при этом Vp е P, 3r е R такой, что p е PA(r);
user: S ^ U - функция, определяющая для каждой сессии пользователя, от имени которого она авторизована;
roles: S ^ 2 - функция, определяющая для пользователя множество ролей, на которые он авторизован в данной сессии; при этом в каждый момент времени Vs е S выполняется условие roles(s) с UA(user(s)).
В предыдущей работе [5] автором описана расширенная модель безопасности на основе базовой ролевой модели RBAC. Расширенная ролевая модель безопасности дополняет RBAC0 следующими элементами: «токен» (token), «запрос» (request). Токен (Tk) представляет собой набор атрибутов пользователя, позволяющих осуществить его аутентификацию в системе. Запрос (Rq) - набор информации, которая пересылается между клиентом и сервером по протоколу HTTP(S). На множестве запросов вводится бинарное отношение включения, которое задаёт нестрогий частичный порядок на множестве запросов Rq и позволяет упорядочить запросы согласно иерархии. Также задается функция RqA(), отображающая права доступа на множество запросов: RqA: P ^ 2Rq. Для всех запросов из множества Rq вводится иерархия запросов RqH.
Решетневские чтения. 2018
Полученная модель учитывает специфику работы веб-приложений и позволяет разграничивать доступ на основе пути запроса (URI). Однако в ходе внедрения и эксплуатации информационных систем, использующих описанную модель, выяснилась необходимость разграничения доступа на основе параметров запросов протокола HTTP(S). Текущая модель не позволяет выполнять разграничение с использованием параметров запросов. В результате в существующую расширенную ролевую модель были добавлены новые элементы: «параметр запроса» (request parameter), функции для связи с существующими элементами. Полученная новая модель описывается следующим образом:
<U, R, P, S, Tk Rq, RqP, UA(U), PAR), RqA(P), RqPA(P), user(S), roles(S), token(Tk), requests(S), params(Rq)>.
Определение. Параметр запроса (RqP) - наборов пар (ключ, значение) запроса HTTP, который принадлежит запросу Rq и используется для передачи дополнительных данных в запросе.
Параметр запроса (далее - параметр) принадлежит запросу, один запрос может иметь несколько параметров. Зададим функцию RqPA(), отображающую разрешения на множество параметров:
RqPA: P ^ 2RqP . Также зададим функцию params(), отображающую запросы на множество параметров: params: Rq ^ 2RqP . Остальные элементы модели оставлены без изменений и подробно описаны в предыдущей работе [5].
Полученная модель безопасности позволяет разграничивать доступ с использованием не только пути запроса (URI), но и параметров запроса. Дополнительное разграничение доступа может быть явно задано с использованием функции отображения RqPA() или с помощью специального метаязыка описания фильтрации. Данный подход позволяет реализовывать сложные политики разграничения доступа в веб-приложениях, в которых разрешения на выполнение операции осуществляются на основе контекста из набора параметров и их значений. Часто запросы имеют фиксированный набор параметров, каждый из которых описывается определенным форматом. Следует отметить, что созданная модель не ограничивается фиксированным набором параметров, а предусматривает динамическое изменение данного набора в зависимости от выполнения заданных условий. Наложение ограничений на параметры снижает риски компрометации информационных систем, использующих данную модель безопасности.
В работе описана новая модель безопасности, которая дополняет существующую расширенную ролевую модель безопасности на основе RBAC. В новую модель добавлены следующие элементы: «параметр запроса», функции RqPA() и params(). Созданная модель безопасности позволяет повысить защищенность современных веб-приложений за счет более гибкого разграничения доступа и может быть использована для решения широкого круга задач.
Библиографические ссылки
1. Kaspersky Security Bulletin 2017. Статистика [Электронный ресурс]. URL: https://securelist.ru/ ksb-overall-statistics-2017/88203/ (дата обращения: 07.09.2018).
2. Li Fr., Wu Ht. Design and Implementation of Authorization System Based on RBAC // 7th International conference on intelligent human-machine systems and cybernetics IHMSC 2015. 2015. Vol. I. P. 502-504.
3. Yan D., Huang J. et al. Policy Conflict Detection in Composite Web Services with RBAC // IEEE 21st international conference on web services (ICWS 2014). 2014. P. 534-541.
4. Sandhu R., Coyne E. J., Feinstein H. L. and You-man C. E. Role-based Access Control Models // IEEE Computer (IEEE Press). 1996. Vol. 29, No. 2.
5. Кононов Д. Д., Исаев С. В. Расширенная ролевая модель безопасности, основанная на иерархии путей // Вопросы защиты информации. 2016. № 4. С. 13-17.
References
1. Kaspersky Security Bulletin 2017. Statistics. Available at: https://securelist.ru/ksb-overall-statistics-2017/88203/ (accessed: 07.09.2018).
2. Fr. Li, Ht. Wu. Design and Implementation of Authorization System Based on RBAC // 7th International conference on intelligent human-machine systems and cybernetics IHMSC 2015. 2015. Vol. I. P. 502-504.
3. D. Yan, J. Huang, et al. Policy Conflict Detection in Composite Web Services with RBAC // IEEE 21st international conference on web services (ICWS 2014). 2014. P. 534-541.
4. Sandhu R., Coyne E. J., Feinstein H. L. and You-man C. E. Role-based Access Control Models. IEEE Computer (IEEE Press). 1996. Vol. 29, No. 2.
5. Kononov D. D., Isaev S. V. [Extended path-based role access control security model]. Voprosy zaschity in-formatsii [Information protection issues]. 2016. №. 4. P. 13-17. (In Russ.)
© Кононов Д. Д., 2018
