Dynamic authorizations for secure internet applications

Abstract

Over recent years, with the ever-increasing availability of networks and the advancements in their underlying infrastructure, Collaborative Environments (CE) have become commonplace: hospitals participating in a national health care system, academic institutions, public sector services that provide support to an e-democracy environment, etc. Such environments will be more popular in the near future. Organizations participating in CEs are typically autonomous, while the environment is dynamic and scalable. There are also no direct trust relationships between interacting entities in such environments. For security reasons all authorization mechanisms such as role definitions and authorization decisions, are controlled independently and dynamically by each participant organization. The conventional well-known role based access control (RBAC) model for example was designed with closed-enterprise environments in mind, where a security officer manually assigns users to roles. Thus, a user obtains a small number of roles, usually decided by predefined credentials. Such access control solutions, are however insufficient to address the more complicated CE, and are neither flexible enough nor sufficiently fine-grained for determining the permissions of participating casual users. All these factors render the manual process of user-to-role assignment both an inadequate and a formidable task which is costly and error-prone. The central thesis of this dissertation is that it is possible to automate the user-role assignment procedure by defining a role structure based on a number of distinct, measurable characteristics both organizational and functional. In our view, an adaptable and flexible definition of the role concept is therefore handy; one that could also support a role comparison methodology between roles from different organizations and provide significant flexibility for managing such issues.

Με την ανάπτυξη του ‘Ίντερνετ τα τελευταία χρόνια και την βελτίωση των δικτυακών υποδομών, τα περιβάλλοντα συνεργασίας μεταξύ ομοειδών οργανισμών αποτελούν πλέον κοινή πρακτική. Τέτοια περιβάλλοντα θα μπορούσαν να είναι, τα τριτοβάθμια εκπαιδευτικά ιδρύματα μιας χώρας, οι φορείς υγείας μιας χώρας, οι δημόσιες υπηρεσίες στα πλαίσια της ηλεκτρονικής διακυβέρνησης κλπ. Οι οργανισμοί που παίρνουν μέρος σε τέτοια περιβάλλοντα είναι αυτόνομοι ενώ το ίδιο το περιβάλλον είναι δυναμικό και κλιμακούμενο δηλ. οργανισμοί μπορούν να μπαίνουν και να αποχωρούν από το περιβάλλον συνεργασίας χωρίς αυτό να επηρεάζεται. Οι οργανισμοί αυτοί εξυπηρετούν 2 είδη χρηστών, τους τοπικούς χρήστες και τους εξωτερικούς χρήστες άλλων οργανισμών. Το πρόβλημα της εξουσιοδότησης είναι ιδιαίτερα σημαντικό. Το μοντέλο RBAC, που βασίζεται στους ρόλους είναι το πιο γνωστό μοντέλο ελέγχου προσπέλασης και θεωρούμε ότι όλοι οι συμμετέχοντες οργανισμοί κάνουν χρήση του. Η πρόταση μας βασίζεται στην παραδοχή πως με τον ορισμό μιας κοινής δομής για τους ρόλους, κοινής σε όλους τους συμμετέχοντες οργανισμούς μπορούμε στην συνέχεια να ορίσουμε ένα αλγόριθμο σύγκρισης ο οποίος θα μετατρέπει τον εισερχόμενο ρόλο ενός εξωτερικού χρήστη ενός συνεργαζόμενου οργανισμού, σε ένα ρόλο του τοπικού οργανισμού. Τα πλεονεκτήματα της λύσης αυτής είναι η αυτοματοποίηση της διαδικασίας απόδοσης ρόλου, ο περιορισμός του αριθμού των ρόλων και η εξάλειψη της ανάγκης ύπαρξης συγκεκριμένων προαποφασισμένων κριτηρίων για την απόδοση ενός συγκεκριμένου ρόλου κάθε φορά που γίνεται μια αίτηση πρόσβασης.