Un Framework para la Definición e Implantación de Mecanismos de Control de Acceso Basado en Roles, Contenidos e Información Contextual

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Un Framework para la Definición e Implantación de Mecanismos de Control de Acceso Basado en Roles, Contenidos e Información Contextual"

Cristóbal Crespo Villanueva
hace 6 años
Vistas:

1 Un Framework para la Definición e Implantación de Mecanismos de Control de Acceso Basado en Roles, Contenidos e Información Contextual G. Betarte A. Gatto R. Martínez F. Zipitría Grupo de Seguridad Informática Instituto de Computación, Facultad de Ingeniería Universidad de la República Contraparte Externa: Tilsor S.A. Congreso CIBSI 2011

2 Contenido 1 Introducción 2 Extensiones al Modelo RBAC (E-RBAC) Lenguaje e Intérprete para la Definición de Poĺıticas Trabajo Futuro Conclusiones

3 Motivación Aplicar poĺıticas de control de acceso con requerimientos específicos en un sistema de información de alta complejidad Definir tipos de poĺıticas de control de acceso Dinámicas Basadas en Roles, Contexto y Contenido Que permitan definir otras propiedades adicionales Poder expresar las poĺıticas en forma directa e intuitiva Realizar el Control de Acceso de las poĺıticas definidas en Sistemas de Información

4 Objetivos Crear el Framework (ACTkit) para centralizar el control de acceso Minimizar el impacto de integración del Framework con los sistemas de información Definición de políticas mediante el lenguaje Interpretación de las políticas expresadas en ACTkit-L ACTkit-L lenguaje interpretado por ACTkit-I Instanciación de las políticas en Enforcement de las políticas definidas en ACTkit-L ACTkit-ACM

5 Modelo RBAC Extensiones al Modelo RBAC (E-RBAC) Lenguaje e Intérprete para la Definición de Poĺıticas H-RBAC E-RBAC Autorización Privilegios Prioritario Privilegio Usuario Aprobador Usuario Asignación de Usuario Rol Asignación de Privilegios Operación Restricción Sesión Jerarquía de Roles

6 Extensiones a RBAC Extensiones al Modelo RBAC (E-RBAC) Lenguaje e Intérprete para la Definición de Poĺıticas H-RBAC E-RBAC Privilegio Operación Restricción Proyección Limitación Pre-condición Post-condición Predicado

7 Resolución de Conflictos Extensiones al Modelo RBAC (E-RBAC) Lenguaje e Intérprete para la Definición de Poĺıticas Definición Un usuario u tiene conflictos con los privilegios p 1 y p 2 si se cumple la siguiente condición: { POp (p 1 ) = POp (p 2 ) = o p 1,p 2 permissions (roles (u)) conflictos (u,p 1,p 2 ) La resolución de conflictos está basada en SSOD-CP (Static SOD - Conflicting Permission) Un usuario no puede tener asignado dos privilegios conflictivos entre sí

8 Resolución de Conflictos Extensiones al Modelo RBAC (E-RBAC) Lenguaje e Intérprete para la Definición de Poĺıticas Definición Un usuario u tiene conflictos con los privilegios p 1 y p 2 si se cumple la siguiente condición: { POp (p 1 ) = POp (p 2 ) = o p 1,p 2 permissions (roles (u)) conflictos (u,p 1,p 2 ) La resolución de conflictos está basada en SSOD-CP (Static SOD - Conflicting Permission) Un usuario no puede tener asignado dos privilegios conflictivos entre sí

9 Lenguaje e Intérprete ACTkit-L y ACTkit-I Extensiones al Modelo RBAC (E-RBAC) Lenguaje e Intérprete para la Definición de Poĺıticas Definición del lenguaje ACTkit-L para expresar los conceptos de E-RBAC Directa e Intuitiva Representado en XML Entrada 1 ACTkit-I Validación de Sintaxis ACTkit-MCA 2 3 Validación Semántica Instanciación

10 Autenticación y Visualización controlada Autenticación: proceso donde se determina si el usuario tiene una sesión asociada en caso de que no exista se solicitan y validan las credenciales se crea e inicializa la sesión Visualización controlada de las operaciones de la aplicación de la información presentada por la aplicación

11 Procedimiento de Autorización C o n t r o l d e A c c e s o [Existe Priv.] Validar E-RBAC Fase de Decisión [No Autorizado] Evaluar Pre- Condicion [Autorizado] [No Autorizado] Fase de Limitación Verificar Confirmación [Necesita Autorización] [Cofirmado] [Informar Aviso] Verificar Avisos Verificar Auditar [Informado] [Ejecutar Operación]

12 Filtrado de Información Selección de tuplas Evaluación de los predicados de post-condición Proyección de columnas Evaluación de las proyecciones definidas Filtrado de atributos Transformación de atributos

13 Presentación Control de Acceso al sistema de gestión de la información del INAU (Instituto del Niño y Adolescente del Uruguay) Denominado SIPI (Sistema de Información Para la Infancia) Desarrollado por la empresa Tilsor S.A. Actualmente en producción y accesible a través de internet

14 Requerimientos Grupos de información protegidos por ACTkit Datos de Identificación Datos de Salud Datos de Situaciones de Violencia Principales requerimientos de seguridad Control de Acceso a las operaciones Acceso a la información según lugar de trabajo Visualización controlada de la información

15 Trabajo Futuro Trabajo Futuro Conclusiones Construcción de un módulo para exportar e importar las poĺıticas definidas en ACTkit-L desde y hacia XACML Incorporar post-condiciones sobre las excepciones Integración con un directorio LDAP para la gestión de usuarios Optimizar y formalizar la implementación del filtrado a través de vistas sobre una base de datos

16 Conclusiones Trabajo Futuro Conclusiones Extensión al modelo RBAC (E-RBAC) para contemplar la definición de poĺıticas de control de acceso basadas en roles, contexto y contenido Definición del lenguaje, el intérprete y el módulo de control de acceso que aplican las poĺıticas definidas Implementación de un caso de éxito que aplica los mecanismos de seguridad provistos por ACTkit y valida su viabilidad

Documentos relacionados

CURSO DE INTELIGENCIA DE FUENTES ABIERTAS

CURSO DE INTELIGENCIA DE FUENTES ABIERTAS La cantidad de datos disponibles crece diariamente de manera exponencial. Nosotros ofrecemos entrenamiento de primer nivel en la búsqueda, análisis, procesamiento