ΕΛΕΓΧΟΣ ΠΡΟΣΠΕΛΑΣΗΣ

ΚΑΙ ΕΞΟΥΣΙΟΔΟΤΗΣΗ
ΙΩΑΝΝΗΣ ΜΑΥΡΙΔΗΣ, ΣΤΑΥΡΟΣ ΣΑΛΟΝΙΚΙΑΣ ΚΑΙ MARIE KHAIR

1 ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΕΙΣΑΓΩΓΗ

• Η ανάγκη για διαμοιρασμό πόρων μεταξύ οντοτήτων ενός πληροφοριακού συστήματος

οδηγεί στην ανάγκη για έλεγχο προσπέλασης
• Φυσικό
• Λογικό

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΕΛΕΓΧΟΣ ΠΡΟΣΠΈΛΑΣΗΣ

• Αυθεντικοποίηση (Αuthentication)
• Εξουσιοδότηση (Αuthorization)
• Λογοδοσία (Αccountability)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΟΡΙΣΜΟΙ

• ενεργά υποκείμενα (subject) & παθητικά αντικείμενα (object)

• εξουσιοδότηση (authorization)
• Διαδικασία
• Κανόνας

• βαθμός λεπτομέρειας (authorization granularity)

• fine-grained authorization
• coarse-grained authorization

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΕΠΙΠΕΔΑ ΕΛΕΓΧΟΥ ΠΡΟΣΠΕΛΑΣΗΣ

• Πολιτικές Ελέγχου Προσπέλασης (Access Control Policies)

• Μηχανισμοί Ελέγχου Προσπέλασης (Access Control Mechanisms)
• Μοντέλα Ελέγχου Προσπέλασης (Access Control Models)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΣΥΣΤΗΜΑ ΕΛΕΓΧΟΥ ΠΡΟΣΠΕΛΑΣΗΣ

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΑΡΧΕΣ ΕΞΟΥΣΙΟΔΟΤΗΣΗΣ

• Αναγκαία Γνώση (Need to Know)

• Ελάχιστα Προνόμια (Least Privileges)
• Διαχωρισμός Καθηκόντων (Segregation of Duties)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΚΛΑΣΙΚΕΣ ΠΡΟΣΕΓΓΙΣΕΙΣ ΕΛΕΓΧΟΥ ΠΡΟΣΠΕΛΑΣΗΣ

• Έλεγχος Προσπέλασης Κατ’ Απαίτηση (Mandatory Access Control - MAC)

• Label & Dominance - Lattice Model
• Πολυεπίπεδος Έλεγχος Προσπέλασης (Multi-level Access Control)

• Έλεγχος Προσπέλασης Κατά Διάκριση (Discretionary Access Control - DAC)

• Access Control Matrix
• Έλεγχος Προσπέλασης Βασισμένος σε Ταυτότητες (Identity-Based Access Control - IBAC)

• Έλεγχος Προσπέλασης Βασισμένος σε Ρόλους (Role-Based Access Control - RBAC)

• Role, Hierarchy & Constraint

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

MAC: EΛΕΓΧΟΣ ΠΡΟΣΠEΛΑΣΗΣ ΚΑΤ’ ΑΠΑΙΤΗΣΗ

• Απόδοση ετικετών ασφάλειας σε

• Υποκείμενα με βάση την αδειοδότησή τους (clearance)
• Αντικείμενα με βάση την ευαισθησία τους (sensitivity)

• Τιμές ετικετών ασφάλειας: [επίπεδο ασφάλειας, διαμέρισμα]

• Eπίπεδα ασφάλειας: {“άκρως απόρρητο”, “απόρρητο”, “εμπιστευτικό”, “αδιαβάθμητο”}
• Διαμερίσματα: σύνολα κατηγοριών (category set)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

MAC: EΛΕΓΧΟΣ ΠΡΟΣΠEΛΑΣΗΣ ΚΑΤ’ ΑΠΑΙΤΗΣΗ

• Σχέση επικράτησης (dominance): μια ετικέτα ασφάλειας S1 = [L1 , C1] επικρατεί μιας ετικέτας
ασφάλειας S2 = [L2 , C2], δηλαδή S1 ≥ S2 , εάν και μόνον εάν L1 ≥ L2 και C1 ⊇ C2
• όπου L είναι το επίπεδο ασφάλειας και C είναι το διαμέρισμα
• Σχηματισμός δικτυώματος (lattice) του οποίου τα στοιχεία αποτελούν ένα μερικώς ταξινομημένο
σύνολο, καθώς η δυαδική σχέση επικράτησης ≥ έχει τις ακόλουθες ιδιότητες:
• μεταβατική (αν a ≥ b και b ≥ c τότε a ≥ c)
• αντισυμμετρική (αν a ≥ b και b ≥ a τότε a = b)
• ανακλαστική (a ≥ a)
• αλλά χωρίς πληρότητα (δεν ισχύει πάντα το a ≥ b ή το b ≥ a).
• Στο δικτύωμα που δημιουργεί η εφαρμογή της σχέσης επικράτησης ≥ υπάρχει:
• ένα άνω όριο, για παράδειγμα με ετικέτα ασφάλειας [“άκρως απόρρητο”, όλα τα διαμερίσματα]
• ένα κάτω όριο, για παράδειγμα με ετικέτα ασφάλειας [“αδιαβάθμητο”, κανένα διαμέρισμα].

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΜΟΝΤΕΛΟ BELL-LA PADULA (BLP)

• Προστασία της εμπιστευτικότητας: αποτροπή της ροής πληροφοριών από τα ανώτερα

προς τα κατώτερα επίπεδα ασφάλειας
• απλή ιδιότητα ασφάλειας (simple security property) ή προστασία από διάβασμα-προς-τα-πάνω:
ένα υποκείμενο α επιτρέπεται να διαβάσει ένα αντικείμενο β εάν και μόνον εάν Sa ≥ Sb.
• ιδιότητα αστερίσκου (*-property) ή προστασία από εγγραφή-προς-τα-κάτω: ένα υποκείμενο α
επιτρέπεται να εγγράψει ένα αντικείμενο β εάν και μόνον εάν Sb ≥ Sa.

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΜΟΝΤΕΛΟ ΒΙΒΑ

• Προστασία της ακεραιότητας: αποτροπή έλλειψης συνέπειας και αξιοπιστίας των

παραγόμενων πληροφοριών
• απλή ιδιότητα ακεραιότητας (simple integrity property) ή προστασία-από-γράψιμο-προς-τα-πάνω:
ένα υποκείμενο α επιτρέπεται να έχει πρόσβαση εγγραφής σε ένα αντικείμενο β εάν και
μόνον εάν Ια ≥ Ιβ.
• ιδιότητα αστερίσκου για την ακεραιότητα (integrity *-property): αν ένα υποκείμενο α έχει
πρόσβαση ανάγνωσης σε ένα αντικείμενο β με επίπεδο ακεραιότητας Ιβ, τότε το υποκείμενο α
επιτρέπεται να έχει πρόσβαση εγγραφής σε ένα άλλο αντικείμενο γ εάν και μόνον εάν Ιβ ≥ Ιγ.

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

DAC: EΛΕΓΧΟΣ ΠΡΟΣΠEΛΑΣΗΣ ΚΑTΑ ΔΙΑΚΡΙΣΗ

• Περιορισμός της πρόσβασης σε αντικείμενα στη βάση της ταυτότητας των

υποκειμένων ή των ομάδων (group) στις οποίες αυτά ανήκουν
• Ιδιοκτήτης & Ελεγκτής
• Eκχώρηση (grant) & ανάκληση (revoke) των εξουσιοδοτήσεων
• O έλεγχος προσπέλασης αφήνεται στη διακριτική ευχέρεια του ιδιοκτήτη (owner) του
αντικειμένου και των πιθανών ελεγκτών (controller) του

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΠΙΝΑΚΑΣ ΕΛΕΓΧΟΥ ΠΡΟΣΠΕΛΑΣΗΣ (ACCESS CONTROL
MATRIX)
Π … ΑΗ ... ... ΑΙ ... ΑΤ ...

...

ΥΚ rwx rx x

...

ΥΜ rwx rx r

...

ΥΡ rw r r

...

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΛIΣΤΑ ΙΚΑΝΟΤHΤΩΝ
(CAPABILITY LIST)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΛΙΣΤΑ ΕΛΕΓΧΟΥ ΠΡΟΣΠΕΛΑΣΗΣ
(ACCESS CONTROL LIST - ACL)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

RBAC: EΛΕΓΧΟΣ ΠΡΟΣΠEΛΑΣΗΣ ΒΑΣΙΣΜΕΝΟΣ ΣΕ ΡΟΛΟΥΣ
• εισαγωγή ενός αφαιρετικού στρώματος πρόσθετων μηχανισμών μεταξύ των
υποκειμένων και των αντικειμένων προκειμένου να δοθεί λύση σε προβλήματα
διαχείρισης εξουσιοδοτήσεων, όπως:
• διαχειριστικού φόρτου
• κλιμάκωσης

• Ρόλοι, ιεραρχίες ρόλων και περιορισμοί

• Προτυποποίηση:
• ANSI INCITS 359-2004
• INCITS 359-2012

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΒΑΣΙΚΟ RBAC
(CORE RBAC)

Ρ Α

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΙΕΡΑΡΧΙΚΟ RBAC
(HIERARCHICAL RBAC)
Ι

Ρ Α

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

RBAC ΜΕ ΠΕΡΙΟΡΙΣΜΟΥΣ
(CONSTRAINED RBAC)
Κ

Ρ Α

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΣΥΓΧΡΟΝΕΣ ΠΡΟΣΕΓΓΙΣΕΙΣ ΕΛΕΓΧΟΥ ΠΡΟΣΠΕΛΑΣΗΣ

• Τα περισσότερα από τα παραδοσιακά μοντέλα ελέγχου προσπέλασης βασίζονται στην

ταυτότητα του υποκειμένου και στο όνομα του αντικειμένου, είτε άμεσα είτε έμμεσα,
μέσω άλλων χαρακτηριστικών, όπως οι ρόλοι.
• Όμως, αυτή η τακτική είναι ιδιαίτερα περιοριστική στην έκφραση πολιτικών σε
σύγχρονα υπολογιστικά περιβάλλοντα, όπου η πληθώρα υποκειμένων και
αντικειμένων σε συνδυασμό με ειδικές καταστάσεις επιβάλλει τον χειρισμό
οντοτήτων που δεν είναι πάντα γνωστές εκ των προτέρων.
• Σύγχρονη εξέλιξη: ABAC (Attribute-based Access Control)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΑBAC: EΛΕΓΧΟΣ ΠΡΟΣΠEΛΑΣΗΣ ΒΑΣΙΣΜΕΝΟΣ ΣΕ
ΧΑΡΑΚΤΗΡΙΣΤΙΚΑ
• Το αίτημα ενός υποκειμένου για πρόσβαση σε ένα αντικείμενο εξετάζεται έναντι
πολιτικών ελέγχου προσπέλασης οι οποίες ορίζονται στη βάση χαρακτηριστικών
(attribute) των οντοτήτων, όπως τα υποκείμενα και τα αντικείμενα, καθώς και των
συνθηκών περιβάλλοντος (πλαισίου - context).
• Τα χαρακτηριστικά καθεμίας οντότητας ορίζονται ως ένα σύνολο ζευγών της μορφής
{χαρακτηριστικό, τιμή}

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΑBAC: EΛΕΓΧΟΣ ΠΡΟΣΠEΛΑΣΗΣ ΒΑΣΙΣΜΕΝΟΣ ΣΕ
ΧΑΡΑΚΤΗΡΙΣΤΙΚΑ
• Το αίτημα ενός υποκειμένου για πρόσβαση σε ένα αντικείμενο εξετάζεται έναντι
πολιτικών ελέγχου προσπέλασης οι οποίες ορίζονται στη βάση χαρακτηριστικών
(attribute) των οντοτήτων, όπως τα υποκείμενα και τα αντικείμενα, καθώς και των
συνθηκών περιβάλλοντος (πλαισίου - context).
• Τα χαρακτηριστικά καθεμίας οντότητας ορίζονται ως ένα σύνολο ζευγών της μορφής
{χαρακτηριστικό, τιμή}

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΒΑΣΙΚΟ ΣΕΝΑΡΙΟ ABAC

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

 ΚΑΤΑΝΕΜΗΜΕΝΟΣ ΜΗΧΑΝΙΣΜΟΣ ΕΛΕΓΧΟΥ
ΠΡΟΣΠΕΛΑΣΗΣ ΤΟΥ ABAC
Υ Α Σημείο Επιβολής Πολιτικής (Policy Enforcement Point - PEP)

Σημείο Απόφασης Πολιτικής (Policy Decision Point - PDP)

Σημείο Διαχείρισης Πολιτικής (Policy Administration Point - PAP)

Α
Σημείο Πληροφοριών Πολιτικής (Policy Information Point - PIP)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΠΡΌΤΥΠΟ XACML
(EXTENSIBLE ACCESS CONTROL MARKUP LANGUAGE)

• Περιγράφει την υλοποίηση ενός συστήματος ABAC, καθορίζοντας με σαφήνεια:

• Την αρχιτεκτονική του συστήματος ελέγχου προσπέλασης
• Το σχήμα επικοινωνίας που καθορίζει τη μορφή και το περιεχόμενο των
ανταλλασσόμενων μηνυμάτων
• Τη γλώσσα περιγραφής πολιτικών ελέγχου προσπέλασης

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΛΕΙΤΟΥΡΓΙΑ ΣΥΣΤΗΜΑΤΟΣ ABAC ΣΤΟ XACML

Υ ΗΡ ΙΑ
ΑΙΤ Υ Α Υ
Υ Ρ

Α Α

Μ
Α ΙΑ ΙΡΙ ΤΗ Ρ
ΑΙ Ι Υ Α
Α

ΑΙ Ι
Υ Κ ΙΜ Α

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΛΕΙΤΟΥΡΓΙΑ ΣΥΣΤΗΜΑΤΟΣ ABAC ΣΤΟ XACML

Υ ΗΡ ΙΑ
ΑΙΤ Υ Α Υ
Υ Ρ

Α Α

Μ
Α ΙΑ ΙΡΙ ΤΗ Ρ
ΑΙ Ι Υ Α
Α

ΑΙ Ι
Υ Κ ΙΜ Α

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

XACML: ΜΟΝΤΕΛΟ ΟΡΙΣΜΟΥ ΠΟΛΙΤΙΚΗΣ

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΠΛΑΙΣΙΟ NEXT GENERATION ACCESS CONTROL
NGAC
• Βασικά συστατικά: οντότητες (entity), περιέκτες (container) και σχέσεις (relation).
• Οι πολιτικές αναπτύσσονται με τη χρήση σχέσεων 4 τύπων:
• εκχωρήσεις (assignment)
• συσχετίσεις (association)
• απαγορεύσεις (prohibition)
• υποχρεώσεις (obligation)

• NGAC: «χρήστης» (user) και «λειτουργία» (operation). XACML: «υποκείμενο» και «ενέργεια»
• Οντότητες: χρήστες και αντικείμενα
• Οντότητες κλάσης πολιτικής: το σύνολο των στοιχείων που καθορίζουν μια πολιτική.

• Περιέκτης: ένα σύνολο χαρακτηριστικών που χαρακτηρίζει (συσχετίζεται με) χρήστες ή αντικείμενα
• Oι περιέκτες κλάσεων οντοτήτων πολιτικών χαρακτηρίζουν σύνολο πολιτικών

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΠΛΑΙΣΙΟ NGAC

• Μια συσχέτιση αναπαρίσταται με μια τριάδα της μορφής (ua, ars, attr)
• ua: χαρακτηριστικά χρήστη (user attribute)
• ars: σύνολο δικαιωμάτων πρόσβασης (access rights set)
• attr: χαρακτηριστικά χρήστη ή αντικειμένου

• Η τριάδα (ua, ars, attr) δηλώνει ότι: «στους χρήστες με τα χαρακτηριστικά ua

εκχωρούνται τα προνόμια ars επί των αντικειμένων εντός περιέκτη με τα
χαρακτηριστικά attr».

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

 ΠΑΡΑΔΕΙΓΜΑ ΕΚΧΩΡΗΣΕΩΝ ΚΑΙ ΣΥΣΧΕΤΙΣΕΩΝ ΣΤΟ
NGAC

Εκχωρήσεις
Συσχετίσεις

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΑΠΑΓΟΡΕΥΣΕΙΣ ΣΤΟ NGAC
• Οι απαγορεύσεις χρησιμοποιούνται για να δηλώσουν άρνηση σε ένα προνόμιο
• Π.χ., η απαγόρευση user-deny(u-ars-pe) δηλώνει ότι από τον χρήστη u αφαιρείται η δυνατότητα
άσκησης των δικαιωμάτων πρόσβασης ars στον πόρο pe.

• Τυποι απαγορευσεων στο NGAC:

• user-deny (καθορίζονται από διαχειριστικές οντότητες)
• user_attribute-deny (καθορίζονται από διαχειριστικές οντότητες)
• process-deny (προκύπτουν μέσω υποχρεώσεων)

• Υποχρεώσεις:
• καθορίζουν σε ποιές περιπτώσεις (event pattern - ep) θα συντελεστεί μια ενέργεια (response - r)
• εκφράζονται με το ζεύγος (ep, r) που δηλώνει: ΟΤΑΝ ep ΤΟΤΕ r

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΤΑ ΕΠΙΠΕΔΑ ΤΟΥ NGAC

Σημείο Ελέγχου Πόρου (Resource Access Point - RAP)

Σημείο Επεξεργασίας Συμβάντος (Event Processing Point - EPP)

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΤΡΕΧΟΝΤΑ ΚΑΙ ΑΝΟΙΧΤΑ ΖΗΤΗΜΑΤΑ ΕΛΕΓΧΟΥ
ΠΡΟΣΠΕΛΑΣΗΣ
• Τα συστήματα ελέγχου προσπέλασης θα πρέπει να είναι ικανά να λειτουργούν:
• Αποκεντρωμένα, ώστε να αποφεύγονται τα μοναδικά σημεία αποτυχίας (single point of
failure).
• Με μεγάλη σταθερότητα σε συσκευές με περιορισμένους πόρους ενέργειας, επεξεργασίας
και διάρκειας.
• Με εύκολα προσαρμόσιμο τρόπο σε ιδιαίτερα δυναμικά περιβάλλοντα (όπως αυτά του
Διαδικτύου των Πραγμάτων).

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10

ΛΥΣΕΙΣ ΜΟΝΤΕΡΝΟΥ ΕΛΕΓΧΟΥ ΠΡΟΣΠΕΛΑΣΗΣ

• Αξιοποίηση των τεχνολογιών:

• blockchain
• fog computing
• Software Defined Networking (SDN)

• είτε αποκλειστικά είτε συνδυαστικά

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΣΤΟΝ ΚΥΒΕΡΝΟΧΩΡΟ ΚΕΦΑΛΑΙΟ 10