23、责任与审计理论初探

责任与审计理论初探

在分布式系统的授权领域，传统的授权策略通常在共享资源访问前进行控制。然而，近年来，基于事后验证的责任机制受到了广泛关注。这种机制通过审计日志记录系统关键信息，审计人员利用这些日志识别不诚实的主体并在安全策略被违反时追究责任，类似于传统的执法和组织安全手段，通过威慑来实现安全。责任机制在人类交互中对信任的建立起着关键作用，既被视为实现实际安全的工具，也是联邦分布式系统服务的重要设计目标。

与访问控制等先验方法相比，基于责任的安全方法缺乏通用的模型和编程基础。本文旨在为责任研究带来形式化基础，做出了两方面贡献：一是描述了基于责任的分布式系统的操作模型；二是为有限责任系统的责任系统设计和审计人员验证提供了分析方法。

研究背景与动机

在分布式系统中，攻击者可能是运行任意程序的不可信主体，他们可能不遵守系统策略，例如在没有权限的情况下创建授权对象，以破坏全局授权策略。传统的授权策略在资源访问前进行控制，而基于责任的机制则依赖事后验证。

责任机制在多个特定应用中得到了探索，如确定性分布式系统、网络存储、验证 ISP 服务质量声明、互联网协议和共享文档的策略执行等。然而，与访问控制相比，责任方法缺乏通用的模型和编程基础。访问控制有多种形式的操作模型、基于逻辑的声明式方法和静态分析来验证接口的访问控制属性。

研究贡献

• 操作模型 ：将诚实和不诚实的主体建模为分布式系统中的代理，审计人员也作为诚实代理进行内部建模。所有代理的行为用具有离散时间的进程代数中的进程来描述，确保审计人员的行为完全由其接收到的消息决定。
• 分析方法