8、通用可组合的基于角色的加密访问控制

通用可组合的基于角色的加密访问控制

1. 引言

访问控制是计算机安全的基石之一，它确保主体（如用户、进程等）仅能以符合对象（如文件、内存位置等）隐私/完整性的方式访问对象。传统的访问控制机制依赖于参考监视器，但这些监视器需要始终在线，且需在数据所有者控制之外的信任域中执行，这直接影响了应用程序的可扩展性和可部署性。

为解决这一问题，密码学被引入。其核心思想是使用加密原语（如加密保证隐私，签名保证完整性）保护对象，并通过向合适的各方提供正确的密钥来执行所需的安全策略。这种实现方式消除了对在线监视器的需求，受保护的对象可以加密形式公开提供，只有拥有正确密钥的用户才能访问。

围绕密码学访问控制的安全模型，此前的工作大多关注从基本密码原语设计访问控制系统，或为访问控制问题设计新的原语。然而，密码学访问控制系统的安全性大多只是启发式研究。精确的定义在该领域尤为重要，因为近期的构造使用了复杂的密码原语，其安全级别并不总是容易确定，且需要了解它们如何融入使用它们的更高级系统。

Ferrara 等人提出了基于角色的访问控制（RBAC）模型的密码学实现（cRBAC），并使用基于游戏的方法定义了安全模型。该方法形式化了攻击者与系统之间的交互，明确了安全漏洞的定义。其优点是相对简单，执行过程考虑独立场景，不同安全目标（如敏感数据的隐私和完整性）可独立处理。但简单性也带来了一些问题，例如可能无法适当捕获来自任意环境的威胁，单独处理安全属性可能会忽略不必要的交互，且可能无法详尽列举系统所需的所有属性。

本文提出了一种基于模拟的替代定义方法。在这种范式下，安全性通过将系统与理想化版本进行比较来定义，要求实际系统执行所揭示的信息最多与理想版本相同。这种定义方式使实际系统