Advanced authorization model for service and resource protection in distributed systems and cloud computing

Abstract

Objetivos

La computación Cloud (o Cloud computing) es un paradigma de computación donde los servicios e infraestructuras son dinámicos, y pueden escalar y distribuirse bajo demanda. Sin embargo, las compañías son reacias a su adopción debido a la falta de confianza en cuanto a seguridad y privacidad. Cuando los datos residen en el Cloud, residen fuera de la organización, lo que provoca una sensación de pérdida de control. Así, el sistema de control de acceso se convierte en una pieza clave, mientras que las actuales soluciones para Cloud no proporcionan suficiente expresividad para describir reglas avanzadas de autorización y federación para un acceso seguro a los recursos.

Además, el traslado de los datos al Cloud implica confianza en el proveedor de servicio (CSP), lo que también provoca incertidumbre. ¿Estará el CSP accediendo a los datos para su propio beneficio? ¿Estará aplicando fielmente las reglas de autorización definidas por el usuario? Aunque estos aspectos normalmente son gestionados en base a acuerdos de servicio (SLAs), el CSP podría realmente acceder a los datos e incluso cederlos. Esta situación lleva a replantearse la seguridad y avanzar hacia una aproximación centrada en los datos (data-centric), donde los datos están auto-protegidos con mecanismos criptográficos donde quiera que se encuentren.

Esta tesis doctoral se centra en el control de acceso en sistemas distribuidos, con especial atención a su aplicación en el Cloud, tratando de aportar un modelo avanzado de control de acceso basado en políticas que permita una gestión de seguridad de forma confiable y segura. Por lo tanto, en esta tesis se pretende:

• Diseñar un modelo de autorización para entornos distribuidos con alta expresivi-dad siguiendo un esquema de Control de Acceso Basado en Roles (RBAC). • Proporcionar una solución de control de acceso que tenga en cuenta las particularidades del Cloud como el soporte multi-tenancy. • Estudiar la aplicación de tecnologías de Web semántica para gestión de políticas de seguridad y su capacidad de representación semántica y razonamiento. • Aportar una aproximación data-centric que permita subir datos al Cloud de manera segura y confiable, en la que los datos estén protegidos criptográfica-mente y su acceso controlado mediante políticas de autorización. Metodología

Para el desarrollo de esta tesis doctoral se ha seguido una aproximación en la que se ha comenzado por proporcionar una primera propuesta del modelo de autorización en entornos distribuidos, que luego ha sido refinado, formalizado y contextualizado en entornos Cloud, y finalmente protegido criptográficamente, resultando en un modelo auto-protegido para protección de recursos en el Cloud.

Así, un primer trabajo proporciona una aproximación inicial a la aplicación de tecnologías de Web semántica para gestionar políticas de seguridad en entornos distribuidos con características multi-tenancy como es la computación Grid, aportando una primera arquitectura y un primer modelo de autorización con capacidades de razonamiento avanzadas que permiten tareas de alto valor añadido tales como detección y resolución de conflictos entre políticas. En una segunda fase, se refina y formaliza el modelo de autorización, proporcionándole características de expresividad avanzadas basadas en RBAC, y se particulariza la arquitectura y el modelo para adaptarlo a las características específicas del Cloud, proporcionando también un modelo de confianza para dar soporte a posibles federaciones entre usuarios. Finalmente, se realiza una formalización matemática del modelo de autorización y se protege criptográficamente para conseguir una aproximación data-centric para que los datos queden auto-protegidos y puedan ser gestionados de manera segura y confiable por cualquier CSP sin riesgo a que se pueda acceder a ellos o cederlos a usuarios no autorizados.

Cada una de estas tres fases corresponde a un trabajo de investigación completo en el que se incluye también una prueba de concepto y una serie de pruebas con resultados y estadísticas de rendimiento, con el objetivo de analizar la viabilidad de la propuesta en cada una de sus fases. Resultados

Como principal resultado de esta tesis doctoral, se proporciona una propuesta de control de acceso altamente expresiva, confiable y segura, adecuada y adaptada a entornos de computación Cloud, que permite una gestión de seguridad con características de autorización avanzadas.

Se define un modelo de control de acceso avanzado que permite la especificación de políticas de alto nivel, proporcionando una alta expresividad y teniendo en cuenta la heterogeneidad de los dominios del Cloud. Se proporciona también una arquitectura de seguridad y se da soporte a multi-tenancy, incluyendo capacidades federativas para situaciones en las que los usuarios deseen compartir recursos en el Cloud. El modelo de está basado en RBAC y soporta las siguientes características de expresividad: jerarquías de roles (hRBAC), condiciones de contexto (cRBAC) y jerarquías de objetos (HO).

Se han aplicado tecnologías de la Web semántica, con lo que se consigue una alta expresividad de las políticas. El formalismo lógico proporcionado por las ontologías proporciona capacidades de razonamiento, posibilitando la aplicación de técnicas avanzadas para la gestión de políticas tales como la detección de conflictos semánticos, que generalmente son complejos de detectar ya que son dependientes del dominio.

También se proporciona una aproximación data-centric utilizando novedosas técnicas criptográficas basadas en identidad (identity-based encryption) y re-encriptación proxy (proxy re-encryption) para proteger tanto los datos como el propio modelo de autoriza-ción. Esta propuesta proporciona una aproximación de autorización para Cloud, en la que las reglas están bajo el control del usuario, siendo la evaluación delegada al CSP de manera protegida, resultándole imposible acceder a los datos o cederlos a terceros.

Durante la elaboración de esta tesis doctoral, el trabajo de investigación desarrollado se ha publicado en diversas publicaciones científicas, incluyendo artículos en revistas internacionales de los primeros cuartiles JCR, conferencias internacionales y capítulos de libro. Cabe destacar que los trabajos de investigación que componen el núcleo de esta tesis corresponden con artículos que han sido publicados o están siendo revisados en revistas internacionales con índice JCR Q1. Motivation and Goals

Cloud computing is an emerging paradigm where flexible and dynamic services and infrastructures are able to scale and be delivered on demand. However, many potential businesses are still reluctant to adopt this technology due to security and privacy concerns. When data resides in the Cloud, they reside outside the organizational bounds, making users to feel a lost of control over their data. Thus, the access control system becomes a critical aspect, whereas current authorization solutions for Cloud computing usually lack of enough expressiveness to describe advanced authorization and federation rules that enable a secure access control over resources.

Moreover, moving data to the Cloud usually implies relying on the Cloud Service Provider (CSP), which also raises security concerns and questions. Is the CSP accessing the data for its own benefit? Is it legitimately applying the authorization rules defined by the user? Although this is usually managed based on Service Level Agreements (SLA), the CSP could potentially access the data or even provide it to third parties. This situation leads to rethink about security and to start considering novel data-centric approaches where data are self-protected with cryptographic security mechanisms wherever they reside.

This PhD thesis targets access control in distributed environments with special focus on its application to Cloud computing, trying to provide an advanced policy-based access control model that enables a secure and trustworthy management of security. Thus, this PhD thesis targets the following:

• Design an authorization model for distributed systems, with high expressiveness and following a Role-based Access Control scheme (RBAC). • Provide an access control solution that takes into consideration the particularities of Cloud computing environments such as multi-tenancy. • Analyse the application of semantic Web technologies for security policy management and their capability for semantics representation and reasoning. • Develop a data-centric approach that enable to upload data to the Cloud in a secure and reliable manner, where data is cryptographically protected and its access is controlled by means of authorization policies. Methodology

During the research work carried out within this PhD thesis, the followed approach started by providing an initial proposal of the authorization model for distributed environments that has been later refined, formalized and contextualized for Cloud environments. Then, it has been cryptographically protected, resulting in a self-protected model for Cloud resource security.

Thus, a first work provides an initial approach to the application of semantic Web technologies to manage security policies in distributed systems with multi-tenancy features such as Grid environments. It provides an initial architecture and an initial authorization model with advanced reasoning capabilities that enable performing added value tasks such as policy conflict detection and resolution. In second step, the authorization model is refined and formalized, endowing it with enhanced expressiveness features based on the RBAC scheme. The architecture is particularized and the model adapted to the specific characteristics of the Cloud, including a trust model to support possible federations between tenants. Finally, the authorization model has been mathematically formalized and cryptographically protected to achieve a data-centric approach in which data are self-protected and can be securely managed by any CSP, being it unable to access data or to release it to unauthorized parties.

Each one of these three stages correspond to a complete research work in which a proof of concept implementation is also included, together with a set of test results and performance statistics in order to analyse the viability of the proposal in each stage. Results

As main result of this PhD thesis, a highly expressive, reliable and secure access control approach suitable for Cloud computing is provided. It has been designed taking into account special characteristics of these environments and enables the management of security by providing advanced authorization features.

An advanced and sophisticated access control model is defined to allow the specification of high-level policies, providing high expressiveness and taking into account the domain heterogeneity of Cloud environments. A security architecture is also provided and multi-tenancy is supported, including federation capabilities to support situations in which different users share Cloud resources. The model is based on the RBAC scheme and supports the following expressiveness features: hierarchy of roles (hRBAC), context conditions (cRBAC) and hierarchy of objects (HO).

Semantic Web technologies have been applied, achieving a high expressiveness for policy definitions. The logic formalism provided by ontologies endows the authorization model with reasoning capabilities, enabling advanced policy management techniques such as semantic conflict detection that are domain dependent and usually complex to detect.

A data-centric approach is also provided, using novel identity-based and proxy re-encryption techniques are used to protect both the data and the authorization model itself. This proposal enables a rule-based approach for authorization in Cloud systems where rules are under control of the data owner and access control computation is delegated to the CSP, but making it unable to grant access to unauthorized parties.

During the realization of this PhD thesis, the research results have been published in several scientific publications, including international journal papers classified in the top four quarters of JCR, international conferences and book chapters. It is remarkable that the main research works that conform the core of this PhD thesis directly correspond to papers that have been published or are being reviewed in JCR Q1 international journals.