Collaborative systems or multi-user applications allow groups of users to communicate and cooperate on common tasks. These systems contain information and resources with different degrees of sensitivity. The applications deployed in such systems create, manipulate, and provide access to a variety of protected information and resources. Balancing the competing goals of collaboration and security is difficult because interaction in collaborative systems is targeted on making people, information, and resources available to all who need it whereas information security seeks to ensure the integrity of these elements while providing it only to them with proper authorization. Among the several areas of security in consideration for collaborative environments, $\emph{authorization}$ or $\emph{access control}$ is particularly important because such systems may offer open access to local desktops or networked resources without secure manner. Users need a secure mechanism not only for identifying collaborators (authentication), but also for managing files, applications, portions of a system, etc. They may access during a collaboration session. However, there are a few researches in dealing with authorization issues to provide flexible access control policy, reliable authorization model, architecture, and mechanism in collaborative environments.
In this thesis, we provide a comprehensive study of authorization management for collaborative environments and propose an authorization framework for such environments. Firstly, we examine a well-known access control model, called Role-based access control (RBAC) and reconstruct authorization model using general software engineering tools to investigate a gap between formal access control models and access control system development. Secondly, we propose an authorization architecture supporting reliable and scalable authorization management features that are crucial to collaborative environments. Based on this study, we build a framework of authorization mechanism, which provides role-based security realms in web environment. Our framework is able to serve flexible access control policy that has generated great interest in the security community as a flexible approach. In addition, we identify authorization constraints and show how we can specify them. We demonstrate the feasibility of our approaches through case studies with e-SCM (Supply Chain Management). Our approach contributes to both academics and industry by addressing how authorization framework and management should be set in order to best deal with security concerns and provide the necessary support for large-scale collaborative environments. We also describe a prototype implementation for our feasible approach.
For the further work, we will research the survivability of authorization architecture or authorization mechanism that enables to support secure cascade delegation or obligation among multi-user relationships.
인터넷의 발전과 더불어 빠르게 발전하는 e-Business 환경에서 그 편리함과 유익성에 반비례하여 위험/위협요소에 쉽게 노출 되어지고 있다. e-Business 환경에서의 정보보안의 위협은 사용자의 실수등에 의한 사고에 의한 위협(Accidental Threats) 악의적 목적이나 영리추구를 위한 의도적인 위협(Intentional Threats) 등으로 나뉘어 매우 빠르게 발생하고 있으며, 특히 자원에 대한 명확한 소유 및 접근 통제에 대한 중요성이 점점 대두되고 있음에도 불구하고 보안 모델이나 아키텍처 측면에서의 관련 연구가 미흡한 실정이다.
본 논문에서는 이러한 문제의 해결을 위해, "역할기반의 접근통제(Role-Base Access Control)" 모델을 기반으로 새로운 권한 인증 모델을 재정립 하고, 이에 적용되는 인증 구조의 아키텍쳐 및 메커니즘을 제시하였으며, 이를 논리적 방안 및 구현을 통해 검증하였다.
정형화된 접근 통제 모델을 소프트웨어 공학 도구를 사용하여 구현할 수 있도록 함으로써, 실제 시스템 개발자나 보안 운영자가 좀 더 쉽게 정형화된 접근 통제 모델을 활용하여, 효과적인 인증모델을 설계하고 구현 할 수 있는 방안에 대하여 연구해 보았으며, 또한 다양한 동적인 모드에서 신뢰성 있는 인증 모델을 구현방안을 다양한 사례를 통하여 제안하였다.
제시된 권한 인증 모델을 기반으로, 기존의 사용자 신분확인(Authentication) 및 권한 인증(Authorization)을 통합한 새로운 형태의 보안 아키텍쳐를 소개하였고, 특히 "제한적 역할 통제 기반(constraint specification in role-based realms)"의 표준 및 적용 가능성을 제시함으로써, 통합 인증 체재를 지원하는 새로운 인증기반의 보안 아키텍처를 개발하였다.
제시된 인증기반의 보안 아키텍쳐를 기반으로 하여, 본 논문에서는 웹 환경에서 클라이언트의 역할 정보에 의거하여 자원에의 접근을 선택적으로 제어하는 "역할기반의 접근통제 정책 및 인증 메커니즘"을 연구하고, 각각의 메커니즘에 대하여 당위성 및 타당성을 분석함으로써, 신뢰성 기반의 통합인증 아키텍처의 구현 가능성을 소개하였다.
인증 관리적 측면에서는 다양하고 복잡한 접근정책 및 수시로 변동되는 접근 통제 방안에 대하여, 유동성 있는 인증정책을 정의하였으며, 이러한 보안 정책이 중앙통제 및 관리가 가능한 측면에서의 시스템 디자인 단계에서 현실화 할 수 있도록 목록을 정의, 구성하였다.
제안한 인증 관리 모델의 정확성과 효율성을 증명하기 위하여, 실제 대규모 기업 환경인 "공급 체인관리 e-SCM (Supply Chain Management)" 측면에서의 접근통제와 관련하여 야기되는 논점과 문제점을 조사하였으며, 제안한 인증 구조를 기반으로 하는 새로운 접근 통제 모델 및 아키텍처를 구현함으로써, 야기된 문제점 해결 및 활용 가치를 증명해 보았다.
