Uma Arquitetura de Controle de Acesso Dinâmico Baseado em ...· Catalogac¸˜ao na fonte elaborada

  • View
    214

  • Download
    0

Embed Size (px)

Text of Uma Arquitetura de Controle de Acesso Dinâmico Baseado em ...· Catalogac¸˜ao na fonte elaborada

UNIVERSIDADE FEDERAL DE SANTA CATARINADEPARTAMENTO DE INFORMATICA E ESTATISTICA

Daniel Ricardo dos Santos

UMA ARQUITETURA DE CONTROLE DE ACESSO DINAMICOBASEADO EM RISCO PARA COMPUTACAO EM NUVEM

Florianopolis(SC)

2013

Daniel Ricardo dos Santos

UMA ARQUITETURA DE CONTROLE DE ACESSO DINAMICOBASEADO EM RISCO PARA COMPUTACAO EM NUVEM

Dissertacao submetida ao Programade Pos-graduacao em Ciencia daComputacao para a obtencao do Grau deMestre em Ciencia da Computacao.Orientadora: Dra. Carla MerkleWestphall,

Florianopolis(SC)

2013

Catalogacao na fonte elaborada pela biblioteca daUniversidade Federal de Santa Catarina

A ficha catalografica e confeccionada pela Biblioteca Central.

Tamanho: 7cm x 12 cm

Fonte: Times New Roman 9,5

Maiores informacoes em:http://www.bu.ufsc.br/design/Catalogacao.html

Daniel Ricardo dos Santos

UMA ARQUITETURA DE CONTROLE DE ACESSO DINAMICOBASEADO EM RISCO PARA COMPUTACAO EM NUVEM

Esta Dissertacao foi julgada aprovada para a obtencao do Ttulo deMestre em Ciencia da Computacao, e aprovada em sua forma final peloPrograma de Pos-graduacao em Ciencia da Computacao.

Florianopolis(SC), 09 de agosto 2013.

Dr. Ronaldo dos Santos MelloCoordenador

Dra. Carla Merkle Westphall,Orientadora

Banca Examinadora:

Dra. Carla Merkle WestphallPresidente

Dr. Mario Antonio Ribeiro Dantas

Dr. Aldri Luiz dos Santos

Dr. Carlos Becker Westphall

Essentially, all models are wrong, but someare useful.

George Box

RESUMO

Computacao em nuvem e um modelo para computacao distribuda que aindaenfrenta problemas. Novas ideias surgem para aproveitar ainda mais suascaractersticas e entre os desafios de pesquisa encontrados na computacaoem nuvem destaca-se a gerencia de identidades e controle de acesso. Osprincipais problemas da aplicacao de controle de acesso em computacaoem nuvem sao a necessaria flexibilidade e escalabilidade para suportarum grande numero de usuarios e recursos em um ambiente dinamico eheterogeneo, com as necessidades de colaboracao e compartilhamento de re-cursos e informacoes. Esse trabalho de pesquisa propoe o uso de controle deacesso dinamico baseado em risco para computacao em nuvem. A propostae apresentada na forma de um modelo para controle de acesso, baseado emuma extensao do padrao XACML com tres novos componentes principais:o Risk Engine, os Risk Quantification Web Services e as polticas de risco.As polticas de risco apresentam um metodo para descrever metricas derisco e sua quantificacao, que pode ser atraves de funcoes locais ou remotas.O uso de polticas de risco permite que usuarios e provedores de servicosde nuvens definam como desejam tratar o controle de acesso baseado emrisco para seus recursos, utilizando metodos de quantificacao e agregacao derisco apresentados em trabalhos relacionados. O modelo atinge a decisao deacesso baseado em uma combinacao de decisoes XACML e analise de risco.Uma especificacao das polticas de risco utilizando XML e apresentada e umestudo de caso utilizando federacoes de nuvens e descrito. Um prototipo domodelo e implementado, mostrando que tem expressividade suficiente paradescrever os modelos de trabalhos relacionados. Nos resultados experimen-tais o prototipo atinge decisoes de acesso com o uso de polticas de trabalhosrelacionados com um tempo entre 2 e 6 milissegundos. Uma discussao sobreos aspectos de seguranca do modelo tambem e apresentada.

Palavras-chave:Computacao em Nuvem; Controle de Acesso; Risco; Federacao de nuvens;

ABSTRACT

Cloud computing is a distributed computing model that still faces problems.New ideas emerge to take advantage of its features and among the researchchallenges found in cloud computing, we can highlight Identity and AccessManagement. The main problems of the application of access control in thecloud are the necessary flexibility and scalability to support a large numberof users and resources in a dynamic and heterogeneous environment, withcollaboration and information sharing needs. This research work proposesthe use of risk-based dynamic access control for cloud computing. Theproposal is presented as an access control model based on an extension ofthe XACML standard with three new main components: the Risk Engine, theRisk Quantification Web Services and the Risk Policies. The risk policiespresent a method to describe risk metrics and their quantification, usinglocal or remote functions. The use of risk policies allows users and cloudservice providers to define how they wish to handle risk-based accesscontrol for their resources, using quantification and aggregation methodspresented in related works. The model reaches the access decision based ona combination of XACML decisions and risk analysis. A specification of therisk policies using XML is presented and a case study using cloud federationsis described. A prototype of the model is implemented, showing it has enoughexpressivity to describe the models of related works. In the experimentalresults, the prototype reaches access decisions using policies based onrelated works with a time between 2 and 6 milliseconds. A discussion on thesecurity aspects of the model is also presented.

Keywords:Cloud Computing; Access Control; Risk; Cloud Federation;

LISTA DE FIGURAS

Figura 1 Visao geral dos modelos de controle de acesso dinamicos . . . . 41Figura 2 Modelo RAdAC (adaptado de Fall et al. (2011)) . . . . . . . . . . . . 48Figura 3 Taxonomia de risco (adaptado de Arias-Cabarcos et al. (2012)) 50Figura 4 Visao geral do modelo de controle de acesso (adaptado deSharma et al. (2012)) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51Figura 5 Tabela de valores de risco, adaptado de Sharma et al. (2012) . 52Figura 6 Visao geral do modelo para controle de acesso . . . . . . . . . . . . . . 57Figura 7 Exemplo de poltica de risco . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59Figura 8 Processo de decisao passo a passo . . . . . . . . . . . . . . . . . . . . . . . . . 62Figura 9 Diagrama geral da arquitetura de federacao de nuvens . . . . . . . 66Figura 10 Controle de acesso inserido em uma determinada federacao denuvens . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69Figura 11 Diagrama de classes da arquitetura de controle de acesso . . . . 74Figura 12 Diagrama de classes da federacao de nuvens . . . . . . . . . . . . . . . . 77Figura 13 Tempo utilizado para se atingir uma decisao de acesso . . . . . . . 88

LISTA DE TABELAS

Tabela 1 Possveis decisoes de acesso . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83Tabela 2 Tipos de maquinas virtuais utilizadas nos experimentos . . . . . . 84Tabela 3 Desempenho das polticas de risco . . . . . . . . . . . . . . . . . . . . . . . . 85Tabela 4 Desempenho com diferentes numeros de metricas . . . . . . . . . . . 86Tabela 5 Desempenho com metricas locais e externas . . . . . . . . . . . . . . . . 87Tabela 6 Comparacao entre os trabalhos relacionados . . . . . . . . . . . . . . . . 94

LISTA DE ABREVIATURAS E SIGLAS

TI Tecnologia da Informacao . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19IAM Identity and Access Management . . . . . . . . . . . . . . . . . . . . . . . . . 19NIST National Institute of Standards and Technology . . . . . . . . . . . . . 26SOA Service-oriented Architecture . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26SaaS Software as a Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27CSP Cloud Service Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27PaaS Platform as a Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27IaaS Infrastructure as a Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28IDaaS Identity as a Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28AaaS Authorization as a Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28STaaS Storage as a Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28SECaaS Security as a Service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28CRM Customer Relationship Management . . . . . . . . . . . . . . . . . . . . . . 28ERP Enterprise Resource Planning . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28IEEE Institute of Electrical and Electronics Engineers . . . . . . . . . . . . 30SIIF Standard for Intercloud Interoperability and Federation . . . . . 30SLA Service Level Agreement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31CSA Cloud Security Alliance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32CSM Cloud Security Matrix . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32LoA Level of Assurance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33IdP Identity Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33SP Service Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33SSO Single Sign-On . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34FIM Federated Identity Management . . . . . . . . . . . . . . . . . . . . . . . . . . . 34CoT Circle of Trust . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34XML eXtensible Markup Language . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36DAC Discretionary Access Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36MAC Mandatory Access Control . . . . . . . . . . . . . . . . . . . . . . . . . .