Automatically Tightening Access Control Policies with Restricter
Stony Brook University（石溪大学）；Galois, Inc.（Galois公司）
Restricter通过分析访问日志自动收紧访问控制策略，提高安全性同时保持系统功能。
2026-01-22 cs.CR
XACs-DyPol: Towards an XACML-based Access Control Model for Dynamic Security Policy
授权和访问控制在保护敏感信息不受恶意用户攻击方面起着至关重要的作用。系统基于安全策略来确定是否允许访问请求。然而，近年来，大数据的日益普及给安全策略管理带来了新的挑战，例如运行时间中的动态和更新策略。动态策略的应用给现代领域带来了许多好处。据我们所知，有没有以前的研究集中在解决动态策略环境中的授权问题。在本文中，我们重点分析和分类时，发生的更新策略，并提供了一个务实的解决方案，这种动态的政策。这项工作的贡献是双重的：一个新的解决方案，管理的政策变化，即使访问请求已被授予，和基于XACML的实现经验评估所提出的解决方案。实验结果显示了新引入的XACs-DyPol框架与Balana（一个支持XACML 3.0的开源框架）之间的比较。这些数据集是基于XACML 3.0的策略，包括三个真实策略集的样本。根据比较结果，我们的XACs-DyPol框架在动态安全策略情况下的所有更新方面都优于Balana。特别地，当策略结构包括复杂的策略集、策略和规则或包含高于函数和低于函数的复杂比较表达式时，我们提出的解决方案的性能优于一个数量级。
2020-04-10 cs.CR
Data Capsule: A Self-Contained Data Model as an Access Policy Enforcement Strategy
在本文中，我们介绍了一种数据封装模型，这是一种基于新兴的自我主权身份标准、区块链和基于属性的加密的自包含且自我强制的数据容器。数据胶囊允许透明、尊重隐私和安全的个人数据交换，从而在半信任环境中实现渐进信任方案。每个数据胶囊都与自己的访问策略结构和可验证数据捆绑在一起，大大减少了用户、服务提供商和数据托管人之间所需的交互次数。此外，通过依赖区块链和基于属性的加密的去中心化性质，我们提出的模型确保服务提供商发布的访问策略是公开的，透明的，并严格遵守。
2022-02-16 cs.CR
Efficient and Extensible Policy Mining for Relationship-Based Access Control
基于规则的访问控制（ReBAC）是一个灵活的和富有表现力的框架，它允许用实体之间的关系链以及实体的属性来表示策略。ReBAC策略挖掘算法有可能通过部分自动化ReBAC策略的开发来显着降低从传统访问控制系统迁移到ReBAC的成本。现有的ReBAC策略挖掘算法支持一种具有有限操作符集的策略语言，这限制了它们的适用性。本文提出了一种ReBAC策略挖掘算法，该算法设计为（1）易于扩展（以支持其他策略语言功能）和（2）可扩展。该算法是基于Bui等人。的ReBAC策略挖掘算法的进化算法。首先，我们简化了他们的算法，以使其更容易扩展，并提供一种方法，扩展它来处理新的策略语言功能。然而，扩展策略语言增加了由进化算法探索的候选策略的搜索空间，从而导致更长的运行时间和/或更差的结果。为了解决这个问题，我们增强了算法的特征选择阶段。该增强利用神经网络来识别有用的特征。我们利用特征选择的结果来减少进化算法的搜索空间。新算法易于扩展，实验结果表明，该算法效率更高，产生的策略更好。
2019-08-08 cs.CR
ABAC Lab: An Interactive Platform for Attribute-based Access Control Policy Analysis, Tools, and Datasets
本文提出交互式平台 ABAC Lab，整合 ABAC 策略数据集与分析工具，并发布两个真实案例数据集，以支持策略分析、基准评估及 ABAC 落地。
2025-05-13 cs.CR
POLARIS: Cross-Domain Access Control via Verifiable Identity and Policy-Based Authorization
Institute of Computing Technology, Chinese Academy of Sciences（中国科学院计算技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Fuxi Institution（伏羲研究院）；Center for Internet Governance, Tsinghua University（清华大学互联网治理研究中心）
本文提出POLARIS框架，解决传统访问控制在跨域场景中的身份分散、隐私泄露等问题，通过可验证身份和轻量级策略语言实现隐私保护和灵活授权。
2025-11-27 cs.CR
Multi-Authority Ciphertext-Policy Attribute Based Encryption With Accountability
基于属性的加密（ABE）是实现细粒度访问控制的有效工具，针对ABE存在的单授权、访问策略公开、恶意用户不可追踪等问题，提出了一种多授权方案。此外，多个权威机构可能会导致不同权威机构之间的合谋。为了解决这些问题，我们提出了一种具有策略隐藏和访问复杂性的访问树结构方案。一旦私钥泄露，我们的方案可以提取用户ID并找到它。如果权威机构之间相互共享信息，该方案避免了他们联合起来计算密钥信息和解密密文。最后，在IND-CPA的选择集下证明了该方案是安全的。
2020-09-10 cs.CR
Automated fixing of access policy implementation in Industrial Networked Systems
访问控制（AC）是每个信息安全体系结构解决方案的核心。事实上，没有有效的保护方案可以从访问控制策略的精心设计中抽象出来，现代工业网络系统（INS）的基础设施也不例外。本文提出了一个全面的框架，INS访问控制。所提出的方法，使积极和消极的AC政策的描述，通过应用基于角色的访问控制（RBAC）的范例，典型的INS实现，同时考虑到不同层次的抽象。采用适当的技术来检查策略是否在系统中正确实现（验证）。当检测到冲突时，自动计算系统用户的可能的凭证（重新）分配，这可以用于纠正异常（冲突解决）。
2017-10-10 cs.CR
A Provenance-Policy Based Access Control Model For Data Usage Validation In Cloud
在像云这样的虚拟组织中，需要访问控制系统来约束可能导致安全漏洞的用户直接或间接行为。在云中，除了所有者访问机密数据外，还进行了第三方审计和会计，这可能会引发进一步的数据泄露。为了控制这样的数据泄漏和完整性，在过去的几个安全策略的基础上的角色，身份和用户属性的建议，并发现无效，因为他们依赖于静态的政策，不监控数据访问和它的来源。另一方面，出处跟踪数据使用及其来源，以证明数据的真实性。为了在像云这样的实时的系统中使用起源，服务提供商需要存储关于数据更改主题的元数据，该元数据通常被称为起源信息。本文提出了一种基于起源策略的访问控制模型，该模型的设计和集成系统，不仅使数据可审计，但也包括数据更改事件的问责制。
2014-11-07 cs.CR
PolyScope: Multi-Policy Access Control Analysis to Triage Android Scoped Storage
Android的文件系统访问控制是其系统完整性的关键方面。它结合了强制访问控制（如SELinux）和自主访问控制（如Unix权限），以及专门的访问控制（如Android权限），以保护OEM和Android服务免受第三方应用程序的影响。然而，当OEM引入差异化功能时，由于无法正确重新配置这种复杂的策略组合，他们通常会产生漏洞。为了解决这个问题，我们引入了POLYSCOPE工具，它可以对Android文件系统访问控制策略进行分类，以识别攻击操作-授权操作，这些操作可能会被对手利用来提升他们的权限。POLYSCOPE有三个显着的优势，比以前的分析：它允许独立的扩展和分析的个别政策模型，了解的灵活性不受信任的各方在修改访问控制策略，并可以识别系统配置允许的攻击操作。我们通过检查作用域存储对Android的影响来证明POLYSCOPE的有效性，揭示它将外部存储资源上可能的攻击操作数量减少了50%以上。然而，由于OEM仅部分采用了范围存储，我们还发现了两个以前未知的漏洞，展示了POLYSCOPE如何评估所有应用程序都符合范围存储的理想场景，这可以将OEM系统上访问攻击操作的不受信任方的数量减少65%以上。因此，POLYSCOPE可以帮助Android OEM评估复杂的访问控制策略，以确定需要进一步检查的攻击操作。
2023-02-28 cs.CR
An Approach for Handling Missing Attribute Values in Attribute-Based Access Control Policy Mining
本文提出一种基于上下文聚类技术的方法，通过预测和推断缺失属性值来处理ABAC策略挖掘中的不完整实体信息，从而优化授权决策并降低向ABAC迁移的成本。
2025-05-03 cs.CR
Quantum Resistant Ciphertext-Policy Attribute-Based Encryption Scheme with Flexible Access Structure
提出一种基于访问树、在判定性R-LWE假设和标准模型下可证安全的抗量子CP-ABE方案，以支持灵活细粒度访问控制并经仿真验证有效可扩展。
2024-01-25 cs.CR
Behavior-aware Service Access Control Mechanism using Security Policy Monitoring for SOA Systems
面向服务的体系结构（SOA）系统在当前的许多业务领域得到了广泛的应用。然而，SOA系统与多个服务松散耦合，缺乏相应的安全保护机制，容易受到非授权访问和信息窃取的攻击。现有的访问控制机制只能阻止非授权用户访问系统，而不能阻止授权用户（内部人员）对系统的攻击。针对这一问题，提出了一种基于安全策略监控的SOA系统行为感知服务访问控制机制。在我们的机制中，一个监控程序可以在运行时间监控消费者的行为。通过信任行为模型（TBM），如果发现用户的行为是滥用，监控器将拒绝其请求。如果发现消费者的行为是恶意的，监控器将提前终止消费者的访问授权在本次会话或添加到黑名单的消费者，消费者将不会访问系统从那时起为了评估所提出的机制的可行性，我们实现了一个原型系统。实验结果表明，该机制能够有效地监控消费者的行为，并在运行时间内真正发生恶意行为时做出有效的响应。而且，随着TBM中规则数量的不断增加，我们的机制仍然可以很好地工作。
2019-08-23 cs.CR
Extending Expressive Access Policies with Privacy Features
身份验证、授权和信任验证是访问控制系统的核心部分。在这种系统中授予访问权限的条件收集在访问策略中。由于访问条件往往很复杂，因此使用专门的语言-政策语言-来定义政策。然而，目前的政策语言无法表达这样的条件，考虑到用户的隐私。与隐私保护技术，用户能够证明信息的访问system. In这项工作中，我们提出了一个通用的设计，支持隐私保护技术的政策语言。我们的设计防止不必要的敏感信息的披露，同时仍然允许制定的表达规则的访问控制。为此，我们使用零知识证明（NIZKs）。我们证明了我们的设计，将其应用到TPL策略语言，同时使用SNARKs。此外，我们还评估了由此产生的ZK-TPL语言及其相关的工具链。我们的评估表明，对于常规大小的凭证，通信和验证开销可以忽略不计。
2022-12-05 cs.CR
SoK: Access Control Policy Generation from High-level Natural Language Requirements
University of Auckland（奥克兰大学）
针对现有图形化访问控制策略配置工具易出人为错、自动化生成框架预测不可靠的问题，本文通过分析49篇文献的系统性综述，识别相关工具、框架及局限，为开发可靠的策略生成方案提供支撑。
2023-10-05 cs.AI cs.CR
A Policy-Aware Model for Intelligent Transportation Systems
智能机器对机器（M2M）通信领域的最新进展使得有必要通过实施适当的安全规则来改进服务交付。由于大量的连接设备，M2M应用的关键性以及网络稳定性的弱点，我们需要考虑和分析安全方面并建立灵活的策略感知架构。本文探讨了在这种环境下的相关架构的挑战，并提出了一个策略感知的智能M2M架构（PAArc）的ETSI M2M通信功能架构的基础上。我们探索基于策略的管理方面，以提高M2M组件和服务的安全性，并减轻通过评估智能交通系统用例而产生的安全问题。结果表明，该策略的实施，使智能M2M通信领域的增强的安全管理能力，增加的灵活性，和更好的服务水平。
2017-07-01 cs.CR cs.NI
An Automatic Attribute Based Access Control Policy Extraction from Access Logs
University of Pittsburgh（匹兹堡大学）
随着计算和信息技术的快速发展，传统的访问控制模型已经不足以捕捉细粒度的，表达的安全需求的新兴应用程序。基于属性的访问控制（ABAC）模型提供了一种更灵活的方法来解决复杂和动态系统的授权需求。虽然组织有兴趣采用更新的授权模型，但迁移到此类模型是一个重大挑战。许多大型企业需要向可能分布在不同和异构计算环境中的用户群授予授权。这些计算环境中的每一个可以具有其自己的访问控制模型。为整个组织手动开发单个策略框架是乏味的、昂贵的并且容易出错。在本文中，我们提出了一种方法，自动学习ABAC政策规则，从系统的访问日志，以简化政策的制定过程。该方法采用了一种基于无监督学习的算法来检测访问日志中的模式，并从这些模式中提取ABAC授权规则。此外，我们提出了两个策略改进算法，包括规则修剪和策略细化算法，以生成更高质量的挖掘策略。最后，我们实现了一个原型所提出的方法来证明其可行性。
2021-01-30 cs.AI cs.CR cs.LG
PACLP: a fine-grained partition-based access control policy language for provenance
尽管以前提出了划分起源图进行访问控制的想法，但采用起源DAG的片段对起源数据进行细粒度访问控制尚未得到彻底探索。因此，我们采取的起源图的片段，扩展的OPM的基础上，并定义使用正则表达式的变体，并利用它们在我们的细粒度访问控制语言。它不仅可以返回部分图来回答访问请求，而且还可以引入段作为限制，以筛选目标数据。
2020-01-07 cs.CR cs.DB
RAGent: Retrieval-based Access Control Policy Generation
University of Auckland（奥克兰大学）；RMIT University（皇家墨尔本理工大学）；The School of Computer Science（计算机学院）；The School of Computing Technologies（计算技术学院）
针对手动生成访问控制策略效率低、易出错及现有自动化框架可靠性不足的问题，提出基于检索增强生成的RAGent框架，可识别需求并生成含复杂组件的策略，结合验证-细化机制提升性能，同时发布三个标注数据集。
2024-09-13 cs.AI cs.CR
Policy Specification in Role based Access Control on Clouds
云计算是通过网络向客户提供的一组IT服务，这些服务由拥有基础设施的第三方提供商提供，并减轻了用户端的负担。目前研究人员致力于研究访问控制方法来提高云计算的安全性。RBAC是一种有吸引力的访问模型，因为角色的数量明显较少，因此可以很容易地根据角色对用户进行分类。基于角色的访问控制（Role-based Access Control，RBAC）模型提供了一种有效的信息访问管理方法，同时降低了大型网络应用的安全管理成本和复杂性。本文详细介绍了云环境下RBAC中的各种策略，如迁移策略，该策略可以帮助用户使用XML轻松地将数据库模式和角色迁移到云环境中，并且具有更高的安全性。限制策略通过限制每个用户的事务数量来增强基于角色的访问模型的安全性，如果事务数量增加，管理员将通过其监控系统了解已进行未经授权的访问，并且更容易对此类事件采取行动。本文提出了基于角色访问模型的备份和恢复策略，在主云崩溃或不能正常工作时，备份和恢复设施将可用，以避免重要数据的丢失。在这种情况下，数据丢失的机会非常少，所以在云计算上增强更多的安全性。
2013-08-23 cs.CR cs.DC
Quantifying Policy Administration Cost in an Active Learning Framework
University of Calgary（卡尔加里大学）
本文提出在主动学习框架中量化访问控制的策略管理成本，通过查询复杂度建模不同策略，首次证明基于域的启发式策略比访问控制矩阵更具成本优势。
2023-12-29 cs.CR cs.LG
Mining Attribute-Based Access Control Policies from Logs
基于属性的访问控制（ABAC）提供了高度的灵活性，可促进安全性和信息共享。ABAC策略挖掘算法有可能显著降低迁移到ABAC的成本，通过部分自动化从现有的访问控制策略和属性数据的信息的ABAC策略的开发。提出了一种从操作日志和属性数据中挖掘ABAC策略的算法。据我们所知，它是解决这个问题的第一个算法。
2018-02-13 cs.CR cs.DB
CloudFix: Automated Policy Repair for Cloud Access Control Policies Using Large Language Models
Stevens Institute of Technology（史蒂文斯理工学院）
CloudFix利用大语言模型和形式方法，实现云访问控制策略的自动化修复，提高修复准确性和效率。
2026-01-29 cs.CR cs.DC cs.SE
AutoCedar: An Agentic Framework for Verifier-Guided Access Control Policy Synthesis
研究针对大语言模型将自然语言需求转化为访问控制代码存在的问题，构建验证器引导系统AutoCedar，先转化需求为可检查目标，再合成Cedar策略，通过分解意图原子等实现端到端策略编写，在多任务和案例中表现良好。
2026-07-07 cs.AI cs.CR cs.SE
DePLOI: Applying NL2SQL to Synthesize and Audit Database Access Control
本文提出DePLOI，一个基于LLM的系统，利用NL2SQL技术从IBAC-DB抽象中合成和审计数据库访问控制，并引入首个基准IBACBench，实验表明其性能显著优于其他LLM策略。
2025-05-22 cs.CR cs.DB
PANDA: Policy-aware Location Privacy for Epidemic Surveillance
在这个演示中，我们提出了一个隐私保护的流行病监测系统。最近，许多遭受冠状病毒危机的国家试图访问公民的位置数据以消除疫情。然而，它引起了隐私问题，并可能以公共卫生的名义为更具侵入性的监视形式打开大门。这也给隐私保护技术带来了挑战：我们如何利用人们的移动数据来帮助抗击疫情，同时又不损害我们的位置隐私。我们证明，我们可以有最好的两个世界，通过实施基于政策的位置隐私的流行病监测。具体地说，我们根据差分隐私，使用图形式化的隐私策略，称为策略图。我们的系统有三个主要功能的流行病监测：位置监测，流行分析和接触者追踪。我们提供了一个交互式工具，让与会者探索和检查我们的系统的可用性：（1）位置监测和疾病传播模型估计的效用，（2）在我们的系统中的接触者追踪程序，以及（3）隐私效用权衡w.r.t.不同的政策图表。与会者可以发现，在保护位置隐私的同时，有可能拥有流行病监测的全部功能。
2020-06-06 cs.CR cs.DB
From Alignment to Access Control: A Framework for GenAI Policy Enforcement
IBM Research（IBM研究院）
本文提出一种系统分析GenAI应用中策略执行方法的框架，涵盖从对齐到访问控制，旨在解决安全与合规问题，并提供建议与行动呼吁。
2026-09-23 cs.AI cs.CR
Hard-Earned Lessons in Access Control at Scale: Enforcing Identity and Policy Across Trust Boundaries with Reverse Proxies and mTLS
针对传统VPN、应用级SSO难以支撑分布式动态员工安全扩展访问的问题，本文分享了集成mTLS、集中SSO的反向代理零信任架构的落地经验、挑战与教训，该多维度方案实现设备与用户双认证、策略集中管控和全链路可观测，保障企业内部应用安全顺畅访问。
2025-08-03 cs.CR cs.NI cs.SE
