Greedy and Evolutionary Algorithms for Mining Relationship-Based Access Control Policies
基于身份验证的访问控制（ReBAC）提供了高级别的表现力和灵活性，可促进安全性和信息共享。我们制定ReBAC作为一个面向对象的扩展，基于属性的访问控制（ABAC），其中的关系表示使用字段，引用其他对象，和路径表达式被用来遵循对象之间的关系链。通过部分自动化根据现有访问控制策略和属性数据开发ReBAC策略，ReBAC策略挖掘算法有可能显着降低从传统访问控制系统迁移到ReBAC的成本。本文提出了两种从访问控制列表和表示为对象模型的属性数据中挖掘ReBAC策略的算法：一种是基于统计学的贪心算法，另一种是基于语法的进化算法。对四个样本策略和两个大型案例研究的算法评估表明了它们的有效性。
2018-08-21 cs.CR
FLAP -- A Federated Learning Framework for Attribute-based Access Control Policies
传感器、物联网和机器人等领域的技术进步，使新的协作应用成为可能（例如，自主设备）。这种合作的主要要求是拥有一个安全的系统，能够实现信息共享和信息流保护。基于策略的管理系统是实现受保护资源安全选择共享的关键机制。然而，这种协作环境中的每一方的政策都不能是静态的，因为它们必须适应不同的背景和情况。协作应用程序的一个优点是，协作中的每一方都可以利用其他方的知识来学习或增强自己的策略。我们把这种学习机制称为政策转移。策略转移框架的设计具有挑战性，包括策略冲突和隐私问题。政策冲突通常是由于各方义务的不同而产生的，而隐私问题则是由于敏感数据的数据共享限制而产生的。因此，政策转移框架应能够通过考虑最低限度的数据共享来应对这些挑战，并支持政策调整以解决冲突。在本文中，我们提出了一个框架，旨在应对这些挑战。我们介绍了一个正式的定义的政策转移问题的属性为基础的政策。然后，我们介绍的转移方法，包括三个连续的步骤。最后，我们报告实验结果。
2020-11-02 cs.CR
Verifying Security Policies using Host Attributes
在网络安全策略的形式化验证中，验证目标的表达是关键。这些正式的目标，称为安全不变量，应该很容易为最终用户表达。本研究以访问控制和信息流安全策略为重点，发现并证明了关于安全不变量的普遍见解。这样可以安全、方便地自动完成主机属性配置。我们展示了我们的结果在民航场景。所有结果都用Isabelle/HOL定理证明器进行了机器验证。
2016-04-01 cs.CR cs.NI cs.SE
An Approach for Handling Missing Attribute Values in Attribute-Based Access Control Policy Mining
本文提出一种基于上下文聚类技术的方法，通过预测和推断缺失属性值来处理ABAC策略挖掘中的不完整实体信息，从而优化授权决策并降低向ABAC迁移的成本。
2025-05-03 cs.CR
PTaCL: A Language for Attribute-Based Access Control in Open Systems
近年来，许多语言和代数被提出来用于授权策略的规范。对于一些提案，如XACML，主要动机是解决现实世界的需求，通常是通过提供一种复杂的策略语言和一些非正式的评估方法;其他人试图提供更大程度的正式性（特别是在策略评估方面），但支持的功能要少得多。简而言之，很少有提案将丰富的语言功能集与定义良好的语义相结合，更少的是在开放环境中基于属性的访问控制的授权策略。在本文中，我们分解成两个不同的子语言的政策规范的问题：政策目标语言（PTL）的目标规范，它决定了一个政策时，应评估;和政策组合语言（PCL），用于建立更复杂的政策，从现有的。我们定义了两个这样的语言的语法和语义，并证明它们可以是简单的和富有表现力的。PTaCL是通过结合这两种子语言的功能而获得的语言，支持广泛的策略规范。然而，PTaCL的强大功能意味着可以定义可能产生意外结果的策略。我们提供了一个分析PTL应如何限制，以及如何写在PCL的政策应进行评估，以尽量减少不良结果的可能性。
2011-11-24 cs.CR cs.LO
On attribute-based usage control policy ratification for cooperative computing context
在开放的信息系统范例中，实时的上下文感知对于合作的成功至关重要，因此合作伙伴的动态安全属性应该在合作中得到考虑，以避免安全冲突。此外，跨境资产共享活动和与治理丧失相关的风险要求对合作伙伴的行为进行持续监管，关注资源共享和消耗活动。本文描述了一种基于属性的使用控制策略方案。使用EBNF的简洁语法来概括基本策略模型。利用溯因约束逻辑程序设计（ACLP）和事件演算（EC）对协商过程进行语义消歧。在此基础上，提出了一种基于策略聚集代数的策略确认方法，该方法详细描述了请求空间和策略规则关系。此方法可确保在由于资源共享和合并活动而聚合策略时，生成的策略正确地解释提供者策略的原始安全目标。
2013-05-08 cs.CR
A Blockchain-based Decentralised and Dynamic Authorisation Scheme for the Internet of Things
授权已被公认为防止未经授权访问物联网（IoT）网络中的关键资源（如设备和数据）的重要安全措施。物联网网络的现有授权方法基于传统的访问控制模型，其具有若干缺点，包括架构集中化、策略篡改、访问权验证、恶意第三方策略分配和控制以及网络相关开销。将区块链技术与物联网网络相结合的趋势越来越明显，这表明了区块链技术在解决传统物联网网络授权机制缺陷方面的重要性和潜力。本文基于存储在分布式不可变分类账上的基于属性的访问控制（ABAC）细粒度策略，为物联网网络提出了一种分散、安全、动态和灵活的授权方案。我们设计了一个基于区块链的ABAC策略管理框架，分为属性管理权限（AMA）和策略管理权限（PMA）框架，使用智能合约功能来初始化，存储和管理区块链上的属性和策略。为了在授权过程中实现灵活性和动态性，我们结合ABAC模型的主体和客体属性来捕获和利用与环境相关的属性来定义策略。此外，我们设计了基于区块链的访问管理框架（AMF）来管理用户访问物联网设备的请求，同时维护用户请求和分配策略的隐私性和可验证性。我们实现了我们提出的方案的原型，并在本地以太坊区块链上执行。最后，我们证明了我们提出的方案的适用性和灵活性，基于物联网的灵巧家庭的情况下，考虑到部署，执行和财务成本。
2022-08-15 cs.CR
ESPOON: Enforcing Encrypted Security Policies in Outsourced Environments
对于基于策略的系统来说，在外包环境中执行安全策略仍然是一个公开的挑战。一方面，采取适当的安全决策需要访问策略。然而，如果在不受信任的环境中允许此类访问，那么机密信息可能会因策略而泄露。当前的解决方案基于将安全策略与安全机制嵌入的密码操作。因此，通过允许授权方访问适当的密钥来执行此类策略的执行。我们认为，这种解决方案过于僵化，因为它们严格地将授权政策与执行机制相结合。在本文中，我们要解决的问题，在不受信任的环境中执行安全策略，同时保护政策的机密性。我们的解决方案ESPOON旨在提供安全策略和执行机制之间的明确分离。但是，实施机制应该尽可能少地了解策略和请求者属性。
2013-06-20 cs.CR
Automated Certification of Authorisation Policy Resistance
基于属性的访问控制（ABAC）扩展了传统的访问控制，将访问请求视为一组成对的属性名称-值，使其在开放和分布式系统的上下文中特别有用，其中安全相关信息可以从不同的源收集。但是，ABAC支持属性隐藏攻击，允许攻击者通过保留信息来获得某些访问权限。在本文中，我们首先介绍了属性隐藏攻击的政策阻力的概念。然后，我们提出的工具ATRAP（自动任期重写授权政策），最近正式的ABAC语言PTaCL，首先自动搜索阻力反例使用Maude，然后自动搜索伊莎贝尔证明阻力的基础上。我们用两个简单的政策例子来说明我们的方法，并提出了ATRAP性能的评估。
2013-06-20 cs.CR cs.LO
Enforcing Access Control in Virtual Organizations Using Hierarchical Attribute-Based Encryption
虚拟组织是动态的组织间协作，涉及属于不同安全域的系统和服务。已经提出了几种解决方案，以保证执行的访问控制策略，保护在分布式系统中交换的信息，但没有一个地址的动态特性的虚拟组织。本文提出了一种动态分层的基于属性的加密（D-HABE）方案，该方案允许虚拟组织中的机构根据基于属性的策略对信息进行加密，使得只有具有相应属性的用户才能解密，另外，我们还引入了一种密钥管理方案，该方案决定了哪个用户有权从哪个域权威机构接收哪个属性密钥。
2012-05-25 cs.CR
Secure Cloud Assisted Smart Cars Using Dynamic Groups and Attribute Based Access Control
未来的智慧城市和智能世界将有联网汽车和智能汽车作为其不可或缺和最重要的组成部分。在这个车辆物联网（IoT）领域中，这些连接的实体之间的通信和交互，还涉及智能交通基础设施，路边传感器，带有信标的餐厅，自动应急车辆等，提供无数的实时用户应用，为消费者提供更安全、更愉悦的驾驶体验。这些联网车辆（CV）拥有超过1亿行代码和数百个传感器，暴露了一个巨大的攻击面，可以被恶意攻击者远程入侵和利用。安全和隐私是阻碍智能联网汽车采用的严重问题，如果不妥善解决，将对人类生命和肢体造成严重影响。在这项研究中，我们提出了一个形式化的动态组和基于属性的访问控制（ABAC）模型（简称为\cvac）的智能汽车生态系统，该模型不仅考虑了系统范围内的基于属性的安全策略，但也考虑到个人用户的隐私偏好，允许或拒绝服务通知，警报和操作的车载资源。此外，我们在车辆物联网中引入了一种新颖的组概念，这些组基于它们当前的GPS坐标，速度或其他属性动态分配给移动实体，如联网汽车，以确保位置和时间敏感的通知服务与消费者的相关性，提供管理大量智能实体的管理优势，以及为细粒度的安全授权策略启用属性和警报继承。我们在AWS云平台中展示了我们的模型的概念验证实现，展示了真实的用例以及性能指标。
2019-08-21 cs.CR
Multi-Authority Attribute-Based Access Control with Smart Contract
基于属性的访问控制根据主体的属性和访问策略做出访问控制决策，通过中介主体的操作来保护对象。权限是实现基于属性的访问控制的一个关键组成部分，它对主体的属性进行验证。在一个日益分散的社会中，主体所拥有的多种属性可能需要由多个不同的当局进行验证。提出了一种基于以太坊智能合约的多权限属性访问控制方案。在所提出的方案中，以太坊智能合约被创建来定义数据所有者、数据用户和多属性权威机构之间的交互。数据使用者将其属性呈现给不同的属性权威机构，在属性验证成功后，从各自的属性权威机构获取属性令牌。在收集到足够的属性令牌后，将执行智能合约以向数据用户发出秘密密钥来访问所请求的对象。用于基于多权限属性的访问控制的智能合约已在Solidity中进行了原型设计，并在Rinkeby以太坊测试网上对其性能进行了评估。
2019-09-16 cs.CR
GPT, Ontology, and CAABAC: A Tripartite Personalized Access Control Model Anchored by Compliance, Context and Attribute
Harvard Business School（哈佛商学院）
本研究提出GPT-Onto-CAABAC框架，结合GPT、医疗法律本体与情境感知属性访问控制，动态解释策略以适应医疗法律环境，实证证明能提升电子健康记录访问安全，并具广泛适用性。
2024-03-13 cs.AI cs.CR cs.CY
Concrete Attribute-Based Encryption Scheme with Verifiable Outsourced Decryption
随着更多的敏感数据由互联网上的第三方网站共享和存储，将需要加密存储在这些网站上的数据。加密数据的一个缺点是只能在粗粒度级别上选择性地共享数据。基于属性的加密是一种基于公钥的一对多加密，允许用户根据用户属性加密和解密pt数据。ABE的一个有前途的应用是使用访问策略和与私钥和密文相关联的归属属性对存储在云中的加密数据进行灵活的访问控制。现有ABE方案的主要效率缺陷之一是解密涉及昂贵的配对操作，并且这种操作的数量随着访问策略的复杂性而增长。最后，我们展示了一个实现方案和性能测量的结果，这表明对用户施加的计算资源显着减少。
2014-07-04 cs.CR
Matrix Access structure Policy used in Attribute-Based Proxy Re-encryption
代理重新加密（Proxy Re-encryption，PRE）允许一个半信任代理将原本发给Alice的密文转换成发给Bob的相同消息的加密。Song Luo，Zhao Hu和Zhong Chen提出了一种新的基于密文策略属性的代理重加密方案（CP-AB-PRE）。在他们的方案中实现的密文策略是支持多值属性、负属性和通配符的与门策略。提出了一种基于LSSS矩阵访问结构的访问策略。该方案同时具有PRE和CP-AB-PRE的单向性、非交互性、多用途等特性，允许代理决定密文是否可以重新加密，允许代理增加访问策略。此外，我们的计划可以修改为外包的W2的政策。
2013-02-26 cs.CR
Quantum Resistant Ciphertext-Policy Attribute-Based Encryption Scheme with Flexible Access Structure
提出一种基于访问树、在判定性R-LWE假设和标准模型下可证安全的抗量子CP-ABE方案，以支持灵活细粒度访问控制并经仿真验证有效可扩展。
2024-01-25 cs.CR
ABAC Lab: An Interactive Platform for Attribute-based Access Control Policy Analysis, Tools, and Datasets
本文提出交互式平台 ABAC Lab，整合 ABAC 策略数据集与分析工具，并发布两个真实案例数据集，以支持策略分析、基准评估及 ABAC 落地。
2025-05-13 cs.CR
An Insider Threat Mitigation Framework Using Attribute Based Access Control
本文提出一种结合移动目标防御、欺骗和属性访问控制的内部威胁缓解框架，通过引入相关属性生成变异策略，在不影响系统可用性的前提下提高内部人员非授权访问的难度和成本。
2023-05-31 cs.CR
Access Control Synthesis for Physical Spaces
办公楼和机场等物理空间的电子控制要求最好从系统范围要求的全局角度来制定。例如，“每个房间都有一条经过授权的通道可以离开大楼。相反，单个访问控制组件（如门和旋转栅门）只能执行本地策略，指定组件何时可以打开。在实践中，系统范围的全局需求和许多本地策略之间的差距是手动弥合的，这是繁琐的，容易出错的，并且可伸缩性差。我们提出了一个框架，自动综合本地访问控制策略，从一组全球性的要求，物理空间。我们的框架包括一个表达语言来指定全球的要求和物理空间，和一个算法，用于合成本地的，基于属性的政策，从全球规范。我们实证证明了三个实质性的案例研究框架的有效性。研究表明，访问控制综合是实用的，即使是复杂的物理空间，如机场，有许多相互关联的安全要求。
2016-05-05 cs.CR
Decentralized Policy Information Points for Multi-Domain Environments
已经开发了访问控制模型来控制对敏感资源的授权访问。这种访问控制非常重要，因为现在需要在多个组织之间通过互联网等开放环境进行协作资源共享。虽然有多种访问控制模型被广泛使用，但这些模型都是在封闭的环境中提供访问控制，即在使用它的组织内提供访问控制。这些模型在开放环境中提供访问控制的能力有限。基于属性的访问控制（ABAC）已经成为一个强大的访问控制模型，为拥有敏感数据和资源并希望在开放环境中进行协作的组织提供细粒度的授权。在ABAC系统中，可以通过对用户的属性应用策略来控制对组织拥有的资源的访问。这些策略是请求者为了获得对资源的访问权而需要满足的条件。本文介绍了ABAC的基本概念，并在继承ABAC体系结构的基础上，提出了一种分布式策略信息点模型。我们的模型提出了分散的PIP，这是一个实体的ABAC模型，允许存储和查询的用户属性和执行细粒度的访问控制控制敏感资源的访问多个域。我们的模型利用了一个加密原语的概念，称为基于属性的签名（ABS），以保持用户的身份参与，私人。我们的模型可以用于在互联网上的协作资源共享。我们的模型的评价也进行了讨论，以反映所提出的分散PIP模型的应用。
2021-08-19 cs.CR
PIRATTE: Proxy-based Immediate Revocation of ATTribute-based Encryption
在传统企业中，对数据的访问控制通常通过引用监视器来实施。然而，随着越来越多的企业数据被外包，信任第三方存储服务器变得越来越具有挑战性。因此，密码学，特别是基于属性的加密（ABE）因其表现力而越来越受欢迎。ABE的挑战是撤销。为了解决这一挑战，我们提出PIRATTE，一个架构，支持细粒度的访问控制策略和动态组成员。PIRATTE是使用基于属性的加密构建的;然而，我们的架构的关键和新功能是，可以在不向其他用户发布新密钥或重新加密现有密文的情况下删除用户的访问权限。我们通过引入一个代理来实现这一点，该代理参与解密过程并执行撤销约束。该代理是最低信任的，不能解密密文或提供对以前被吊销的用户的访问。我们描述了PIRATTE的结构，并提供了一个安全性分析和性能评估。我们还描述了一个在线社交网络的架构，可以使用PIRATTE，和原型应用PIRATTE在Facebook上。
2012-08-23 cs.CR cs.SI
Attribute-Based Access Control for Smart Cities: A Smart Contract-Driven Framework
在智慧城市中，高效可靠的访问控制对于保护决策和任务执行的各种资源至关重要。现有的集中式访问控制方案存在单点故障、可靠性低、可扩展性差等问题。因此，本文结合区块链智能合约技术和基于属性的访问控制（ABAC）模型，提出了一种面向智慧城市的分布式可靠访问控制框架。该框架由一个用于管理ABAC策略的策略管理契约（PMC）、一个用于管理主体属性（即，访问资源的实体），一个用于管理对象属性的对象属性管理合同（OAMC）（即，资源被访问），以及一个用于执行访问控制的访问控制合同（ACC）。为了证明所提出的框架的可行性，我们构建了一个本地私有以太坊区块链系统来实现四个智能合约，并进行实验来评估货币成本，并将所提出的框架与现有的基于访问控制列表（ACL）的方案进行比较。实验结果表明，尽管该方案在部署阶段比基于ACL的方案消耗更多的资金，但它在系统运行过程中引入了更少的资金成本，特别是对于大规模的智慧城市。
2020-09-07 cs.CR cs.IT math.IT
