Formale Spezifikation, Verifikation und Umsetzung von rollenbasierten Sicherheitsrichtlinien

Die zunehmende elektronische Speicherung von sensiblen Daten und die Abbildung von Geschäftsprozessen auf IT-Systeme machen in vielen Organisationen ein systematisches Berechtigungsmanagement erforderlich. Um einen angemessenen Schutz von sensiblen Daten zu gewährleisten，sind organisationsweit verbindliche Sicherheitsrichtlinien für die Zugriffskontrolle festzulegen.所有韦尔登人都将这一规则写入了大组织，这样就可以使这一规则保持一致，并将其付诸实施。在ForRBAC中，需要对一个系统进行韦尔登，并对它进行安全特性、分析和韦尔登。Schwerpunktmäßig wird die rollenbasierte Zugriffskontrolle betrachtet，weil diese in vielen Organisationen weit verbreitet ist.在第一个阶段，系统将以一个时间系统为基础，也将以动态的安全性为基础，以z.B.在工作流的背景下。时间论将在伊莎贝尔的定理中得到证实。因此，我们必须认识到机械安全性是韦尔登的。但在实践中，这种制度也可以韦尔登，它将是一种为安全而进行的尝试，并将在时间上消亡。在第二阶段，将进行一个基于滚动的Autorisierungskomponente正式指定，并将进行一个Implementierung dieser Komponente zumindest的正式验证。

Die zunehmende elektronische Speicherung von sensiblen Daten und die Abbildung von Geschäftsprozessen auf IT-Systeme machen in vielen Organisationen ein systematisches Berechtigungsmanagement erforderlich. Um einen angemessenen Schutz von sensiblen Daten zu gewährleisten, sind organisationsweit verbindliche Sicherheitsrichtlinien für die Zugriffskontrolle festzulegen. Allerdings werden diese Richtlinien gerade in größeren Organisationen schnell unübersichtlich, so dass es zu Inkonsistenzen und unerlaubten Zugriffen kommen kann. In ForRBAC soll ein System entwickelt werden, mit dem Sicherheitsrichtlinien spezifiziert, analysiert und umgesetzt werden können. Schwerpunktmäßig wird die rollenbasierte Zugriffskontrolle betrachtet, weil diese in vielen Organisationen weit verbreitet ist. In der ersten Phase wird das System auf Basis einer Temporallogik entwickelt, um auch dynamische Sicherheitsrichtlinien behandeln zu können, die z.B. im Kontext von Workflows auftreten. Die Temporallogik wird dann in den Theorembeweiser Isabelle eingebettet. Hierdurch können Beweise über die Sicherheitsrichtlinien maschinell geführt werden. Damit das System auch in der Praxis genutzt werden kann, wird eine Eingabesprache für Sicherheitsverantwortliche entwickelt, die in die Temporallogik übersetzt wird. In der zweiten Phase wird eine rollenbasierte Autorisierungskomponente formal spezifiziert, und es wird eine Implementierung dieser Komponente zumindest teilweise formal verifiziert.