Come si evitano i conflitti tra obblighi di sicurezza nei sistemi di accesso?

Le nuove norme NGAC (Next‑Generation Access Control) permettono di creare workflow dove i permessi cambiano in tempo reale. Però, definire obblighi amministrativi per questi cambiamenti è complicato: un piccolo errore può compromettere l’intero stato di autorizzazione. Per risolvere, gli esperti hanno tradotto le politiche NGAC in formule logiche gestite da SMT (Satisfiability Modulo Theories). Il grosso ostacolo è trasformare gli obblighi procedurali, spesso composti da più azioni, in espressioni dichiarative senza creare interferenze. Il team ha quindi analizzato tutti i possibili conflitti tra le azioni di un obbligo e li ha codificati in formule SMT. Usando il solver cvc5, hanno testato il metodo su sistemi reali, dimostrando che è possibile verificare correttamente le richieste di accesso dinamiche. In pratica, il risultato è un modo più sicuro e automatico per controllare che le regole di sicurezza non si auto‑annullino, riducendo il rischio di vulnerabilità nei sistemi che gestiscono dati sensibili.

Le politiche NGAC sono basate su un modello a tre livelli: utenti, oggetti e attributi, con regole che definiscono chi può fare cosa. Gli obblighi amministrativi (obligation actions) sono operazioni che devono avvenire in risposta a eventi, ad esempio l’assegnazione di un ruolo quando un utente completa una formazione. Tradurre questi obblighi in SMT richiede la formalizzazione di predicati che rappresentano lo stato corrente (ad esempio, "utente X possiede attributo Y") e le transizioni indotte dalle azioni ("assegna ruolo Z"). Il conflitto nasce quando due azioni all’interno dello stesso obbligo modificano lo stesso attributo in modi incompatibili, creando una situazione di non‑determinismo. Per rilevare tali interferenze, è stato costruito un grafo di dipendenza tra azioni, identificando cicli e dipendenze contraddittorie. Ogni conflitto è poi espresso come una clausola di insoddisfacibilità (unsat core) in cvc5, che segnala al verificatore che l’obbligo non è coerente. L’uso di cvc5 è cruciale perché supporta teorie combinatorie (insiemi, relazioni, aritmetica) necessarie per modellare attributi e permessi. Inoltre, il solver fornisce un modello di controesempio quando una formula è insoddisfacibile, permettendo agli amministratori di individuare esattamente quale combinazione di azioni genera l’incoerenza. Questo approccio consente di automatizzare la verifica di politiche complesse, riducendo il carico manuale e migliorando la robustezza dei sistemi di controllo accessi in ambienti dinamici come cloud, IoT e infrastrutture critiche.