역할 기반 접근 제어

3. 다른 모델과의 관계

RBAC는 임의적 접근 제어(DAC)나 강제적 접근 제어(MAC)를 구현할 수 있는 유연한 접근 제어 기술이다.^[6][7] 그룹을 사용하는 DAC는 RBAC를 에뮬레이션할 수 있으며,^[8] 역할 그래프가 부분 순서 집합이 아닌 트리로 제한되는 경우, MAC은 RBAC를 시뮬레이션할 수 있다.^[9]

RBAC가 개발되기 이전에는 벨-라파둘라 (BLP) 모델이 MAC과 동일하게 여겨졌고, 파일 시스템 권한은 DAC와 동일하게 여겨졌다. 즉, 모델이 BLP가 아니면 DAC 모델로, 그 반대의 경우도 마찬가지로 간주되었다. 그러나 1990년대 후반 연구를 통해 RBAC는 어느 범주에도 속하지 않는다는 것이 밝혀졌다.^[10][11]

컨텍스트 기반 접근 제어(CBAC)와 달리, RBAC는 메시지 컨텍스트(예: 연결의 소스)를 고려하지 않는다. RBAC는 대규모 엔터프라이즈 시스템에서 역할에 따른 접근 제어가 세분화되어야 할 때 발생하는 문제인 역할 폭발^[12]을 초래한다는 비판을 받기도 한다.

RBAC 외에도, 다음과 같은 접근 제어 모델들이 존재한다.

• 엔터티-관계 기반 접근 제어(ERBAC): 데이터 인스턴스와 실행 주체의 연관성을 고려하여 접근을 제어한다.^[15]
• 속성 기반 접근 제어(ABAC): 사용자, 자원, 행동, 상황 등의 속성을 고려하여 정책 기반으로 접근을 제어한다.
• 관계 기반 접근 제어(ReBAC): 주체와 자원 간의 관계를 기반으로 세분화된 권한을 허용한다.^[19]

3. 1. 접근 제어 목록(ACL)과의 비교

4. 잠재적 취약점

역할 기반 접근 제어 간섭은 비교적 새로운 보안 문제로, 동적 접근 수준을 가진 여러 사용자 계정이 암호화 키 불안정성을 초래하여 외부 사용자가 이 취약점을 악용해 무단 접근을 허용할 수 있다. 동적 가상화 환경 내의 키 공유 애플리케이션은 이 문제를 해결하는 데 어느 정도 성공을 거두었다.^[24]

5. 활용 및 가용성

역할 기반 접근 제어(RBAC)를 사용하여 단일 시스템 또는 애플리케이션 내에서 사용자 권한(컴퓨터 권한)을 관리하는 것은 널리 사용되는 모범 사례이다. NIST를 위해 리서치 트라이앵글 연구소에서 준비한 2010년 보고서에 따르면, 기업을 위한 RBAC의 경제적 가치를 분석한 결과, 직원 생산성 저하 감소, 보다 효율적인 프로비저닝 및 효율적인 접근 제어 정책 관리를 통해 직원당 혜택이 있을 것으로 추정했다.^[20]

다수의 시스템과 애플리케이션에 걸쳐 다양한 IT 인프라와 요구 사항을 가진 조직에서 충분한 역할을 관리하고 적절한 역할 멤버십을 할당하는 것은 역할과 권한의 계층적 생성이 없이는 매우 복잡해진다.^[21] 최신 시스템은 엔터프라이즈 차원의 배포를 위한 RBAC의 한계를 해결하기 위해 구형 NIST RBAC 모델을 확장한다.^[22] NIST 모델은 INCITS에 의해 ANSI/INCITS 359-2004로 표준으로 채택되었다. NIST 모델의 설계 선택 사항 중 일부에 대한 논의도 발표되었다.^[23]

RBAC는 정책을 유연하게 설정할 수 있는 접근 제어 방법으로, 임의 접근 제어(DAC)^[27] 및 강제 접근 제어(MAC)^[28]를 시뮬레이션할 수 있다.

사용자 권한 관리를 RBAC로 수행하는 것은 베스트 프랙티스로 단일 시스템이나 애플리케이션에서 널리 사용되는 기법이다. 마이크로소프트의 액티브 디렉터리, SELinux, FreeBSD, Solaris, Oracle DBMS, PostgreSQL 8.1, SAP R/3 등에서 RBAC가 어떤 형태로든 구현되어 있다.

이종 혼합형 IT 기반을 가진 큰 조직에서는 롤을 계층화하지 않으면 RBAC를 전체적으로 운영하는 것이 매우 복잡하고 어려워진다. 이러한 대규모 권한 설정에 대한 전략은 [https://www.hitachi-id.com/resources/documents/beyond-roles-a-practical-approach-to-enterprise-user-provisioning Beyond Roles: A Practical Approach to Enterprise User Provisioning]에서 논의되고 있다. RBAC의 기업 전체로의 전개 문제를 해결하기 위해, NIST 모델^[29]을 확장한 새로운 시스템도 있다.

참조

_[1] 논문 Role-Based Access Control http://csrc.nist.gov[...] 1992-10
_[2] 논문 Role-Based Access Control Models http://csrc.nist.gov[...] 1996-08
_[3] 서적 2017 IEEE International Conference on Communications (ICC) https://secplab.ppgi[...] IEEE Press 2017
_[4] 서적 National Computer Security Conference, 1993 (16th) Proceedings: Information Systems Security: User Choices DIANE Publishing 1995
_[5] 서적 Spatial Data on the Web: Modeling and Management https://books.google[...] Springer
_[6] 논문 How to do discretionary access control using roles 1998-10
_[7] 논문 Configuring role-based access control to enforce mandatory and discretionary access control policies
_[8] 논문 A Verification Approach for Applied System Security http://www.brucker.c[...]
_[9] 서적 Proceedings of the third ACM workshop on Role-based access control http://csrc.nist.gov[...]
_[10] 웹사이트 Role Based Access Control – FAQs http://csrc.nist.gov[...] Computer Security Research Center 2016-11-21
_[11] 논문 Role-Based Access Controls http://csrc.nist.gov[...] 1992-10-13
_[12] 논문 Role Explosion: Acknowledging the Problem http://knight.segfau[...]
_[13] 웹사이트 ERBAC – Enterprise Role-Based Access Control (computing) – AcronymFinder http://www.acronymfi[...]
_[14] 웹사이트 Dr. Bhavani Thuraisingham and Srinivasan Iyer (PPT) http://www.utdallas.[...]
_[15] 웹사이트 tapestry-security-jpa http://www.tynamo.or[...]
_[16] 서적 Proceedings of the second ACM workshop on Role-based access control - RBAC '97 http://csrc.nist.gov[...]
_[17] 서적 Proceedings of the 11th ACM conference on Computer and communications security http://portal.acm.or[...]
_[18] 간행물 Comparing simple role based access control models and access control lists http://citeseerx.ist[...] 1997
_[19] 논문 Access control requirements for web 2.0 security and privacy https://www.research[...] 2007
_[20] 서적 Economic Analysis of Role-Based Access Control http://csrc.nist.gov[...] Research Triangle Institute 2002-03
_[21] 웹사이트 Beyond Roles: A Practical Approach to Enterprise IAM http://www.idsynch.c[...]
_[22] 서적 Proceedings of the fifth ACM workshop on Role-based access control 2000-07
_[23] 논문 RBAC Standard Rationale: comments on a Critique of the ANSI Standard on Role-Based Access Control http://csrc.nist.gov[...] 2007-11
_[24] 논문 Fault-tolerant adaptive mobile agent system using dynamic role based access control 2011
_[25] 콘퍼런스 Role Based Access Control http://csrc.nist.gov[...] 1992-10
_[26] 논문 Role-Based Access Control Models http://csrc.nist.gov[...] IEEE Press 1996-08
_[27] 콘퍼런스 How to do discretionary access control using roles 1998-10
_[28] 콘퍼런스 Configuring role-based access control to enforce mandatory and discretionary access control policies
_[29] 콘퍼런스 The NIST Model for Role Based Access Control: Toward a Unified Standard 2000-07
_[30] 콘퍼런스 Role-Based Access Control http://csrc.nist.gov[...] 1992-10
_[31] 저널 http://csrc.nist.gov[...] IEEE Press 1996-08
_[32] 서적 http://csrc.nist.gov[...] Research Triangle Institute 2010-12