Contrôle d'accès fondé sur les treillis
Dans le domaine de la sécurité numérique, le contrôle d'accès fondé sur les treillis (en anglais lattice-based access control, ou LBAC) est un modèle complexe de contrôle d'accès logique aux ressources qui sont placées sous son contrôle qui s'appuie sur la représentation des interactions entre toutes les combinaisons d'objets (ressources numériques, applications et ordinateurs) et les acteurs (personnes, groupes ou organizations).
Principes et modèles d'application
Principes
L'objectif du contrôle d'accès fondé sur les treillis est de permettre la mise en place de polices de sécurité du type Contrôle d'accès obligatoire. Il s'appuie sur un Treillis (ensemble ordonné), au sens mathématique pour attribuer aux ressources un niveau de sécurité et aux acteurs un niveau de sécurité auquel ils ont accès. Dans le modèle le plus simple, l'accès à une ressource n'est autorisé que si le niveau de sécurité attribué à celle-ci est inférieur ou égal au niveau d'autorisation attribué à l'acteur qui demande l'accès.
Modèle trivial d'application
Ceci décrit de manière mathématique les modèles de sécurité obligatoires « triviaux » qui sont utilisés dans la vie de tous les jours dans lesquels on attribue des étiquettes aux documents (par exemple : « secret », « confidentiel », « interne », « externe », « public »).
Techniques de base pour des applications plus avancées
Le partitionnement des ressources et des acteurs en sous-ensembles définis en regard des contraintes induites dans les processus métiers (par exemple : « un gestionnaire de stock n'a pas accès aux prévisions commerciales » et un « commercial n'a pas accès aux données de la gestion des stocks ») et l'usage de prédicats spécifiques aux actions sur les ressources que la demande d'accès va autoriser, permet d'utiliser de façon coordonnée un ensemble de treillis afin de mettre en œuvre une politique de sécurité qui peut tracer de manière efficace une majorité de flux d'information.
Sources
- (en) Duc-Hieu Nguyen (Academy of Cryptography Techniques), Hanoi, Vietnam, Van-Vinh Le, Thi-Hanh Nguyen et Duc-Hanh Dang, « A Method to Ensure Compliance with Attribute and Role Based Access Control Policy for Executing BPMN Models. », 2021 International Conference on System Science and Engineering (ICSSE), Ho Chi Minh City, IEEE, (ISBN 978-1-6654-4848-2, ISSN 2325-0925, lire en ligne [PDF]).
- (en) Ravi S. Sandhu, « Lattice-based access control models », Computer, New York City, IEEE, vol. 26, no 11, , p. 9–19 (DOI 10.1109/2.241422, lire en ligne [PDF]).
Notes et références