Dynamic Access Control in una realtà consortile tramite XACML e smart contract

Questo elaborato nasce da una proposta di Avio Aero con lo scopo di trovare un modo per poter scambiare dati e permettere l’accesso sicuro alle risorse da parte di un consorzio.
Tale progetto è stato inoltre presentato durante l'edizione del 2021 dell'evento “Download Innovation, IT Conference & Festival” organizzato in collaborazione con Sorint.Lab e il Dipartimento di Informatica dell’Università degli Studi di Milano.
La tesi è strutturata in quattro capitoli: nel primo capitolo sono descritti i modelli di controllo dell’accesso, fornendo una panoramica delle tecniche esistenti come: AM, PAM, IAM e trattando nel dettaglio i protocolli XACML e XSLT; nel secondo capitolo sono presentati i diversi modelli di cloud con un riferimento alla sua evoluzione, concetti di zero trust, l’utilizzo delle API e dei token applicativi; all’interno del terzo capitolo si affrontano le tematiche legate alla blockchain come gli smart contract, token fungibili e non; nel quarto ed ultimo capitolo, a fronte dei protocolli e metodi illustrati nei precedenti paragrafi si propone il proof of concept di accesso dinamico dei dati consortile con data masking selettivo e logging collector basato su blockchain.
I tradizionali meccanismi di controllo degli accessi sono inefficaci quando applicati a coalizioni temporanee, in cui l'accesso non può basarsi solamente su ruoli organizzativi statici, ma deve considerare lo stato di collaborazione nell’attuale fase del processo.
Ne consegue che questo scenario di coopetition, in cui è necessario cooperare con i competitor, a fronte di un progetto comune, ha richiesto l’adozione di alcune soluzioni ad hoc come l’utilizzo del cloud di terze parti, per realizzare l’infrastruttura.
L'applicazione delle politiche deve andare oltre i classici modelli di controllo dell’accesso rendendo necessaria la creazione di un sistema dinamico degli accessi; tale da permettere alle regole di essere adattabili allo stato evolutivo del progetto e verificabili all'interno di audit specifici o di monitoraggio delle attività.
Le policy dinamiche portano ad una non linearità della valutazione delle regole, quindi un soggetto che presenta la medesima richiesta, in due fasi diverse del progetto, può ottenere due risposte diverse.
Uno degli obiettivi è stato quello di realizzare un proof of concept nel quale la sicurezza ricopre un ruolo primario e che risulti scalabile, di facile implementazione e accessibile grazie all’uso di software open source rispetto ai licenziati.
Durante la fase di analisi sono state prese in considerazione le varie sfide presenti in un ambiente consortile, tra cui, la non omogeneità tecnologica, la dinamicità, la riservatezza delle informazioni e la concorrenza che ci può essere tra i partner.
Una delle peculiarità della architettura è l’uso di uno smart contract che, in base alle sue specifiche, esegue degli aggiornamenti sul policy repository rendendolo una fonte dinamica per i cambiamenti delle politiche d’accesso.
La programmazione dello smart contract viene derivata da un diagramma di Gantt che, scandendo le varie fasi del progetto, permette di costruire una sequenza di cambiamenti nei diritti di utilizzo delle risorse per tutto il corso del progetto, garantendo il privilegio minimo in ogni momento.
Oltre all’automazione, l’uso di smart contract, introduce un altro vantaggio, permette di avvicinare le logiche di business alla progettazione e realizzazione delle regole d’accesso, di conseguenza, la riduzione delle tempistiche di realizzazione grazie alla migliore accessibilità da parte del management.
Nei confronti di questa tematica durante il lavoro è stata effettuata una analisi dello stato dell’arte considerando le pubblicazioni, le implementazioni e proposte esistenti rispetto all’utilizzo di XACML nei sistemi Business Process Model and Notation (BPMN).
La possibilità di utilizzare gli smart contract come fonte di policy è attuabile grazie all’elasticità dello standard XACML e del suo utilizzo come Attribute Based Access Control (ABAC) che ha inoltre reso possibile l’integrazione un sistema di data masking.
Il Data Masking è realizzato per i file XML che tramite un filtro XSLT, si censurano dinamicamente i contenuti in base al livello di accesso del richiedente, eliminando la necessità di creare diverse copie in base ai diversi livelli di autorizzazione esistenti.
In affiancamento a questi sistemi è stato integrato il sistema di log collector basato su blockchain, realizzato durante il progetto di tesi triennale; tale sistema permette di recuperare i log dalle macchine, firmarli digitalmente, ridurne le dimensioni tramite sistemi lossless di compressione e soddisfare i requisiti richiesti dal GDPR in merito al tracciamento del traffico e di auditing.