適応型認証におけるGuard付きCriterion Trajectory

現在の認証判断と将来の認証基準更新の分離

抄録

適応型認証は、端末、ネットワーク、場所、役割、行動などの正当な変化へ対応しなければならない。認証基準が一切変化しなければ硬直的になる一方、観測された挙動を独立した制御なしに取り込む認証基準は、追加の攻撃面を生む。すなわち、不正な挙動が段階的に新しい通常状態として吸収される可能性がある。本稿は、認証基準の変化を自動的なプロファイル更新としてではなく、Guard付きCriterion Trajectoryとして扱うGyroAuth拡張を提案する。本モデルは、現在の認証判断と、将来の認証に用いる基準を変更する判断とを分離する。Criterion Update Candidateは、現在のCriterion、Observed Access Trajectory、Context、Evidence、Historyから生成されるが、Guardを経て、Criterion Update ResponseとしてACCEPT、DEFER、FREEZE、REVIEW、ROLLBACKのいずれかが選択された後にのみ有効化される。本稿では、Subject EvaluationとCriterion Integrity Evaluationを分離し、有限なCriterion Update State Machineを定義し、Candidateの直接採用モデルとGuard付き採用モデルを比較する決定論的PoCを実装した。正当な新規端末シナリオでは、Guard付きモデルはChallenge確認まで更新を保留し、その後、限定的な更新を採用した。段階的な許容領域拡張Poisoningでは、直接更新モデルが攻撃参照値を許容するまで拡張した一方、Guard付きモデルは許容前に更新を凍結した。単一Evidence source侵害では、自動採用を阻止した。これらの結果はSyntheticな仮定下で提案構造が実行可能であることを示すが、本番環境の安全性、普遍的な攻撃検知、False Accept率やFalse Reject率を保証するものではない。