On the use of description logics for generating policy decisions and explanations

I present an XACML Policy Framework implementation that makes use of Description Logics and reasoning technologies in the present Ph.D. thesis. Reasoning allows to easily generate policy decisions in complex environments for expressive policies, while satisfying the requirements of reliability and consistency for the framework. Furthermore, logical representations are a valid substratum for tackling advanced complex tasks, as, e.g., providing to the user an explanation of a generated authorization response, with a complete rationale. I describe a method for generating authorization decisions relying on an expressive and advanced logical description of the normative state and context, while allowing to generate a readable explanation of the internal inference procedures that took the security framework to permit or deny an act to the user. Observed scalability problems in performances are tackled in the present work for Policy Decision and the most part of Policy Explanation procedures, with specific solutions for minimizing the number of logical axioms on which to apply reasoning.

Nella presente tesi di dottorato è descritta una architettura conforme allo standard XACML, che utilizza le logiche descrittive e l’inferenza deduttiva per generare decisioni riguardo ai permessi d’accesso ai dati (accesso permesso o negato) a partire da una collezione di policy arbitrariamente grande e potenzialmente più espressiva della gran parte delle analoghe raccolte di norme gestite dalle architetture oggi a disposizione, con la possibilità di restituire all’utente una spiegazione leggibile dei motivi che hanno portato a garantire o negare una specifica autorizzazione. L’inferenza deduttiva permette di generare in maniera diretta i teoremi che esprimono i permessi positivi o negativi per le richieste d’accesso degli utenti alle risorse, mantenendo inalterati i requisiti di affidabilità e consistenza della architettura rispetto ad altri approcci. Nel presente lavoro è descritto come si possono generare le autorizzazioni basandosi su un espressivo ed avanzato ritratto dello stato normativo e del contesto di un determinato dominio. I problemi di scalabilità ottenuti in fase di test sono stati affrontati per il processo di generazione dei permessi e per gran parte delle funzionalità di generazione delle spiegazioni con l’uso di specifiche soluzioni per la minimalizzazione del numero di assiomi logici di partenza da cui dedurre i teoremi che esprimono i permessi di accesso.