A main challenge of attribute-based access control (ABAC) is the handling of missing information. Several studies have shown that the way standard ABAC mechanisms, e.g. based on XACML, handle missing information is flawed, making ABAC policies vulnerable to attribute-hiding attacks. Recent work has addressed the problem of missing information in ABAC by introducing the notion of extended evaluation, where the evaluation of a query considers all queries that can be obtained by extending the initial query. This method counters attribute-hiding attacks, but a naïve implementation is intractable, as it requires an evaluation of the whole query space. In this paper, we present a framework for the extended evaluation of ABAC policies. The framework relies on Binary Decision Diagram (BDDs) data structures for the efficient computation of the extended evaluation of ABAC policies. We also introduce the notion of query constraints and attribute value power to avoid evaluating queries that do not represent a valid state of the system and to identify which attribute values should be considered in the computation of the extended evaluation, respectively. We illustrate our framework using three real-world policies, which would be intractable with the original method but which are analyzed in seconds using our framework.

中文翻译：

---

ABAC 政策扩展评估框架

基于属性的访问控制 (ABAC) 的一个主要挑战是处理丢失的信息。多项研究表明，标准 ABAC 机制（例如基于 XACML）处理缺失信息的方式存在缺陷，使得 ABAC 策略容易受到属性隐藏攻击。最近的工作通过引入扩展评估的概念解决了 ABAC 中信息缺失的问题，其中对查询的评估考虑了可以通过扩展初始查询获得的所有查询。这种方法可以对抗属性隐藏攻击，但是一个简单的实现是难以处理的，因为它需要对整个查询空间进行评估。在本文中，我们提出了一个扩展评估 ABAC 政策的框架。该框架依赖于二元决策图 (BDD) 数据结构来有效计算 ABAC 策略的扩展评估。我们还引入了查询约束和属性值能力的概念，以避免评估不代表系统有效状态的查询，并分别确定在扩展评估的计算中应考虑哪些属性值。我们使用三个现实世界的策略来说明我们的框架，这对于原始方法来说是难以处理的，但是使用我们的框架可以在几秒钟内进行分析。我们还引入了查询约束和属性值能力的概念，以避免评估不代表系统有效状态的查询，并分别确定在扩展评估的计算中应考虑哪些属性值。我们使用三个现实世界的策略来说明我们的框架，这对于原始方法来说是难以处理的，但是使用我们的框架可以在几秒钟内进行分析。我们还引入了查询约束和属性值能力的概念，以避免评估不代表系统有效状态的查询，并分别确定在扩展评估的计算中应考虑哪些属性值。我们使用三个现实世界的策略来说明我们的框架，这对于原始方法来说是难以处理的，但是使用我们的框架可以在几秒钟内进行分析。