Sayısal imzada kurumsal yetki modeli

Abstract

Kurumsal iş akışında belgeler, oluşturulup işlenmekte, kurum içi veya kurumlar arası süreçlerde kullanılmakta ve arşivlenmektedirler. Kurumsal yapı, farklı yetki seviyelerine sahip birimlerin, iş akışında tanımlı fonksiyonlarını yerine getirmeleri üzerine bina edilmiştir. Yetki denetim sistemleri, kurumdaki kullanıcının, sadece ait olduğu fonksiyonel gruba tanımlanan izinler doğrultusunda işlem yapabilmesine olanak tanımalıdır. Kurumsal iş akışı ve bilgi sistemlerinde, yetki denetimi için, literatürde birçok mekanizma ve yöntem yer almaktadır. Yetki denetim mekanizmalarının, iş akışı süreci kapsamında uygulanmasında eksikliklerinin olduğu gözlenmektedir. Temel oturum açma mekanizması, tek başına uygulandığında sistem genelinde yetki izni sağlarken; bir başka yetki denetim yöntemi olan erişim denetim listeleri, yetkiler için kısıtlı sınırlama ve tanımlama olanağı sağlayabilmektedir. Rol tabanlı yetki denetimleri ise kurumsal iş akışında yönergeleri karşılayamamaktadır. Kurum içi iş akışında uygulanan yetki denetimi, kurumlar arası yazışmalar gibi kurum yapısı dışına çıkan süreçlerde de yetersiz kalmaktadır. Bu çalışmada, katmanlı bir yetki modeli önerilerek yetki denetim mekanizmaları için karşılaştırmalı ve bütünsel bir analiz yapısı sunulmaktadır. Önerilen model, yetki denetim mekanizmalarının özniteliklerini ortaya koyarak, yöntemler için yetenekleri ve katkılarına göre analiz ve sonuç çıkarımı imkânı sağlamaktadır. Model, kurumsal yetki uygulamalarında kapsamın belirlenmesi ve gereksinimler dâhilinde eksikliklerin çıkarılması ve çözümlenmesi için bir rehber olabilecektir. Bu çalışmada, yetki denetiminin analizi, Petri ağları yöntemi ile ortaya konulmuştur. Kurumsal yetki denetimindeki eksiklikler için sayısal imza üzerinde bir vaka çalışması yapılmış ve yetki denetiminin kurumsal yönergeleri de kapsayacak şekilde genişletilerek imzanın yetki denetimi işleviyle donatıldığı bir çözüm modeli de önerilmiştir. Bu çözüm, eşleme tabanlı kriptografi ile gerçeklenmiş ve yapılan analizler çalışmaya dâhil edilmiştir.

In the institutional workflow, documents are created, processed in internal or external operations and archived. Institutional structure is based on different business units those achieve their various functionalities defined in the workflow. The authorization systems must enable institutional user, perform operations by only the permissions which were defined for the functional unit he belongs. There are various methods proposed in literature to provide authorization control in workflows and information systems. The authorization implementations have deficiencies based on procedural scope. Basic login mechanisms grant system-wide access; the provided margins are broad. Access control lists provide limited definition on restrictions. Role based authorizations do not cover regulations in institutions where regulations in institutional workflow. The authorization mechanisms implemented for the workflow may cover internal correspondences but there exists deficits in external operations. The proposed multi-layer authorization model depicts the attributes of authorization mechanisms and analyzes the methods according to their authorization capabilities and contributions to the reliability of documents in workflow. The layered structure provides comparative and integrated analysis of the authorization mechanisms. The incremental authorization structure would be a guide for implementations that each layer presents scope of authorization by providing analysis on deficiencies and the methods of solution. The analysis of authorization mechanisms are introduced with Petri net analysis. Furthermore, a case study on digital signature for the deficiencies of authorization on institutional workflow is presented and an institutional authorization mechanism on documents is also proposed. The proposed mechanism suggests and implements an authorization mechanism to enclose authorization restrictions in institutional regulations. The mechanism is implemented using pairing based cryptography and the analyses are provided.