Öznitelik Temelli Erişim Kontrol (abac) Modelinin Nesnelerin İnternetine Uygunluğunun Araştırılması ve Gerekli Genişletmelerin Yapılması

Abstract

Nesnelerin İnterneti (IoT), çok sayıda cihazın birbirleriyle iletişim kurduğu, birbirine bağlı bir ortamdır ve bu durum mahremiyet ve güvenlik sorunları oluşturmaktadır. Kullanıcıların IoT teknolojisini günlük yaşamlarında tam olarak benimsemeleri için bu ekosisteminin temel ağ, sistem ve güvenlik gereksinimlerini karşılaması kritik öneme sahiptir. IoT uygulamaları, sensörler, kullanıcılar ve diğer bağlı cihazlar gibi çeşitli kaynaklardan hassas bilgiler toplayabilir. IoT cihazları giderek günlük rutinlerimize entegre oldukça, güçlü kimlik doğrulama ve erişim kontrol mekanizmalarının yokluğu önemli güvenlik ve mahremiyet endişelerini beraberinde getirir. Zayıf kimlik bilgileri, yetersiz kimlik doğrulama protokolleri ve yetersiz mahremiyet koruma IoT sistemleri içindeki başlıca zafiyetlerdir. Bu sorunların ele alınması, kullanıcı ve sistem güvenliğini artırmak ve IoT teknolojilerinin daha geniş bir şekilde benimsenmesini sağlamak açısından önemlidir. Bu tez, IoT güvenliği bağlamında kullanıcı kimlik doğrulama, erişim kontrolü ve mahremiyet gibi kritik konuları, özellikle akıllı ev ortamlarına odaklanarak incelemektedir. Yetkisiz erişimi önlemek ve kişisel verilerin mahremiyetini sağlamak için detaylı ve dinamik bir erişim kontrolü esastır. Bu bağlamda, Öznitelik Tabanlı Erişim Kontrolü(ABAC) modeli uygun bir yaklaşım olarak ortaya çıkmaktadır. Bu tez, ABAC modelini üç aşamada genişletmektedir. İlk aşamada, genişletilmiş ABAC modeli, kullanıcı kimlik doğrulama sırasında elde edilen biyometrik eşleşme puanına (AMS) dayalı olarak kimlik doğrulama güvence seviyesini belirlemek için yenilikçi bir yöntem sunmaktadır. Bu puan, önceden tanımlanmış eşiklerle karşılaştırılarak, kullanıcının rolü ve kimlik doğrulama güvence seviyesi temelinde ince ayar yapılmış erişim kontrol kararları alınmasına olanak tanır. İkinci aşamada, ABAC modeli Kimlik Doğrulama Yeteneğine Sahip ABAC modeli olarak genişletilmiştir(AeABAC). Erişim kararı verme sürecini geliştirmek için performans ölçütleri modele entegre edilmektedir. Yanlış Eşleşme Oranı (FMR) hesaplanarak ve Erişim Karar Belirsizliği Skoru (ADUS) tanımlanarak, AeABAC modeli, geniş biyometrik kimlik doğrulama cihazları ve algoritmaları yelpazesi arasında etkili normalizasyon sağlamaktadır. Cihaz işlevselliği, kritik, önemli ve temel kritiklik seviyelerine göre kategorize edilerek buna göre erişim kararları alınır. Bu yaklaşım, özellikle biyometrik kimlik doğrulamanın yaygın olduğu akıllı evlerde, IoT ortamlarında erişimi kontrol etmek için daha esnek ve ölçeklenebilir bir yöntem sunmaktadır. İlk iki aşama, akıllı ev ekosistemlerinde sistemden kullanıcıya güven oluşturmaya odaklanmaktadır. Üçüncü ve son aşamada, kullanıcının mahremiyetinin korunmasına yönelik sorunlara etkili çözümler üretilmesine odaklanılmıştır. Kimlik doğrulama ve yetkilendirme süreçleri, sistem güvenliğini sağlamaktadır (sistemden kullanıcıya güven); ancak bu aşamadan sonra, sistemlerin istenen işlevi yerine getirebilmesi için kullanıcıların hassas verilerine ihtiyaç duyulmaktadır. Bu noktada kullanıcılar, mahremiyetlerinin korunmasına öncelik vermek isterler (kullanıcıdan sisteme güven). Bu tezde, kullanıcıların veri mahremiyetine olan güvenlerini artırmak amacıyla, AeABAC modeline Risk Tabanlı mahremiyet Yaklaşımı entegre edilerek RBP-AeABAC modeli önerilmiştir. Önerilen yaklaşım, akıllı ev ortamında mahremiyet profillerini tanımlayarak veri ifşa olasılığını ve potansiyel zararları (ifşa etkisi) değerlendiren bir mahremiyet riski analizi sunmaktadır. Bu sayede, veri toplama ve ifşa süreçlerinde şeffaf ve güvenilir bir koruma sağlanarak kullanıcı mahremiyetini güvence altına alınmaktadır. Model, kullanıcı mahremiyetini gözeterek veri ifşasının olasılığı ve etkisini değerlendirip, kullanıcıların bilinçli kararlar alabilmesine olanak tanır. Kullanıcı tanımlı mahremiyet profilleriyle özelleştirilen bu yaklaşım, bireysel mahremiyet ihtiyaçlarına yönelik korumalar sunmaktadır. Modelin uygulanabilirliği çeşitli kullanım senaryolarıyla gösterilmiştir. Bu tez kapsamında genişletilen ABAC modeli sadece akıllı evlerdeki IoT cihazlarının güvenliğini güçlendirmekle kalmayıp, aynı zamanda mahremiyet risklerini yönetmek için kapsamlı bir çerçeve oluşturmaktadır. Biyometrik kimlik doğrulama, performans metriklerine dayalı erişim kontrolü ve mahremiyet risk değerlendirmelerini birleştirerek, bu tez, IoT ortamlarında kullanıcılar ve sistem arasındaki iki yönlü güveni artıran yenilikçi bir çözüm sunmaktadır. Gelecek araştırmalar, modelin ölçeklenebilirliğini ve daha büyük IoT ekosistemlerindeki uygulanabilirliğini inceleyecektir.

The Internet of Things (IoT) is an interconnected environment where numerous devices communicate with each other, which poses privacy and security challenges. For users to fully adopt IoT technology in their daily lives, it is crucial that this ecosystem meets fundamental network, system, and security requirements. IoT applications can collect sensitive information from a variety of sources, including sensors, users, and other connected devices. As IoT devices increasingly integrate into our daily routines, the absence of strong authentication and access control mechanisms raises significant security and privacy concerns. Weak credentials and insufficient authentication protocols remain key vulnerabilities within IoT systems, making it crucial to address these issues to enhance user trust and facilitate broader adoption of IoT technologies. This thesis explores critical aspects of user authentication, access control, and privacy within the context of IoT security, focusing particularly on smart home environments. To ensure the privacy of personal data and prevent unauthorized access, detailed and dynamic access control is essential. In this regard, the attribute-based access control (ABAC) model proves to be a suitable approach. This thesis extends Attribute-Based Access Control (AeABAC) model in three stages. In the first stage, the model introduces an innovative method for determining the authentication assurance level based on the biometric match score (AMS) obtained during user authentication. This score is compared to predefined thresholds, allowing for fine-grained access control decisions based on the user's role and authentication assurance level. In the second stage, performance metrics are integrated into the ABAC model to enhance decision-making. By calculating the False Match Rate (FMR) and defining an Access Decision Uncertainty Score (ADUS), the AeABAC model enables effective normalization across a wide range of biometric authentication devices and algorithms. It categorizes device functionality by criticality level and makes access decisions accordingly. This approach demonstrates a more flexible and scalable method for controlling access in IoT environments, particularly in smart homes where biometric authentication is common. The first two stages focus on establishing system-to-user trust in smart home ecosystems. In the third and final phase, the focus is on developing effective solutions to issues related to the protection of user privacy. Authentication and authorization processes ensure system security (system-to-user trust); however, after this stage, systems require users' sensitive data to perform the desired functions. At this point, users want to prioritize the protection of their privacy (user-to-system trust). In this thesis, to enhance users' trust in data privacy, a Risk-Based Privacy Approach is integrated into the AeABAC model, resulting in the proposed RBP-AeABAC model. This approach offers a privacy risk analysis that assesses the likelihood of data disclosure and potential harms (disclosure impact) by defining privacy profiles in the smart home environment. This way, transparent and reliable protection is provided in data collection and disclosure processes, ensuring user privacy. The model allows for an evaluation of the likelihood and impact of data disclosure while considering user privacy, enabling users to make informed decisions. This user-defined privacy profile approach offers protections tailored to individual privacy needs. The model's applicability is demonstrated through various use-case scenarios. The proposed extensions of the ABAC model in this thesis not only enhance the security of IoT devices in smart homes but also offer a comprehensive framework for managing privacy risks. By integrating biometric authentication, performance metric-based access control, and privacy risk assessments, this thesis presents an innovative solution that fosters bidirectional trust between users and systems in IoT environments. Future research will investigate the model's scalability and its applicability in larger IoT ecosystems.