An Access Control Model for Simplifying Constraint
Expression
Jonathon E. Tidswell
Trent Jaeger
School of Computer Science & Engineering
University of New South Wales
Sydney, NSW 2052, Australia
IBM T. J. Watson Research Center
30 Saw Mill River Road
Hawthorne, NY 10532, USA
[email protected]
[email protected]
ABSTRACT
!
#"$%!&
')(
*%
+,!-./012!345
6
!7-8+9!
!9;:
!!-8=<?>A@-B?C;D:%E0F
8GH
34)
!
IJ&1GHA&K!
0LM
39N!!!1-
OKN$
0P-8RQTS0F)VUH!M!WX-8
)!)IYZ0&%!GH*-8YGH8!IWX?!-!
0[0F)VUW%I)
A!
QT\M
3*U3:X%GHA1!)*!-0F)VU
]*GH
3EM
0F-8Z!
!!GH!8,GH8)%^KN-1
(
A!
)_9!
`%
a40P$3HGH9!)_20PVU9%
8GH!
!AJTa99N)*U3QLbc99N'4
)"d99X?
O)_9)%
5)
A!
a'Z0P!!-"$!
Y99N)!e
fAg-h i)/
M9N%!)U%Z)_9)-8!
+Y9!-
GH8&%
"$!?cH
849)
,) f Q Q!:&0$KjV):
KjV):E?Q h 86/-849)
3K!
JU`%!
!9
=4)
8 flkh )
A!
J4)_9-85!
H0P)"4:
!GH9%O)9N)JH
i9i
8Q#bm!!=*/!/9N!K!
#)_
8n5G2
3!H0I5K%`9oGH8$%
pW3(
?L"qU:r
8`"M99N,GH"10P
8`)0Ps:[,K!
)*=!HJ5#"$%8`W!)VUo0J0P)tUu9N!%)%)=-
dKN`)_(
9-8o"$*o%GH9!:1K%
Up
A!
3Qmb=8GH
AJ
!,GH8M%
`WX)1)_GH9!4
!
`0FGvJ0P)tUn)_(
9!
/0F&G!!!WX))*VUZGH8)%E')9J!
H0N8tU3Q
w 19NI!M1!1GH8-
OKN'Ka0P$8?
!
,)**(
J0P)tU/-]3*GH
3L0F1GH8!&&-WX$GH1x)_!K!!*VU
$8*%
^G*%!W[GH8!Q
1.
oINTRODUCTION
!GH9N
30F-Y0
u2
3$GH8q!/
K!!*VUyoW)*0FUmp<?>A@-B?C;D#0/*Y)
!
f sQ Q!:4
9N!%)%),)_9-8#!
=H),)
3GH8) h QHz
(
!
d!H{8pcKNc<?>A@-B*04
#!3H-
dKNY!-.X-8p
n
!7-869!
)%9a| g-kJ} Q w KW!*U3:r/WX?!-!
&
!
%EJ0Pq!
)UZI
q
3U.!
8Z0
G2
8UY)'
fl~ \ h 9N%!)U3:[?+IG,*!%)WX
 !T"M.,"1M8
q"$!!%M&"qM
2
H!
3)
%9
J$'€V ~  Q‚QbnJ
Yƒ-J?+\M)
?-Q
Permission to make digital or hard copies of all or part of this work for
personal or classroom use is granted without fee provided that copies are
not made or distributed for profit or commercial advantage and that copies
bear this notice and the full citation on the first page. To copy otherwise, to
republish, to post on servers or to redistribute to lists, requires prior specific
permission and/or a fee.
CCS ’00 Athens, Greece
Copyright 2000 ACM 0-89791-88-6/97/05 .. 5.00
„
*VU2$)9J!
=0E8VU3QL…I
0F
)!U3:J0P)tUO-
KNIW)*-8/0P
5K!JU2
!
=0LZ
?R)
rGH8 f Q Q!:N†rGH9
r‡ q9)!
=G2*_6| g-ˆJ}Fh Q
 qJWX))GHE!R9K!GmV"199r-WXEKN)
'.X
Re
fAgJh A!)&$T
3GH8)s:J&0P?VU,-
HKN
9JWX)
5!
O
)[0PqGH8;: flkh GH
31I)
rGH8"$*=)_9!
:VU9%!*U5!!-8‰Š‹<C;ŒA>P‹C;<:
J8))!KN,0P?VU+-]3*GH
3a0q
3U+
!
R:
oHY0F)VUp0u
J%
d-
uKNYWX?!-8
f ;Q Q!:)
J1
!31!1!-.X-8H
2
!7-8H9!
(
!9 h Q  IA99XY!!GH*1Ix)_%K!%*tU20L4)
GH8;:["$!6*4%
6GH8)%'4)!)499N
*U,)X?(t!
8/9N!!!a| Ž: } GH8!&J$8*H!
HZKN-*I!a8=H)
44A!)!
'
!A-86| ‘ } Q  a)
8O99O’[)M0{Gz0P)M
A!
3q)_9!
=%
$a
)!*UOGH9%?_ f Q Q!:
!%[%
'| g : ˆ-}Fh :Z*M%M8*H*MZ8){8"$)?1
)M0r
A!
3M-!*UH)_9Ma8*-820P?VU/-]3!?(
GH
3q99N)*U3Q
 #%.“0Hi!GH9!:4GH9
!WX#99“o
(
A!
36GH-
++A!)!WXi#
3,GH8!6
8i6
0F5=GHAH!GH9N
!tUn-]3*GH
3
f Q Q!:))U h Q&”$)_GH9%:T!!(t†r•E8%Y| Ž } 8O–'G2!
8  U9NM—
0FGH)
f –  — h |  } -]3*MGH9!)*U'A-8
9!
!9!E'!
/KjV)&
8,KjA))EaVU9N f %KN! h Q
˜!!3/
)!%7!
“| g-™} K!!!GH*!
i0I=A-8
9!
!9;‡ YK!!*VUdi%
šKjV)OVU9NQ›€V
u
);:
4?a0!tU2VU9N
8O!
GH)
$0KjA)q
VU9NE!
1GH8!&!E_-8[:I!01A8,9!
!9!&
*UA8Z)
,M
!
&$0FqKU,8)0;*-Q w Z)4
8[:R8U
GH!ZGH8!:R#I!)(lK-86)
f ƒa1\ h 'tU9!-!*U5-82)_9)Zœ%B><CrŒ?Fž-;œ%BsŸ3B
9N!!!:Mo2\M!
5b!'| } 8iS9J%
o0I–IVU
f S w – h | k¡J} Q  H9N!%)%),0F
c]*JO9!
)%9;‡ $%‡ q!3$
48U
GH!-!!U2K-8O
YGHIKN-W!
/9WX
3$
Y
!7-85)!
f Q Q!:!
!
H)?. h Q
baK)WXIq?'!$,
!
G¢!
5a8)(l’+KN?(
V"M
+Z)_9!WXZ9N-"1)'0M
#)4
3EGH8E
8
&-100F)VU
0PGH
3-QL€t
Z$A!)8ZGH8;:?Z
M!*(t†^•E8%:r
A!
3!GH9%!*I%
+ZGH8)s‡ 48)(
*!
f Q Q!:KjA)&0N
1%KN-
E"q!1I
3UZKjA?
0EO‡ !J"M)-‡*tU5%KN h Q  ))0F:0P?VUO
0F)GH
3q!
!W{;:K19N!%?U5?_9!
5%q!!GH*-8RQ w HI)$
8[:
)
)N9N!!)U/)_9!
2GH8!:3?2Mƒa1\a:3G2.q
(
A!
32)_9!!*O
9O
8o9N?GH!H`8?
*!
o0ZJ(
K*JUo)
A!
Qy€t
o%H:qY)_9!
d04J0P)tU
]*GH
3'49JWX
+=KN/8*H!-QI-"1)WX)-:R"1/JW
)
3*U0P
8HM4WJ%?VU,0rGHGH
H)M
39N%*(
)%)'-
+KN
0P)-86K3UYH0F)"4:[!GH9!Z
A!
3IVU9NZ| ‘ } Q
 ))0F:3"M){!G›T
2&
GH8"$!?/
=!GH9%5
A!
3H-
p9JW%8O!
*-
32)_9)%W
9N-"M)4"$!!/-8!
2,GH9%?_*tU+0q
39N*(
!)U59N*-!
+
8O0P?VU5W!!
rQ
€t
d!Y99N)-:"1699NiKc=
34GH8
"$!?Z
K!^M8)
*%
0A!)-8Z)E
33GH8(
)%$
8H)_
%
1,Z
?[GH8;Q  IK'GH8
(
!AZ0qKjV):EKjV):!7-!
%!
:
8#
(
A!
Q a-"1WX?-:1YKjV)-:qKjV)-:
8u!7-!
){J!
Y)T!W
31
A%
3$J')_98O)_9%!**U3:
c
A!
3H-
oKNY!GH9*Ui8?
8p!
o?GH/0I)H%(
!
!9 f Q Q!:r8!PjV!
34
8`K? h +)Qb4
!
38M!
)*
T$&GH8)s:
84-"EW%!
cVU9%T!)(lK8)
3 f ƒI1\ h G2
!40F
!
)*
2H)0P&0FZ!GH9!*0FU!
=!!
`GH8!Q
”?-:"M#%8
3!0{Um)5GH8!!
i
95=%8m%
.9!
Y29N*!
i0a,
!
/
8
(
A!
H!GH9%Qpbd))H
YKN!!WX/H?p
9
G2Ui!GH9!*0FUoO
3aGH8!%
8p=WX?!-!
0$0F)VU6!GH)"$ZKjA?%W:L="M28?%KN25
GKN)
0)_GH9%I
A!
3a%
^GH8;Q w 9NH!4J4"$!#H
)9:EZ
T)
(
!
"$!H-?Mx?_!K%!*VU
8/8U
GH!!G -
HKNq)-8
"$)4A!0F"18`0F)VU5WX)*!
Y!q0P!K!Q
 i99N?c!6A)-8 60P%!-"$Q €V
›S)!
k :,"M
9
3ZK?.
8c
J0P)tU
0PGH
3,
88!Z
?’[)!WX
/09W%99X?Q€t
uS)!
p‘:&"M=8)(
?%KN,499+2J0P)tU+WX)*-J!
rQI€V
6S)!
+Ž:N"M
8)
ME
3GH8;:!
!8!
$M)
A!
E
8
!
)*
/GH8!:L
8c8GH
A,!'
OWJ!)VU+0q)_(
GH9!Q,€V
cS?%
ˆ :r"MH8!'/
3'AJ40M!
M
3GH8
8,-"u"Ma9{
/88TGH$9N
9K%)GHQL€V
ZS)!
™ :"MM
!8T
8'!!
0P"1.NQ
2.
"$BACKGROUND
˜
%8=WJ%?VUn04%7!
o9N!!!O
8nAUAGH
?_9HY9N!!!=-WX=KN)
u99N-8oW)H=UX-Q
bd!!tU9!-r-!7-J%
#0&9N!!!IKN
`KN)t"1
G2
8Un
8p8!)?%
JUi9N!!!:1"1=9)0F)/#8!A!
(
!mKN)t"1
uA!6
8u8U
GH%5!tUu9N!%)%)Q €V
u
<Cl>C;;‰c<B‰ ŒPC;D#Šœ s‰)D:aKjA))`
8dKjA?`#3%J-8
"$*+
:_8=!tU5tU9N f I%KN h Q KjA)-‡ :[IK(
jV)-‡ :^tU9N!GH9!!',W!01*%7!
c){J!
Q
—E_GH9%)0A!Z*tU=9N%!!a!
!84G!!!WX)r)(
*tU fl~ †^S h 9N%!!:YM)%*(t†^•E8%Y| Ž } :
8O–'G2%
8  U9Nq—
0PGH
3 f –  — h |  } Q  19N!!!TqJ0PqK3U
8)
*%
r:!
5$
U2
'!
Y
5!
GH
3$0L,KjV)
KjV),+=VU9N f ,%KN h -
n
*UKN28
2K3U#Y0P!*U
A-8#9!
!9;Q ~ !A.XZ%
c=
H0$!
GH
34"$!%
KN'-KN40E!10P!rAGH9%
rQ
 9N!%)%):L!`)U=-WXZKN
`GH8)*U`)(
)A0Ps:J`]3*5)A%?%WQm”2)_GH9%:M=K%!*VUi0F
=KjV)$!
5
~ †^S2U2KN
A0F)-82/
)
Up!/!GH9N!K!Y
!/*H!H8
5K3Ui+0F!*UnA-8
9!
!9;Q  :W!a*)
J!WX$HA!*tU=9N%*(
)%)O-WX5KN)
u99N8RQu G2%;:MK!
*-
3-:q)_
(
!
60T2AJ!,)*VU=9N!!)U`!aG28!
Y,S I!)" 9N*(
!)UY| g™} "$)qAT%
O8J"$
8)T. f ;Q Q!:3IK!
6
22VU9N20I
iKjA)) h !/!!GH!8n6+K)/0
IAUAG VU9NQ w Ha
a
8R:%M%!GH*MI9N!K%*(
*VU20E)$KN)-48-"$
8)$-
5KNI9N%%!78=,)!
.NQ w pY)2
8R:MGH=8-"$
8?OG2UiW!%
4J0P)tU5]*GH
310E'AUAGY:/0F)VU5WX)*!
KNGH$
)U3Q
D‹N> ,s‰5<)B‰ ŒPC;DYŠœ s‰)D29N)GH*,5KjV)H
8nK(
jA))aHKNZ!
-8Y/VU9Na
8Y%7!
+%!
'
8)!8R:VU9!-!!U2K3UHIKjA))‡ :$KjA)-‡ :-"$
)$
8GH!
!A-Qp"$%8qW!)tUZ0[8U
GH!19N%!!&-WXMKN
8?
8R:RK-:[%
#
);:RJ49N)GH*'AUAG )I
^,8!A!K!
`0M)I!32*'KjV)4J(
K*J%*U+-
4KN,-8YO
0F/J0P)tU3Q€V
++-):L
?^-
!WX&
3U'0*R%3R19N)
%%*U4
!7-8
?-QEƒa)
38W
)&!
,*tU,GH8!:?E!)(lK-8
)4
f ƒI1\ h | k™} :L99N
K!!
O,8GH%
!A(
^
3XM8!A%K!
Z0!3E8!
a$)!
‡ 8GH%
!A!WX`!3‡!Q €V
A-8o0A!
cm8GH%
!A(
4GH9!)*UY"$*!
+Z9N/0T*8GH!
!A!WX
!3:1`GH8!H!
)%8=Y
9202‰Š‹<C;Œ>P‹C;<
WX)*0{U=J$Z!
GH
30T/9N)GH!!
`a?a2%
f ;Q Q!:N%7!
Y%J%
h !a!;Q
”`8U
GH!#9N!%)%):pW!)tUm0,GHGH
dA!)!
9N
4&9N!K!1W!)^0!7-J!
%!
E-WX&KN
%8
3*8RQ2”L*A-:\M%J.c
86bd%!
d| g } %8
3*86
(
9Y0=<)Bt>Œ>C;sŠ‹›ŠA
@ C;DQ M!-!*U3:49J%
0/8VU
-]3*4Z-9N)!
c%
=93),KNH9N)0FGH-8#KU
O8*’[)
3a9N)
RQ  ?)0P:LH)'G2UY%8Y!3I
)_+!I9N)!
=
yc9J!%5KjA))-:IK2*5G2-U
99*Un
*Ui
=0=9N)!
H9N)HKjV)-Q  ?Y
G2
3UZW%!
M
/9J!
20R8tU3:?/e fAg-h 8U
GH!
9!
Y08tU`| kg)} :%
O"$!Y9N)
=!1A!)-8O0FG
GH!
`V"M6/GHO9!{J%)/!G*
*U flkh
9N?!
L9J%
`0&8VU+| k¡J} :N!
="$!`)G2-UOKN
A!)-820FG¢)_!
,![9N)J%
q!
5Z)$
=
3UH9J(
!%JKjA) L
8 f ‘ h \M!
)"q%| } :r%
6"$!c!
HKjV)&0FGz
$)T9!810FT0[KjA))
0FG 2
x!)!
O)-Q  )!=
A%
34
#):
i,29N)GH!!
i)0$V"16?GAZKN58!PjA!
3-Q
SJ0P)tU=W)*-J%
Y!a
JU=/)
'
40L
9N!!!!aW!%8RQ
S!
I!
R:ƒ77):
8…I!!G2
J"M-84^MJ0P)tU
9K!G "1E
8)%8K!:J-L0F3-8Z
V"M'e
fAgJh 8))GH!
%
/"$))'J0P)tU+%86KN,8){8-8Y0P)
GH8)%&"$*O!!GH*-8R:K&9)!-;:)_9)%Wa9N-"1?
8 flkh 8)
!
+
A!
3H%
/+)_9WX?!K%
0F)VUO-]3*GH)
Q
”L*A-:NHCl> XB FŸŒ>‹C&GH8raH!%
-I%GH4J0P)tU6!(
*GY:Kq?'!qA%!r!
!-
38!’[?
4!
5)_9!WX
9N-"1)KN?V"1)
6.X)(l
34
8 aƒq… | k : ¡ : kk-} Q/S
8oB?C
>œ!!GH!
)OGHA204%O8!’[?
`!
o!2GH8! f S• ~ :
 ~ :I—TS• ~ :a
8š
(lGH
!c—TS• ~`h | kg :‘: kk : kJ} Q
 ?U8GH
A-8+Z
n)Z
3&GH8)T%8cKN
8)%
-8'0F^"$!?0F)VU'%r)H!
3*U48%8K! f sQ Q!:!
49N*U(
GH%!GH h %W
2I0P)"oA!)!
:3"$!?/"M)%!GH-8,
KN'-
K!40PI!GHAa
3UO9N!!)U3Q
…I*!G2)!U3:a89*c9JWX
m)_9)%W#9N-"1?+
8yJ0P)tU
8?)GH!
!
r:M`2
$GH8!H-WX5
2KN
89-8#!
c9)!Q/b/){!G 4)HJV"MY9!G2U
-
Y0FY#%?.m0/9
)e f h cGH8!Y
)ZGH9!)_+=:EKNc8,=/K!)tU#0q?(
A!)!
q
8$GH9!)_,){J!
!95KN)t"1)
OS• ~  ~
VU9NZ
8#9K!!*%)/
8 f K h *,!,8*H*`KNc8)
I0P?VU=]*GH
3q
8O"q*9)!-^!!GHq
0P)a)$]*GH
3Q&S!GH9!U,A!
,
2%
*{N
(
!
`!a8*H*a)
R:KAUA)G 8GH!
%AJGA
!o8)
Y`J0P)tUm)*)%i
8[:qA0;J-:$0P)"4:a9)!-
J0P)tUY!*GHaJW'KN
5%GH9!GH
3-8RQ
S
8R:[)
A!
4-WX,KN)
+9I0MGHA'ƒa1\“GH8(
)%0M)
IU3-H| kˆ : k Ž: gJ¡ : ˆ : ™} :rK'"$*c20P)" )_9(
!
!%!8=KN!-"š)UO-WX4!"1UaKN
59N*-85A(
!
Y!)(lK-8#AUAGHQO…I
0P
J*U+!)(lK-8cAUAGH:
"$!%Z!*U`)_9)%W:NJ,8?a2W!!!7,
8=
A0;J)UO-WX'KN)
Y-WX{8-8=K3UO9)*%
)Q
o
8dS
8“| g)} 99N+#!!GH*-8o!!-a%
!!-8ƒ'S†^ O0PZ)_9!
=9J!
n0$8VU+
A!
3
!
#HƒI1\šGH8;Q'ƒIS†r 2A%!E9W%8)I!
!-
34?_9A(
!WX59N-"1)-:MK,G2!
H]3*5)GH9!)_[Q  =GK%
!
0q]3
3!-!
60F
?%
4
8+GH8!!
O
9'0P
)!
G2.X14
A!
3?_9-8=!
=4%
Z8*H*
W!!%7)Q
U
?G2#
8 w KN
| g  } 8)
+n9%'GH8
0FT!)(s!q%!
!9&"$!H%
!8&'G,K!
-8ZW%?"u0
!a!
)*
I
8/9J%
20r8VU,
A!
3MK-8/
!Q&ƒa)
3!U w KN
O
8 I2| k } )_
8-8ZGH8
!
!8$
A%
3T%
WX!W!
4)Q a-"1WX?M
*)&qK(
!'GH8N
qa)_
8-8HGH8[8%A!
!5KN)V"M
5*(
8
33%!
!9T
8)_9!!**U,)
A)-84%!
!9Q
 ,)5GH8!/8+
/99N9N%!!/"$*p`!A*(
$GH9N
3-Qp”)GH f U
G2`
8 w KN
-8 h `%.u0KjV)5VU9!
c%
mƒa1\˜GH8!OG2.X)
*H8c6GH8&"1.x-" A!
3Qn1-8i
nO–IU(
GH!-%*U  U9N-8/M\M
3GH8r| k } "1$-WX$8GH
(
AJ-8š| ‘ } /!2!H9N%K!Yc
A?29!-$)9(
)
3!
'0PGHA'0M)
A!
3'!
+)
3)_'0
!)(lK8d)5)
3;Q  !299N)O)_
82
8p
)(
!%7)=)#%850F3!
o
y+9!-4)_9!
y0
)
A!
Q
3.  AN ALTERNATIVE SAFETY APPROACH
cKNYK!=#Y
A%
3/#
=0F)VUi"MYGA
8=KN+/*K!Z"1-U52)_9$
A!
3:[
8`
?H!
3E%*G“0PLW!J!
$^WX)*0FU!
q
A%
3Q
bc4G2.X't"1H
)^K)W!
'KN
A%
3aWX)*(
-!
re fAg-h A!
34WX?!-!
c!'!GH9*U+O)!40M)
)GH9J!
I
8=))0FGH9!)_*VU5%GHA*UY89N
(
8
3Z
c5GH
0q%
i
8n]
3*-J!
!
c
)
A!
Z)_9!
flkh /GH9!)_*VU+!
A!
3Z)_(
9!
!'G2!
*U+!
6)_9)%
c01,)'J
KN4)GH9J-8RQ
”L*A-:r!
A!
3L8))!KN-8KNJWX:-"MT*)^"1
3
aWX)*0FU4Lt"1)E
!
,
aGHGH
GHG,KN) f ;Q Q!:XJ
P< -ŠP‹C h rJL
T?E83)L
LKGH
)L? f ;Q Q!:!
< B?Œ<)B?C h QTa
)_GH9%T0&{J)-1!a9!
0$8VU`)
A!
Z!
+"$!?c5)G2U+9N)0PG GH:rK
I!^0E49N)!
I!
`,)A%?-8Y)-Q  *U5)
tU9N'0L){J!
!9=Jq"14-WX0P
8O
)U5!$$0
+-J8!
%*tUi??.NQc€V
iH99p60F)VU3:&
A!
3
?_9!
d!2K!!29N
i`K!`
9Q“S!
Y
(
A!
49N)*0FU+!X f 4!!%)X h J%
4K-8`"$*(
$)0F)
)''W!%8*tU50E)$
A!
3$)'!$
)!
o58U
GH!=9GHGH!
f O-?%
h -
)%!GH!
JO
8#%
/"1O8Y
,9JW%82
3U#"1U#`)_9
?_9!%)!a]3
3!-!
Y*$-
KN4GH!8RQ
S
8R:!0)
A!
IWX)*!
+!IH!GH9!)aGH9*(
 *a9IZ8*)8`)U!!,9$"$!69+
8=
KNGYQ
R:N
Y,)GH9!)_*VU50T)_9)%
5)
A!
aGAIKN
8,2,GH9%?_*tU`0M9N*0FU!
O,)Q  "M=G2-jA
-$0LGH9%?_*tUO8U
GH!I
A%
3 f Q Q!:N\M!
bn! h 8'
A!
3^
)9R%GH9!%)!^!
'GH8 f Q Q!:
KjA))2069!%O9N)GH!!
h Qu€V
i=AH-:q
A!
3q!M0F
29N)!-8O1'% f Q Q!:*0^)1
O)
KjA))
Z:N
+)'-
')4KjA?
h Q'a'8)!KN-8
KNJWX:EWX
#!%GH*-8#%!-1%
,-8#=)_9
!T8!/*4QL€V
q
8/-:X$)X!
0a
9!
o)/
3qGH8!:&p/9N)GH!!
:
"$!#G2.X*4!GH9!)I2)_94)4
E9N!!)U6?(
!!UpG2.XH*2GH`8*H*H?_9H
A!
3Q“”
)_GH9!:!
!)(lK8/)T)
3 f ƒI1\ h GH8!Ta
(
A!
34
c29J%)%'!I=29J%)%KjV)'-]3!)
O8GH9N*%
i09N)GH!!
f i)X50KjA))
86!3 h GH9!!-!
=
A!
3)_9!
rQ2€t
c,9(
9r:[8U
GH!I0q)4
9N!!)U6/9-8
!
/qGH8;:
8*M!&9N!K!$8GH9Na
(
9=?m=9N)GH!!
=!
3n*5K6
9:a"$
)U3QT”$)_GH9%:9N?GH%!
8)
-8O!
O)GHq0
KjA))4
8=!3:NKaZ8GH!
%AJI
*U=
-82
&KjA))
84!r*0?U4&!W
3^GH&
A!
3-Q
bO%6-WX20P
8c,HVU9%1)_9!
i0aGH
8W
8=)I)
3R
9:!
Y9J!%a!
)*
):
!!GH!2OK!%*tUo#)_92
A!
32-!*U3Qy€V
oƒIMa\
GH8)%:L%
)*
2!Y?(tK)%J%
i
cH9N)GH!A(
!
^0!Q I-"1W)-:-"1
8I*L?0Pa8)
E!
?!
%!
2JWX)O!AUAG 9:q!
!8!
#KjA)O
8
A!
3Q  !/G2.X),)_9%!*,53%!
OGH
A
9N)GH!!
:KjV):KjA)):
82
A!
3Q€V
O88*!
R:
"1,-WX40P
8+*4)0P^0P4GHZ9N!!!'O)_9a!%GH*J(
!
,
cH9N)GH!!
88*)!
n0$%
)*
Q=”
)_GH9!:L!
~ †^S#9N!!!
*U6-8
8c?_)/9!W!!
O!
)*-8n93"qJ8:"$!!O"q*59!W%!HJ5!
)*-8
8-"$
3"qJ8Q6bm!! w KN
y| g } -"1-8J ~ †^S9N!!!
-
uKNY)_9-8o!
u68*%
aƒa1\¢GH8;:TY!!GH*(
!
I0!
?!
Z888=!
*-
3')GH9!!-J%
Y/
!!
!9rQ
 I{AG2JjVq"qUO!
5"$%5"M4)GH91,%GH9!!0{UO
(
A!
3q)_9!
O%MKU/!
,49!-RGH80F$)_9)A(
!
$
A!
3Q  r!:"MT?_)
8a$‡ 9!-!TGH8;‡
8H"$*2!
!-
3qT!
Oƒa1\i
K%$)_9)A(
!
50r
A!
3$8*)*U3Q  :q9NI!1MI
-8
0P2+GH9%?*U95!!-a%
56)_9,
(
A!
3-
#KNH!!GH%
-8[QO\M
A!
3%GH9*U#KN)GH?(
%!
4KN)V"M
6)4
E
9:R4!
)*
),!4
%!
`KN)V"M
=%)a!
Yƒa1\aQ w KW!!U3:'88*%
`0
A!
3IM!9/GH9!%E1!q9r:K
VU9%!*U'
A!
3^
*U'
-8I$KNG28E)_9!!*^"$)
4
(
A!
349N)!-!
c
8+
*U%I%IKN!
29N)0PGH-8RQ  J
!:E
A!
3-
cKN/%-UX)-8#JWX?
c)_!A!
YGH8!
8?(
9N
8
3*U3:aM)’[)E09N*0{U!
'
A!
3-
,KNM%8(
8)
5"$)
=)U5J4
q'0P3Q
€V
,qG2!
8)T0[$99N)-:3"MI8)
$
8H8GH
A
Z99X?65J0P)tU3:^!
=GH8L0PZ!GH9!,)_(
9)%
Y0)
A!
QbcIA8)
I'K4
)9$0
)
3EGH8
8#8)
,,0P
)!
I0FZG/(
9!
/)a9N
Y"$!?`)
A!
"$!%EKNK-8[Q  !
KZ)'
3^GH8)^
!AI0TKjV):NKjV):R
8
%7!
2%!
QqS!
KjA?q
82KjV)q]3!0{(
p=!
OGH!WX:"159JW%85
i)_
!K%
99/4)_9!
4$
9:X/T19N*(
!)U2
8H
A!
31-
OKN)’[?%W*UH9N*8RQEb
?_M8?(
MM
A%
3GH83"$!?,!EK8,
ZT)9N)J
%8
3!-8+KNJWXQ4S9!!
*U3:N*4a
IKN
+
)U`
?_)
8Ha9N)J:*5GHa)_
!
1,!
)*(
4-WX')%9N85!!GH!q'GH9!)_*VU20^'GH8;Q…I9N
)W!)"“0E,
GKN)M0E)_GH9!I9N%!!:V"M,0P)1
!
)G !GH9N
3-e fAgJh %
O){J!
!969)
I-
+KN
)GH9N8+!
3H!)(l!WX^
9/0P)I%GH9!!0{U=
GH8&
8 flkh )Z
A!
34J%!GH*Z!
GH
3Z-
KN-8`=!GH9!*0FU`/WX)*-!
#0M
A!
3QH”L!
%*U3:
"MZ8!a)a0E
)%!%UY%$99!!-J%
`0E
9!-r0F)VU5!
Y9)!Q
4.
t€ YOUR
!)MODEL
!
+"1Z!
8ZHK!')
3LGH8
)
!A!
40NKjA)):3KjA))M
8,
H!!
){J!
r:
85
=!
/)_GH9!q)_
8OIK!GH8)[%
!8
8r9)
!
a%)L%)WX3
9:,L?Q '-W3(
!
O!
38-8=)
)9a
8a"MZ
+8?
A%
3KN)(
t"1)
,)1
8:3
8Z
%*UZ!
)*
)1KN)V"M
,%
A
0
9$
8)Q
4.1 A Basic Access Control Model
qGHA&9!GH*!WXq&
3 f %J!
h %!
!EqG2J*_{8
3*-8ZKU,†rGH9
=| gJˆ-} e
Q›b68p
YGH``!!
“!Y8%8-8
A!)*Um
yKjA)=
8dKjA)=K2.X6i!!3*UmGH
KA)W!)"y0LI!J%
=%!
`$-"$
5%
5”L!(
g :J!
"$!?4!GH)
R0&? T!
-84q!GH
3
0E4)
':N
85)%)GH
30L4?
¢%O%
-8=
)%)GH
3q0EI)
f '!
GH
3aJ4G2
3U(s(lG2
3U h Q
X
Z
Y
identity
current
identity
security descriptor
assigned
security descriptor
history
!#"%$&('*),+-/.0&('2134"6573&(89:)<;=8"65>3?8"A@;B'*)CA3<8"A@;49("ADFE
€t
/!&GH8;:u!T!!
O%J%
%9H"$%!
8G ,9GH))'0M%!
!9RQ€t
+,GHA
9!GH!!WX5-H 8I G2-UKNYKjA?2
8pKjA? f 93T
8Z%) h 3KE)UG2UZ!4KN1G,*!!WX*VU
9N!%?U#%KN! E'tU9N
0P)GH
3ItU9N) ^%GH9*U`)'
-"$
)I%8
3!!Q
q4*$0L8)
!
/
y$4%!
O"1'
58)
$0P
)(
!
'=?_GH!
Z940M,%!
!9RQ  I"MH8?
Kf J3h KN$$K)1:0 "$!2%M!
-8Ha)%)GH
3
JLJ0M -]3%*U,"1-
28)
$$)F
Kf J3h 4KNq$K)
N0 ¢!
8= J<LJOM 4Q
bcO!c8)
P
f Qh LQRM
S
8 f TNh LTUM 6KNH
K)TV0 0
8 J1J!
8*)*U/)
)-8 Q 8 T
W f QYh X f f Qhh P
8 f T[Yh X f f T[hh QLbcI$0;!*U
A
88=
2
8 f h 0F[
ZO\>]_^0 f Qh Q
…a
0F
*U3:!GH9!+!!
m%!
“!O!
8)(
]3QLa 'J%
r:ƒ77$
8'…a%!G2
/| gJkJ} ?’[)!WX*U48GH
(
AJ-8R:IcJ0P)tU“0H
`)
3
J%
8)(
9N)
85GH6
m#%J!
+-W!%K%#!
y60F
`
Y4
3I!!
Qa”)GH:G2
3U5)(
)*VUm9N!%)%) f š+\M!
#b!H| } 8y9N)!
9!
(l0{(V8tU#| k¡J}Fh 89N
8O
$
*UO
5'
3$(
!!
n%!
!9nKZ
c2!AU#0$9W%,(
!!
o8)%!
Q  )?0PO"1O!
8Ht"1+8!A!
?
9N))'O/!!
6%!S
4ea/!!
J-WX/)WX)4KN)
?%W8 af ` P<ClŠŒD h :rH!!
Ja4
3!U5)!WJ-8 f ‰ Œ?ŒB?‹C h Q&b4-
`!H%8)
*0{U
a%J!
TM-WXKN
O!
-82KM
MUX)1)*(
W-8 f ><<%Ÿ‹[B h QEbd!2
A%
3q8)
!
9N
3%N!
(
!A
)%)5KN)t"1)
u
32)!W!
:qY?20%
-8
K/
?%W8n!!
H!H+9N))/"MA(l-
99-_!G2!
60&!!
4J'G2U`KN/!
8RQ
bO-WXO
H
o
3Uc50FH5%AUn0'!
-8iK
)!W-85!J%
Q
”aKW*VUO0)_9!
r:"19N?)!9$'0F
?%
0
/!!
c%!
6=!
8!-/"$))I"12,!.3(
!
6KN!A!Y!!
f #b h :&)
%J(
!
f c h &!
-8!!
f #d h -]3
3*U'"1
GAZ!+9N)?%9/0P
)!
,8)!WX-860FGe'Q  "18
I
c‡ $-WXIWX)$KN)
=!
8!))*UO){J-85
QLQfM
K3U`"q!!
g
Gb f Qh Q,bm)!Z83
-H
(
0P!
n"12GH*ZH9N))!9 if h4h 0F
3*Un)!WJ-8
%J!
Q
b,
-" -WX,
#K%)=%
38/
f )$”L% kh :XI!GH9%q\M!
Tbn!9N!!)U5| }
!A!
'0[a)0 T ‡ f h 84V"1a)0 Q ‡ f g 8/ kh
"$*,TA!)!
,E
3U9J%)% T(LjTgM c:G2U)
Q ‡ 10FG *UO
4)-:
$KNrQ&”GHa
))4)_G/(
9!:M
%8)H=*J%
u04+
*
32!
u+%`
(
*!
ZGH9
3U/"$!?O1GH9N?%
GH9
!1q!!
3Q
€t!8*K!/4,
*
3Z-WX{86
x!)(l0{(l%
3))A
f 9N))%W-8u5- h !
m!W%
i
3Uu8W! I!5!O
G2!*U
!W-8K3UK!3?.!
'q
*
3&0FG›)%
4
N8
3{
!
0FG2!
Y0FG V"MHaGH4!!
3aa:NIZ!%.*U
'KN:GH9N)!
QS!
T1
!
3%!!.X*UaGH)GKN)
!
0FG2!
Y9W!*U5-850FG !!
3%):
!
3
GAqKN4K!3.X-8O
*U24K!0)
$)%!
3$K$0
9)W!$!!
3QT€l$G2U5!95!
.2Y0 #‡ a$
!
3
k
8 2‡ !!
3Z!Q2—E’[)!WX*U#`\M!
/bn%E-]3!)
?I/KN'
JWX)%9=%
O'K)$Y0 $$WX)$8
?%W$!!
2M
H!GH)
&:0 g "$*/
K)0 ¢J)!WX1M!J%
/'&
*(
GH
3T:0 k2f 8/W!aW) h QTS%
$!AUH0L)!WJ-8
%J!
&!& f (lA!) h 9N?)01
3)!WX
h l b f hh "12-
=jAA)GH9J/
%J!
f f /
!A%E)!WJ%
0 g m
8 k :1"M)4!GH9!
A!
3-e Gb f gJVh n Hb f kNh oUp Q
Example
A?_GH91.!
Y1
X
Z
history
Y2
!q"A$&('*)srV- t 4"ukDCA)wv/9"6;:)<4)yxz3C6C{D@C6"65_|}1N)~
8€/)); g 3;‚ k -ƒ89()B9"648@?'|„@… 4†35_8"A;($‡@; g
49(@&(C6‚ˆ;:@8f@‰)'>C%3?DŠ89()ƒ9"648@'*|Š@… 4k35>8"6;($‹@; k
Gb f g-h:n Gb f khNoUp E
Ot2v
bcO"$!!$-" J"¢69N)*0FUn!/)
A!
/9!-%*U
"$
="M4%
38')
A!
a
9q!
+S?%
YŽQ ‘Q
€V
i!)(lK-8d2
3!2!2
)Upc!
(
8)4
9
8q0PI):0F!:0Pa!
820Pa9N?GH%!
f -9K!%*tU=AtU!4GK%
!
50
%3a
8OKjA)a%8
3*VU h Q
€V
/VU9Nq
0PGH
3TGH8!&!T!M
JU/%
38
8)$0FKjA))a8G2!
85KjA))atU9NQ
€V
i88!!
p`)=
8*H!/)GHGH
68%)H
8
!
.Y!
+?GHI0T!GH9!Z9:R6'9'0MKjV):
9E0
9E&9E0)E9E0N-J(
9K!!*%) f GHGH
!U2!!-8Y-9K%!*VU=!%A h QT€V
5G2
3U2-
)I9q8Z
M-]3*I,8%A!
)1VU9N0^
9M
8:
-"MWX)2GH)!GH f p0'9H0'KjA)H!
u#GH8)
"$*i9N)GH!%
-9K!!*! h 9,-WX2!GH9N
-:LK
K*U28*’[)
3-:G2
3%)M,!
!)
5)q0rJ1
9-:
c)Ui%8uKN`%
-8pnc8!’[?
3HVU9NY0'
9
8Q
4.2 Concept Nodes
€t
“9)W!Y?%
"1cA-8y=9GH?)
f 8S h `2!!
i%!
oJ5
,
)(
!*U+KjA))4
8`KjA):r
8`!%A86GH
9a4J
)GHGH
*U63%8c"$!k 8kHQH€t
c”L!2‘5KjV)
82KjA?aJ4!
-85Z)
)9$
8a"$!?5%1
O%
%
-86=GH/!!
%!
L4
9
8&J$XJM
8Z%*?T0NKjA?T
8ZKjA)Q
bcT)0F)E$ME
9E
8LKNT*%^L%
3
3!
Z%!-"y*VUHGH8!%?T)-JI
8T)9
3J%Wa0
"$W)1
)9T%
/*1)*VUGH8;QE€t
/!&
"M1-"i
*U
TVU9N&0
9L
8TKN)V"M
ZKjA?
8
KjV)M
8$!J%
H%!
R:KTMG2
3UVU9N0
)
)9a
8$G2-U5KN48Ya
)U5H-9'
8*-8=GH8;Q
subject
identity
X
Z
concept
...
assigned
Y
object
identity
users
Roles
permissions
subjects
sessions
objects
current
concept
...
history
!q"A$&('*)V- 9()f3?&(89();=8"65_3<8"A@; '*)<C%3?8"A@;49"ADz€0"A89B@;()
5>@;5_)D8;(@V‚()O1N)8€/));g4&(1 )5_84j@1 )5_84 3;‚H89:)/3?&:~
89(@'"643?8"A@;B')CA3<8"A@;E
 +!J%
d%!
“!"1U2-8Hc=!3
KjV)-WX&'KjA)):X49,"$*&KjV)
8 "$*,KjA))/!,!
GH9%?Q  :E"MO?_)
8cZ0P
)(
!
J!
!
$
G2
)-:J
8'G2UI
J"c8)
E
KjV) f KjV) h 0$9J%)%E)
)9 h K3
U if h4h&f /if h4hh :
8mG2UdW
y8
+6KjA?Y0n9!%`KjV)
K3
U f h :N
8=4!
WX)4K3
U f h Q w 04)U5GA$KN
9N))!98Y999%*U3Q
€t
3*!WX*U3:XJ%
c
8Y%!-!
#0TKjV)I
8
KjV)$!
3,
)9q
8M"$!!RG2.X*q-!)$Z9N*0FU2
)*VUp9N%!)Uo!
o=GH8)sQ  Y-
d!/2
9
8,2)
-86`9N*0FUn)
A!
QY€V
GHOGH8(
)%:?2M%!aK82)))UHGH8!:X
A!
31J
!GH9%!**Un-9-8!
i5AJ!=!
*%$%
GH
309N)(
GH!!
"$!!a!
2GH8U
GH!q9N!!!:2T!)(lK8
3;:T
A!
3/J=
p?_9!%)!*U#0PG219J/0
49N!!)U59N*-J!
rQ
 O%8
3!0{UYZ
8I
JU`0PH9!%4GH8L*
!qGH))!U/
)U2,%
.HKN1I
)91KN!
8Re
Ot2v €V
š)(lK-8 #
3Zn
*U 8J
)-8`KN2%
38-8!,
H0F <)B?Œ<:&KjV)/J
)
c%
-86Y)49N
6)-J%
n
8c
(
R!aK-8O9N
=?a%8
3!tU3Q
v 3?D3<1Y"6C6"A8"A)4 €V
2-9K%!*VUOAUAGH1*q!q
JUOZ!
3(
8q/‰>?> );œ PC;D
8M"$!/-9)L1GK%
!
0R
/VU9N f ?-8Z"q* h 8,I9J%)(
%$KjV)-:!!
Y!1
OK-85
Y8?)GH!
!
"$?)$IKjA)!*!G249K!!*VU3Q
Ot2v €V
p%!)(lK-8o)O)
3$GH8)%,"1Y
-8p
!
38)a
)91
8T0PM!tUH%KN!$
8/0Pq)_(
9!
f ?=$8J"$
8)
8=-8O9!9N!!
h Q
!q"A$&('*)(- 9()U5_@;5_)D8S;:@:‚:)<4k"6;ˆ3 5C%344"65_3?COt2v
uk@V‚()CaE
”L!/Ž=J"$'
)9
8+/%GH
34%!
(
!9ZKN?V"1)
#G 0q/K!HƒI1\ =GH80S
8
)a&| kˆ-} Q
•L)GH!!
+-9K%!*VUš
86n
A)-8“0{G _-8[:r
8o>/Œ?;ŠŒ?L.
-"$
r:r)0T%3,
86Y8U
GH!,?
0'KjA)Q  !2G2.X!29N!K!Yc
%8?5.
J"$
o8?(
GH9N*!
Z0$9N?GH%!
!
n8W
Q=SY!
n88*!
c
KN!
ZK!aZ8))!KNa9N)GH!!
Tq)1
O
2KjA?
f /f h L Mh :$
8i=KjV)H)0P?
8oK3Up#9!%J
9N)GH!!
f /f [h L gM!h "1-
28GH9Nq$9N)GH!!
8H8?%KNa!KjV)&Ma)!K!'K3U9!(
%$!3$0FG GH'9N)GH!!
0F)_GH9!:!R'KjA))
-8K! f h 0{G GH$9N)GH!!
f #"Xf Nh L gM!h :Xq!
9N)GH!!
&
W)Uq*VUZI"q* %f $Ih 4
/K(
jA)) f '&Mf h L M(h :^!EZ9N)GH!!
'"$!?6-WXZWX)
W)U3-82I!3$/
YKjA)) f & b f hh Q
4.3 Constraint Model
I99X?2"1'8W3-0P$J0P)tUOWX)*-J!
O%1,8?(
6
y!
*%4
J%
š0,!!
“%J%
%9
8#Y9{2
A!
3Z!!GH*Z/"qU4H
(
J%
i-
iKN2GH8*8RQ  O
A!
3/JO+
J2%J!
n%!
!9,*"1-UZG2!
n9(
K! f sQ Q!:40F h Q
S!
E"1T8)
LK!TGH8%
$):J&
"1U
48)
q
A!
3T!TK!
JU,){J!
!9MKN?V"1)
/9*
0T)Q'bc,,2!!GH!I!WXI2K!
UY%J%
%9
0PTt"1'G2-jAT
Q&”L*A!U3:)U,JAUZ48?%KN
8
8"oE%KN!%8/-8E!
/at"1(t8%GH)
!
9r:"$!,"1
9N,G2.XG -!)42
8?A
8[QS
8*U3:)U+
!GH9%?=
8dGHYGH9)2
u)
U f 5!) h %(
!
!95c+!*GHO
8d8JcA)O`GH
?H!
3-Q
€t
688*%
`O*4!*GH!/KN
):N"M,KN)%!W,J
=GH!
/!20I)_9!WX=9N-"1?20'K!
Uc%!
!9
W)O)
JUu%!
!9`%5KN
?%apGH8!!%
ep*
!GH9%*Eq
A?%
H0[I_-8,9N%
3-:&9N%
3&
)A(
JU#5
A))
A!
c
A!
3QO”)GH:
"M=JW20F
8J/G2
3UcGHGH
A!
3/-
oKNO)_(
9-8=!
/
*U=K!
U2%J%
%9,| ‘ } Q
 )2/t"1`KX86-)!,0$
A%
3Q  /A
!$K-8O
82I
!
50^K?$
8O)$-]3!!tU 3
0F)_GH9!:N"1-WXA'0P5B >œ PC;D if o4h :&< )<)B?C f ah :R
8
‹ŠC1< )<)B?CŠŒB >œ f la h QT€V
Y88!!
Y/4A
8J8=K)
9N)I"18)
4V"M2)a2KN2P‹N‰Š a>Œ> œ%B f h *0&
*(
)a%IHK?I0&? f )_9I!
Y,8)
)J,-
!
="$!?Y
'!GH9tU h Q
f l h6f l h#f oUpXh6f oBph
 H
8#!4K-8#
8+/
!
#0qJWX)%9cKN)t"1
t"1`)Z"$
c
*?!Z
)!*UiYK)0qH)-:
8!,8)
-8cK3U#!%GH*!
/>  />œ1‰>Œ P‹N>œ PC;Dc0q*,!
(
?)!
5"1/"q*
n n0PV"1=)
¢
8 HQ
 Y
!
p0It"16)H-W!
6
6JWX)%9R:T"$%o"M5)0F)
OIKN!
P< -ŠP‹C;:N!I2GHGH
=Ja"M,!WX!'/9N%
AUG,KN f h :
82"q!
›0P
n o Q
€lO%H0{-]3
3*Up
WX
!
3Hn8
Y+99!%!
m0
4GH'0F
?%
=/KNY%80&)
A!
a9N?aK3U
K)!9%
n+9N)JY"$*m`0F
?%
y
GHQ  !
A-86W0 b f h b f h "1/G2U`"q* b HQ  GHA/GHGH
n50!!H99!Uc#
A%
3`
KjV),!
-8#`O
8 f K?%9-k
8 h :R!3){8
K3Ui`
8 f K?%9-8 h /5!
)*
2%!
!9
| 8%)-8Y!
`S)!
=ŽQ Ž }Mf K?%9-"
8 ! hQ
 '9!
=0E8tUH
A!
3$0^a\M!
a"q!R)_(
GH9! f &”L! kh %8'KN"q*#
b f g-:h n b f kh o m
Hb f gJ$h Hb f kh Q›&Ud99*U!
Y0P
)!
d
8!PjA!
34GH9J%
`!
A-8R:N"1Z-
Y"q!
A%
3'
g b k :9%!*UYa!
Y”L! ˆ Q
%
o
Y1
X
Z
⊥HX
history
Y2
!q"A$&('*'
) &V- 9() 4"ukDCA)Pv 9"6;()4) xz3CACD@C6"65_|H@…(!q"A$&('*)Or
))(VD'*)44)<‚R&4"6;($f3k$'*3<DY9"65_3?Cq5_@;48'*3?"6;V8>E
 ,W!$$
A!
3 g% b k "MI
)-8Z
8
b f gJh 8 b f kh Q –'cdi%
GH
3+0FG S *2!H9N!K!Y6
I
8 b Kf J3h LJ M ':$
8p8O#
!
GH)
/[
0 g S
*H!/9N!K%5#-!%H
b f Q h :
Q M g :IKUoGK!
%
n`0P
)!
5"Mc-
m-!% Hb Kf J3h "$) JgM b f Q h :R
8 Q M g "$%6% Hb f gJh Q
S!GH%%J!UH"M'-
=-%)%[
b f kh :
82&"1'
OW!(
J Gb f gJ$h Gb f kh Q
bcIW!'!R)
A!
M!
aGHI9)
R:Z"M
)%828?
$
OK*JU/
A!
31!!GH*!
4-? T(LT7M c‡ O
3*UY-W!
2!a5J4GHA ˆ g ‡ 4KU=!
O
G2_!G2E8!
!*VU#
A!
3-e+* TgM L gXfNT h ) ˆ Q  !
"1%8KN28" 9%!*Ui,
8H0{G `**0${J(
KN!!-,
8 ˆ ^ Q
€t
c2ƒa1\š)(l)'9J%
0M8VU`)
(
GH9J%)%T!Q  A!
31!1
0P-8HK3UH8?
(
!
2/95/"$!?Y! f KN h 4?"$!?Y4
(
A!
3&!I99*U,$!
-8H
8Z
K3UZ8)
%
'Jq
(
A!
3$KN)t"1
2!q95
82a%'Z!!GH!qI
G,KN)
0)E!
,GHGH
rQRbM)%8"q!T!- .[ f / > Nh n
.[ 1f 0 326 gJh 4 g :r%
Y4A
8J86!/0$99*U!
0P
)!
'O
A!
39N)J!
#9)0P))
5KN69J(
GH?)L0&9N)JE"MT"q* / > g b5768 " 6 0 326 g :E*0
"11"$!-8,!E'99!U0FM!!GH1K-8,
,MAT)!WJ(
!
40E!TK3UIq)r!
'9 / g b5768 " 6 0 326 g
0Pa"$!?5%-AU5,
A)$I9rQ
Example
A!
3'| k¡J} 2.:!M!M0PK%88
/0P1V"MZ)MKNHZKN%
-8
Excluded
Group
|1|
|1|
U
U
User A
Role 1
×
User B
×
×
Role 2
×
User C
Role 3
!q"A$&('*)9V- 9()B$'*3?D9"65_3?C7'*)D'*)<4);=83?8"A@; @ …m3z&4)'*~
&4)'/4)D(3?'*3?8"%@;,@… ‚&:8|f5_@;48'*3?"6;V8>E;:m@8) .[ uk3|
;(@8P1N)H3?44"A$;()‚ƒ8@ 0 <26 g3= 3;‚ .[* h uk3| ;(@80N1 )G34 ~
4"A$;:)<‚R8@ 0 3 26 g<= @?' 0 < 26 k E
€V
5”L! ™ "M4-WX'‘Z)$!rKN!
!
,/Z95"$*
5)
A!
!
6%!
c k 0M‘O%)Q/b,{86-WX
3U6
G,KN)40$)!
#H9n
869-
-WX
A!
3Z%!
!9Z"$!i
3Uc
G,KN)40!Q  !Z!
5)_GH9%a0E!
)
)9$
8q0PaXJ!
r:"$!!'*
G2UcKNH9N!K!O+!GH9!!**U8)
/29n%
`GH
]3
*-!
nK3Uc%GH9*Uc
GH)!
52):E"M5KN?(
!!WX4)-J!
2
=)_9!!*!U5
GH-859Y!a!-J)I
8O!G/(
9!)-Q+€l0!,)%9:E29,G2U#KN58)
-8c%?!-!*U
W%`Y
GKN)'0$K9"$!nG2U6GH!WXZ8!))*U
9J!!9!
=GH4
A!
3Q
€t
HI!GH9!1%J%)?>q*tUGH8%
0PG2!
9n5%!:M!/G2-U
2x-" 8-"$
rQ S!
m#%GH9!YV"1(l%)WX{J!:KjA?
4/!c!WXG2U`-8#KjA))Z!cZ!-" *tU3:
K1
*U/"q*IKjV)qJ1!2!WX) "$%!a%-"y!WX)K(
jA))4G2U=-86KjV)4
*U+0M,!-"›!WXEKIG2-U="q!
*?/!-" !i!WX)qKjA)Q”/
%A)
)U3:&KjA))H
A!)-8+=
*U+-WX,
,!WX;Q  !'-8'55!GH9!
> SH–'
!
c| gg)} /S
8p| k ‘ } 0F=GHH)GH9!))_(
9%
!
Y0%!GH8!Q
Example
G2UnAUi3.
=GH5!Wq/x-"
)
A!
-eTJa!YKjV)G2-UO
-WX49N)GH!!
"q*q
3U'KjA))LJL!-"iKjA)^-WX&9N)GH!%
^q-8R:
/f &$f h$h /f '"f $Ihh : '&1f h '"f $'h Q
w I9
3!
`0L!$!$-"$
Y!
`”L! ¡ Q
inherit
inherit
inherit
X
Z
security descriptor
security descriptor
current
RX
Subject A
HIGH
⊥r
assigned
HIGH
Object 1
W
RX
LOW
⊥r
history
identity
identity
!q"A$&('*)V- .0&('k3&(89:)<;=8"65>3?8"A@;ˆ'*)CA3?8"%@;49"ADˆ€P"A89Š"6;V~
9()'"A83?;5_)†@;ƒ5_@;5_)D8 ;(@V‚()4_E
⊥O
Subject B
Y
LOW
Object 2
W
!q"A$&('*)=- 3?8 8"65_) 4)<5_&('"A8| "ukDYCA)<uk);=8)‚ €P"A89 5_@;:~
48 '3?"6;=84_E
bd!!Y!=8)!KNO0F+%
3)9)!
d04`{J!
GH8;:I9
3!
5"$%!r
$!)’[)!WX*U2%J)
%J%)Qi—&o
829)
!
#`KjV)H%KN)1"$%!qJW
9N?GH%!
!
-8+5*'0F4-?6
8!
+Z{J!J
8GH!
JM*$
8/0Pq-?2
8a1*18GH!
eLa
G/(
KN?a0-8q/-?Y
84!99N!
r'JWX)%r!7
0ra%J%)I
M4!3-[
)!W!tU/0^-?2
8Q&”
!GH9!$0P!*UH8)-8H%!a40 Y
81-?2
8$"$%!NJW
! g 9N?GH%!
4%
-8`2*
*'"$!!E-WXV"1H0F4K(
jV)0*J"$
=%)WXr
85
'0FaWX)U5!WXrKNJWX4* f "q*
9 h 8H
I0P$WX)U/%)WX[KN!-"y! f -8O8-"$
h Q  ))0F
9,)9
3!
+W
nG2!1%!)H]3!?.*UKN)GHO
!
3!!%!K!Z
%Z0&-8Q$€t
=4
)_)!
`"1,8?
Y!
)*
)4GH?
%Gz$!WX$!$9K!GYQ
H
GKN)I0$-8Z!){J-8#=H!3-T
)!W*VU#0
I
84
$IW)!R%7)Z0L49rQ
€V
c”L!2 O"1H%KN&/9N?GH%!
8%
cZ%!
)_GH9!q
8!
?!&9,M{J!$!)3U,19N)GH!!
8#%
)*,8-"$
6H%!H9N)GH!%
Q  !
!a)
!A
3$"$*YItU9!-^8?%9!
Y0E'x-"“09N?(
GH!!
$!
=%J%)4GH8!:K1'K%8*)!
R!
?!
f I!6!
)*a0{G †r-"›
8+†r-" !
)*a0FG a% h (
A?O?U)%):1"$!d!O)
3UiGHA2?2GH8!20
!
)*
)'!
=*VU2GH8)%:?=1Jq0LƒI1\1‘O| kˆJ} Q
RX
P4
Subject A
HIGH
⊥r
HIGH
Object 1
LOW
Object 2
W
+P3
+P1
P3
⊥O
RX
Subject B
LOW
P1
⊥r
4.4 Inheritance
\M
A%
3 f !GH9%!*r^)_9!!* h JMq)*!-39r0G2
(
!
a1J0P)tU,0[a)*VUGH8;:KL"1$8GH
A-8
!
`9W%a)!
+*'!IAUY2
A?4/9)
3(
!
JM83
T!$)’[)!WX*U3QLo%9JT!
!*U5
8)A38R:
8H!TT8/Z?.,0Pq):83
T
3!K140F)VU3Q  ))0Fa"M$%
38q!
)*
a99NEJ0Pq)H)%)
E)10K9EK3U4)
A)!
I
K)$8)!
,"$*!
=5
)9$
8Q  IK!'GH8
?_)
88O"$*Y!
)*
)4%$J"$
=%
=”L!ZQ
€t
)*
) f 8"$
nZ
n-" 0FG 9
34`!%8c%(
KN)%82"$*52‡ !,‡ h KN)t"1
2
)9q
81
3M?!{8
q%3:3
A!
3M
8/)T!
?!
q%J%
%9M0
49J
3-Q
 %
)*
&GH
!Gm!WXR9K!Gy03$G2
3U
8)4%
6,9cKN9N)GH!%
J/!GH9!!-8+
*(
!WX)!U#)G*%9!,!
)*
/!!
.Q  4#KjV)
%KN[%
HI%!a%
5”L!' 4"$%![-WXa
GKN)&0L!
G/(
!
/-88*)*UO99N!
[/*q!3-r
)!W*VU3:
4qW)!!70[q%J%)Q f V"1!
GH)
&0P1KjV)
2!T-"$
O!WN
8/
a!
)*
a20F1$%)WXNKNW
f "q*/9 h 8`Z!WXKN!-" f -8#8-"$
hh QZ€t
#”L! g "M=GHJWX-86O%
)*
2`O9N)GH!%
8*)*U3:&K
W
P2
!q"A$&('*)V-z&C%8" )‰)C,4)5&('"A8| "6ukDYCA)<uk);=8)‚ €P"A89
5_@;(48'*3"6;=84P3;‚ƒ‚"A'*)5_8)‚U"6;9()'"A83?;5_)E
bm%!6!Y9)
3!
“!*U“9J!!!`c!
3*!WX
8)A
8%
`0a9N)GH!!
nx-"$!
p`%!:&2AH0
8!!
="$*c?U)%)
8`
)!tU+0q%KN!%!
`K!JU
82
8p8)O!
p8)H8)
=!
)*
)Y!
8)
GHH
!-1)GH9!)_*VU3QYa
?99Xi!,J"$
i!
”L! g 5"$)/"128)
/!
)*
/%!
!9KN?(
V"M
OI9N)*'9N)GH!!
:q-WX%8%
)U!$
8H
)-8O/9JW%84K!JU=%KN!0Fa
8)a
8O-8Q
S`0P/)_GH9!Z0a!
)*
)5JW20F38p
p!
(
?!!
%
GH
3:9N*-!*UO)q
8H9N)GH!!
:KN?(
V"M
,
8)Q I-"1)WX)&!
?!
MG2-UZKNq!4KNq99!!-8Z
A!
3:&
8!
2!
)*
)O!Z
*!WX2*Z
!*U
99!!$**0VQ
€V
p”L! gg !%8uJJ"$/)9
3H!
)*
Y
8n
8-85%!
'9)
$GH4K!JU=AUGHGH)!a
A!
3
 h !
?! 0FG =?Z!a
`!GH9!!* ?(
Q
RX
Subject A
A
⊥r
HIGH
HIGH
Object 1
+
+
W
+
C
⊥O
LOW
D
+
RX
Subject B
B
LOW
⊥r
+
Object 2
+
E
W
!q"A$&('*) +:- z&C%8" )‰)C24)<5_&('"A8| "u†DYCA)<uk);V8 )<‚ €P"%89
5>@;48'*3"A;V84 3;(‚ƒ6" ;9:)'"A8 3;5_)E
F
!q"A$&('*)g+r=- 9()P"6;(9()'>"%83;5>)2@?…3?44"A$;Yu†)<;=8@<€P4#…a'*@=u
59"6C6‚ 8@fD3?'*);V8>E
%J%
%958?
8
h 2Q”?-:š!
)*T0{G h !
)*
40FG : h !
?! 0FG š)-!
2
`!G/(
9!%)! %!
!9`8)
-8/
HQEb-.X)T%!
!9
G2UY!=KNZ!GH9!!-8R:[?+'KN)V"M
:[K
)U589N
8
3$
O49N*$0 Q
ρ
B
R2
ρ
+
C
D
ρ
Permissions
Object 2
Permissions
Object 3
Permissions
Object 4
Permissions
Object 5
Permissions
Object 6
User A
ρ
+
+
Object 1
R1
~/ p
A
Permissions
ρ
~/ p
~/ p
R3
+
!q"A$&('*),+ V- t 4"6ukDYCA)†‚(|:;(3uk"65g4)D3?'*3<8"A@;ƒ@?…‚&:8|E
E
!q"A$&('*)„++?- /
9:)B"6;9()'"A83?;5_) @?…23
48 '3?"6;=8_E
F
4|(uSuk)8'"65 f5_@;:~
€t
p”L% g-k %%8o-"$/9)
3H!
?!
=
8i
8 -8Y-"š9)
+!
GH
30{G šQ  )Y!2
p!GH9!!*O!
GH
3/0FG 8i0{G 2Q
%GH9!#8U
GH!Y)9J!
y0,8VUp)_!A
!WX4
*U5
4%ZJI!GHQ  %!a9N)*-8[:!
`”L! g ‘:
!
d)GHH04!5-W%
uP‹‰Š I>ŒA> œ%B6)O09N?GH%!
f *0
U6!H"qYK)Z0
)-:^H9!
"1%8
IG2.X
h 8Y
`-W!
2,)'!
)*I!I
(
A!
-Q  !4
'WX)
#*0M)ZGH9IY)(
]3!1$9N)GH!!
TW%'GHq)&!
/!
%A)
)U
"$!!^KN4%8
3!-8=
82]!!!
=VjA))-8RQ
Example
KN?V"1)
=4.
9O0r!1"$?',)q!q%!-"18OZ-WX')(
I?I"14JW8)
-8HI!-WX'!
)GH9JK%4?
0I9N)GH!!
,?/
u8%PjV!
3H)H0'9N)GH!!
:T
8)GH
AJ6=%
š88*!
yp68*!
)_!!WX
8?
*!
O0^GN?_)%!
O
A!
3$"MI-
=GH8
J-8I!3^G,)_!!
4%8)
*-8'K3
U 4
/| g Ž } QLbm)
?q!MA$!
8OZ
a0R$!1a)q!
)*
4
A!
3$!
AM?M!:a)1G2U/
TKNIA(
!
-82
3UH0^)1%)$$8!
ZZ"M%8O%
38
=%
!A
)U3Q
w T%AM)_GH9!q0[!
)*
$%T
H?_)
88
g Ž:1-"$%
#=!
)*(
$0R
A!
3Q  !$!
8!-JMTGH1!GH
!
#/9AZ/?4"qZ%
-8c5!!
3(tŽY
8+)?0P
8Y)a2
`KjA?I-8YK3U5!%)
(t‘/
8Y!!
3(lŽQ1a
)GH9RI%
!!
3( k T)L"1%8'*E!
4&?
!
)*%
=O8!PjV!
3
4
A%
34
#KjV)4KN!
!
O
!!
3(t‘ f %
!8%
8=K3U=)!!
3 h :N!
'!
"1%8!
38)H
n!
)
!A
)U6"$!#H9)W!Z)
Example
\M!
=bn5.!?_GH9!:&`”L!
O
`KjA)IJ-8`KU5!!
3 k 8`‘:N)%!
3( k G2U=
aKN
!
8=')-Q
Object A
client 1
current
clients
5.4 Preconditions
client 2
Object C
⊥o
previous
clients
aG,K!
J!
20r!tUH9N!!! f Q Q!:)))UO
82!
(
!tU h GH-
MJ$
=!7-J!
=G2UH-]3!JqG!(
!9!Y!3HKN+-W!{K!QmbcY-
o!WXY%2*)2K3Ui)_(
9)%
=V"M5%/!7-J%
!)J?!:L
0F)))U
8o
Y0P=!
3!tU3:qOK3Up8?
!
d>‹ `){J!
!9O
!
GH
3QT1$9
3-:"149)0P?aI0PGH)9!
rQ
Object B
×
User
5.3 Intersection
client 3
Object D
Object E
client 4
Object F
•E
8*!
,JH)0FEY!!GH*'"1U!
#"$!?#
(
A!
3-
cKNHW!{J-8RQ5”Z)_GH9!:r*0=9N)GH!!
#-
*UuKN`!
8unc)204!:q)
u*O%2!-J5O
A!
3Z
c/H01J9N)GH!!
-
KNH8)
-8#!
)GHL0&!:?E
,)8*)*U3QS%
T1
G/(
KN)E0)EG2U'KNM!
*-
3-:&JWX)-84IGH9!
A!
3Z!,-*U6-8-8RQ5—WX
#GHH!GH9N
*U3:R
GH9!)_*VU+01
8)A
8!
O/!GH9)01J
A!
3
!'%H-88RQMbc9%
YH%8)
*0{U=9
8*!
aJ-
!GH9!*0FUn=GH9!)_*VU0'!
8!W%8q)
A!
/"$*i
r0!GH9!*0FU!
'JWX)%RGH8)sQ
5.5 Algorithmic Issues
t€ ,DISCUSSION
%?%
r:X"M$8!TaWJ%?VU,0N!)&%J-8,I
8)
*%
Y0E
Y)’[))!WX'
A!
3GH8;Q
GH9%?_*tU`0MWX)*0FU!
=5
A!
3Z8)9N
8I
6
9J!
0[!
GH
3E%!
!9TKN)t"1)
,M
9
8E!
ZM
A%
3 f Q Q%:)LaKjA? h 84T!7q0
!
8%W%8?QEb
W!!
2J D‹N> s‰MŒAŠŸŒ> P‹3Ÿ
"$!!KNTW%K%T!
,-?!
aT!
3)GH-8%M?EW!Q&S!
?4G2-U2KN,WJ%?VUO08*’[)
3):G2
GH
3q0E
A60Z8U
GH!-!!Uu9GHGH8u8Jc"$!%4
-8onKN6
A(l%a!4!
='!GH9!GH
3J%
50E!qGH8)sQ
5.1 Expressive Power
6. CONCLUSIONS AND FUTURE WORK
!q"A$&('*) + :- t2; ))(V8);‚()‚ v/9("6;()4) xz3C6C ))(V3ukDCA)
49:@<€P"A;($S89()†"6;(9()'>"%83;5>)k@…5_@;(48'*3"6;=84
5.
b '-WXI99N)0P!!U5!!GH!8OI)_9!WX'9N-"M)0L
c
)
A!
ZGH8L5
)U+5)_94G2
UY01
)
A!
&JT-WXqKN
H%8)
*-8!
/q!*) f G2
3U
J=
,-"$
i) h Qc”/)_GH9!:
A!
3HOK!
U
){J!
:$K/"M`!--WXY9N)
o59N!K!!*VUo08)
!
c
(
JU+
A!
3:^*0M
)U3Qa!:[,)_9!WX,9N-"1)0
2
A!
34%
%aVU9!-%*U+GH9J-8Y240TA
8)598!-6!%Q›€V
m*5)
320PGY:a)
A!
=)_(
9!
m2
!WX?$?H
u)_%A)
%I]3
3!)Q
€t
)
)s:EH
8#0P/
U#)_9!!*,]3
3*!
-*U
)GH9!!-J1a
A!
3q%
:Z"M4!W!)"m%1
Y)_
%
=J$G2U2KN4
)U3:K$!8!-8[Q
5.2 Conflict Resolution
€t
38)%
,!
)*
'
!!U2!
381I9N!K%*(
*tU0)
x!)!
I9N)*-J%
Q  %ELKN)
,A8!-8KN)0P
| ™ g ‘:0F$)_GH9! } 82"M891I>C ` ŠžB?ŒŒ? XB,‰>?> );œ FC;D
8 XB?‹s>œ <ŠžB?Œ1ŸŒA>‹C;<$9N!%)%)1K3U8)
!
Iq%
)*-8
){J!
!9HcKNY)W%-8p!
u#9u8-"$
uG2
)"$!
GH,)
3
V)%) `8)
!!
I-W!
59-8
:R
8+K3U
)W%!
5
A!
340{)!
)*
)/
8+!
GH
3')(
%J%
%9Q  Z9N!!!I0PJWI!!-"$!
Y8
%!(l0F(l)W!
J. f K3Uo8
3U!
3nG? h JWX)5K-?50Z%
3*VU
8+
N8
3{!!tU f K3U+!!-"$!
535G? h Qabc,0P)L!'!
jVA*8=KN-48
%R0L)W%).$4GHI!!.X*U5
KNIK3qH
Y8GH!
!AaJ
3!
r:
85
5qKN
88-8R:3
)Z
cK-Z0$!
3!tU
8c)
8
(
%%*tU="$!+!!.X*U5HH
!8=WX
5*0E)U=
)!WX*U5%88
rQ
€V
4%E99N)-:"1M-WX&9
3-8Za9!-
GH8)rJa0F3)I
`4)_9!
+0T)
A!
Qa•EW*(
M
A%
3q?_9!
O99q99N-JM&KN3
GH9!)_+0P/-WX)HAUAG 8GH!
!A:E="M28)
H
?"“))
3[GH8)[q$Z0F)"“K%I)$
9
68)
O
A!
3Q…a
!!.X59W!,)’[Z"1==9N
i?
5%
m6)=GH8!!
i
)9:aKjA):IK(
jA)):q!7-!
i%!
:q
8n!
)*
):M!
p8)
!GH9!*0FU5
A!
3)_9!
RQTa,!-:"18GH
A
W!)tU=0&)a9N%!!a!
%GH9!4K!
JUO){J!
0P
A!
3Q4”'?_GH9!:"1/8GH
AZ2M!*(t†^•E8{
9N!!)UH"$*M-W%
4882
3UH
)"u%):M"q1-
*0T8*!
rƒI1\mGH8["qI-8c| g } :[K3U5
)!!7!
,8?
*!
`0M!
)*
Q'a!:^\M!
Zb!
8`9J(
!
H0R8VUZ
A!
3M
/KN)T
89N)GH!!
T
)_9)-8=!
/K!
JU2%!
QqS5%!
a4-AU5
WX)*0{U3:M
8"15{8n/GH=9N2,)U#"$!%$KNO!G/(
9!
O0FqAUAGz8GH%
!ATZQEb!--WXI9N
9!
`0M)_
!
`0Z%
f Q Q%:N2
(VJU5){J(
!
MT%
!8?_!A
3%]
3*-J!
h :XK&"1)_9N)
J1?H)_
!
TGAMKN!
0F]
3T0F1$GH8KN
K!Q
7. ACKNOWLEDGEMENTS
b"1%8`!%.,H
.Y‚
6•L)
8Y,
3UGH
)0F)'0FZ2
GKN)01)!
8Y0F4
GH?a(
)A%
$J$-WX4!GH9JWX-8Ha-8K!!*VU50E'99N)-Q
8.
REFERENCES
| g?} ,Qa
=
85ƒQNS
8rQ  '% /{
40P
!)(lK-8=)9J!
`0&8tU2
A!
3Q€V
B a><B ‰‰B?<<
ŒŠ-‰BB P‹Ÿ<,ŠA@IC ` BC ` ŠŒ < ` Š?Š‹$Šœ%
Š‹C;ŒŠœ : g Q
| k-} •LQGHG2
5
8OƒZQS
8RQ w )(s9
3!WX'J0P)tU
*U!a!
='
(lGH
!I
A0PG GH8;Q€t
Š I CtB?Œ[B‰ ŒPC;D
ŒŠ-‰BB P‹Ÿ<,ŠA@'C ` B-C `
Š ‹ X>C;sŠ‹< ŠŒ < ` Š?:N9 g ‘ g ŽX : g ŽQ
| ‘ } •LQ—qQaGHG2
O
8OƒZQS[QS
8rQSJ0P)tU=
!U!$0P
I)_
8-85G2J!'9)!
YGH8;Q€t
D aŠ< Š‹$B?<)B>Œ‰ ` P‹
ŒŠ-‰BB P‹ŸYŠA@'C ` B [B‰ ŒPC;D5>‹ ŒPž>X‰)D: g g Q
| Ž } –QM!L
85†&Q†^/•E8%QNSZ\MGH9)aSUAGHe
~ G2!-L”
8!
f &!GH g-h Q  ?
!-
ƒ9Na—TS–I(  ƒ$( ¡ ‘( k¡ : ~ *Z\M9NJ!
r: g ¡ ‘Q
| ˆ-} —qQT)!
:—$Q”?;:
8 ,Q1!;Q  '9N)!-!
85
0PGH
30!7-!
`
A!
3!
"1.3x-"“G2
GH)
$AUAGHQ ! ŒA>‹<?>X‰)C;sŠ‹<,Š‹
‹-@)ŠŒ />C;sŠ‹"D<CtB #[B‰ Œ?FC;D: gflkh :”KRQ g Q
| ™J} —qQM?%
:NS[Q‚XJjV8%:N•EQSG2Js:
8 ZQNSNQ
SKG2
%
rQ“…I
*-85”GH)"M.20Pa—
0F!
~ *!9!I\M
3r•L!!!QN€t
ŒŠ-‰BB P‹Ÿ<,ŠA@
%$ '&()
Š‹-@B?ŒB?‹N‰BŠ‹ >‹N>-Ÿ3B HB?‹C$ŠV@ ( >Cl>:
~ U g ¡ Q
| ¡-}Z~ QM!9+
85†&QSU
8)-Q  '
A0P)0%
0PG2!
8=*VU5%
=9)!
=AUA)GYQ€t
ŒŠ-‰BB P‹Ÿ<
ŠA@'C ` B-C ` D IŠ< Š‹ & B?ŒA>C;P‹3Ÿ*D<CtB Œ?P‹‰) Nœ%B?<:9Ž ˆ ˆ Ž: g ¡ Q
|  } b Q—$QM3KN?'
85ƒQ,+Q !
rQ •E?%
a*)
!WX' I!)!-^€t
)*VU5•L!!!QN€t
Š I CtB?Œ[B‰ ŒPC;D
ŒŠ-‰BB P‹Ÿ<,ŠA@'C ` B.-0/124>C;sŠ‹N>œ Š‹@-B?ŒB?‹‰?B?: '*)K: ~ JU%
8R: g  ˆ Q
| } –Q”MQN\aQT)"M)I
8 ~ QN‚Q rQ  Z\M%
'"q!
*VU59N!!)U[Q€t
ŒŠ-‰BB P‹Ÿ<,ŠA@'C ` B3D IŠ< Š‹
[B‰ ŒPC;D5>‹ ŒPž>X‰)D:9 kgJˆ kk : w .{
8[:N\1:
~ U g  Q
| g } –Q–Q\M%.Y
8O–QƒQbm!!
rQšGH9J%
Y0
GHGH)%R
85GH!!*UOGH9)1*tU59N!%)%)Q€V
D aŠ< Š‹4NB‰ ŒPC;D5>‹ ŒŠ-‰BB P‹ŸYŠA@'C ` B Œ?Pž>‰)D: w .%
8[:N\1!!0F
{:[a9! g  ¡ Q
| gg)} –Q—qQ–')
!
Q †r! ~ 8)r0&S)'€t
0PG2!
”L!-"4Q Š ‹s‰>C;;Š‹<ŠV@C ` B5 : g flˆh e k ‘ ™ k Ž k :
~ U g ¡™ Q
| g-kJ},~ QZQ '!
r:b Q†Qƒ7)7:
8Y‚Q–Q…I!!G2
rQ
•E)!
`%
59N)J!
HAUAGHQ Š ‹s‰>C;sŠ‹<ZŠA@
C ` B3 : g f  h :NaA g ¡™ Q
| g ‘ } S[Q‚X-jA8{:[•LQNSG2J;:
8 ,QS[QSKG2
{
rQ
†r!-E†^
'0PI—E_9!
H!7-!
Q€t
D IŠ< Š‹"NB‰ ŒPC;D5>‹ ŒŠ-‰BB P‹Ÿ<,ŠA@'C ` B Œ?Pž>‰)D: g ¡ Q
| g Ž } –QƒZQ 4
rQ ~ R)_!!
Y0L!IGH-
q0
!GH9!GH
3!
Z9!
`08VU2!
=,!)(lK-8Y
rAUAGYQ€t
ŒŠ-‰BB P‹Ÿ<,ŠA@'C ` B k%687 qŠœ%B ><)B ‰‰B?<< Š‹C;ŒŠœ ŠŒ < ` Š: g ¡ Q
| g-ˆJ} aQb Q†^GH9
RQ•E?%
rQ€V
ŒŠ-‰BB P‹3Ÿ<  @?C `
D aŠ< Š‹ ‹-@ŠŒ H>C;sŠ‹N‰)sB?‹N‰B?<Z>‹ Œ?P‹‰B?ClŠ‹9
D<CtB <: ~ J? g ¡3g Q)9!
3-85!
w 9N)J!
2S3UA)GH
ƒW%?"4:: g :‚X
U g ¡ Ž:9 g : k ŽQ
| g-™J}  Q †R
3-:–Q–I
%
:ƒQNS?!s: ~ Q I.G2
r:
8
b NQ S3.%?U3Q  ZS- I!)"“*VUOGH8;Q Œ>‹<?>X‰)C;sŠ‹<Š‹NŠA@?C;T>ŒB ‹ŸP‹NBB?ŒP‹3Ÿ: g-™fs™Xh :‚
g Q
| gJ¡-} —$Q\aQ†r9=
8 ~ QNS!G2
RQš6 9N%!)UOK-82!4KjA?
GH8;Q€V
ŒŠ-‰BB P‹3Ÿ<ZŠA@'C ` B / ‹CtB?ŒtŒP<)B
( P<C;Œ CtB & JB‰)C Š I C;P‹3Ÿ ŠŒ < ` Š: w )KN)
g ¡ Q
| g  },~ Q U
?G2Z
8YS[Q w KN
RQ  '!49YGH8
8O
x!)0L%
3))A-Q< ! Œ>‹<?>X‰)C;sŠ‹<,Š‹
‹-@ŠŒ H>C;sŠ‹6>‹ =D<CtB )[B‰ Œ?PC;D"> ? A@ : kfAg-h :N”K
g Q
| g } S[Q w KN
rQ ~ 8JU=)a)
3^
82!)(lK-8
)a
3[W%*-8[Q€t
ŒŠ-‰BB P‹Ÿ<,ŠA@ k 687 ŠŒ < ` Š?Š‹B$Šœ%B Ca><)B $‰‰?B?<< Š‹C;ŒŠœ : JWXG,KN)
g ¡ Q
| k } S[Q w KN
Y
8=+Q IQ ~ 8)%!!
2)$%
O!)(lK-8
)a
3;Q€t
ŒŠ-‰BB P‹Ÿ<ZŠA@'C ` B ˆ /1 $Šœ%B Ca><)B $‰‰?B?<< Š‹C;ŒŠœ ŠŒ < ` Š?:‚*U k Q
| kg?} ƒZQS[QS
8RQ  ZS?G2!4•E?%
~ 8;e&€t
–')
*%
Y
8Y
*U!q0Pa)U!%1
!
SGHQ<DŠ Œ‹N>œ^ŠA@'C ` B3 :‘ ˆflkh e Ž Ž%XŽX‘ k : g Q
| kk-} ƒZQS[QS
8RQ   U9N8=a) ~ *_ ~ 8;Q€t
D IŠ< Š‹"[B‰ Œ?FC;D=>‹ ŒAŠ-‰?BB P‹3Ÿ<,ŠA@'C ` B ŒPž>X‰)D: ~ U g k Q
| k ‘ } ƒZQS[QS
8RQ†^J%))(t1-8`I\M
3 ~ 8!Q
Š a CtB?Œ?: k™fAggJh e g : JWXG,KN) g ‘Q
| k Ž } ƒZQS[QS
8R: ,QMGH%8!9Js:
8BE,Q ~ -"M)-Q  aƒa1\1 ¡ GH8N0P!)(lK-8Y8GH!
!AJ%
Y0
!Q< ! ŒA>‹<?>X‰)C;;Š‹<,Š‹ ‹-@)ŠŒ />C;sŠ‹D<CtB [B‰ Œ?PC;D: gflkh :”KrQ g Q
| kˆ-} ƒZQS[QS
8R:—$QN\M-U
: ,Q†&Q”!
A)%
R:
8`\aQ—qQ
+MG2
RQƒa!)(t1-8`a\M
3 ~ 8!Q Š I CtB?Œ: k flkh e ‘3Ž ¡ :R”)KJU g ™ Q
| k™J} ƒZQS[QS
8R:—$Q‚Q\MJU
: ZQ”MQ”!
A!
r:
8=\aQ—qQ
+MG2
RQƒa!)(lK8Y)a)
3;eT
G**(t8!GH
%
NW!)"4Q€V
ŒAŠ-‰?BB P‹3Ÿ=ŠA@'C ` B g /1
‹‹ >œ Š I CtB?Œ3NB‰ ŒPC;DMXNœ s‰>C;sŠ‹< Š‹@-B?ŒB?‹‰?B?:
–'G,KN) g ŽQ
| k¡-} ƒZQS!GH
Y
8 ~ Q—$QF[.XQ ~ R)_!!
Y0E%)
GH-
q0!GH9%)GH
3%
,)9J!
`0E8tU2!
`
!)(lK-8Y)
3rAUAGYQ€V
ŒŠ-‰BB P‹3Ÿ=ŠA@'C ` B
Š a CtB?Œ:NB‰ ŒPC;D Š ‹ X>C;sŠ‹< ŠŒ < ` Š?:
G /1 ‚
g ¡ Q
| k  } †&QSU
8)-Q w 54AU
3!$
8=
*U!$09?%
AUA)GHQ€t
ŒŠ-‰BB P‹Ÿ<,ŠA@'C ` BIHC ` D aŠ< Š‹ & B?Œ>C;F‹Ÿ*D<CtB ŒP‹‰) Nœ%B?<:9 g Ž g gJˆ : g ¡¡ Q
| k } ‚Q  %8A"1!E
8=‚QN•L?-Q“–IU
GH!-!!U  U9N8
a)I\M
3 ~ 8;Q€t
ŒŠ-‰BB P‹Ÿ<ZŠA@4C ` B ` PŒ <C;ŒA>œ!><s>‹ Š‹-@B?ŒB?‹N‰BŠ‹ ‹@ŠŒ H>C;;Š‹[B‰ Œ?FC;D=>‹ ŒPž>X‰)D:N‚*U g Q
| ‘ } ‚Q—qQ  {8A"1!E
8  QN‚X)-Q€V
3-8`\M
A%
3
8O€V
)*
4!
=–  a\aQ€V
ŒAŠ-‰BB F‹Ÿ<,ŠA@'C ` B ˆ /1
$Šœ%B Ca><)B .‰‰B?<< Š‹C;ŒAŠœ ŠŒ < ` Š?:‚!U k Q