Evaluierung der anfragebasierten Autorisierung

Zus¨atzlich zur zeitlichen Beschr¨ankung kann die G¨ultigkeit eines Lease an die folgenden Bedingungen sowie Kombinationen daraus gekn¨upft sein.

• Ein Lease kann nur f¨ur eine bestimmte Anzahl von Anfragen gelten. Auf die Orts-informationen des Ausstellers darf also w¨ahrend der zeitlichen G¨ultigkeit des Lease h¨ochstensn-mal zugegriffen werden.

• Die G¨ultigkeit eines Lease kann auf ein bestimmtes r¨aumliches Gebiet beschr¨ankt sein. Der Nutzer des Lease darf hierbei den Ort des Ausstellers nur dann erfahren, wenn sich Letzterer innerhalb des Bereichs befindet, in dem er sich auch befand, als das Lease erteilt wurde.

Die der anfragebasierten Autorisierung zugrunde liegende Aktivit¨at der Zielperson be-steht im Anfragen des Aufenthaltsortes anderer Personen. Die Aktivit¨at zeigt also ganz of-fensichtlich auf eine andere Person, womit die erste der oben definierten Bedingungen erf¨ullt ist. Auch der dritten Bedingung, welche besagt, dass die Aktivit¨at aus eigenem Antrieb und unabh¨angig von der Verwaltung der eigenen Ortsinformation geschehen muss, wird ent-sprochen. Dadurch, dass das Anfragen anderer Ortsinformationen sicherlich Zeitaufwand bedeutet und auch zu monet¨aren Kosten f¨ur mobile Tr¨agerdienste wie GPRS oder UMTS f¨uhren kann, wird auch der zweiten Bedingung Rechnung getragen. Wird einem Nutzer der Zugriff verweigert, zum Beispiel wegen eines abgelaufenen Lease, f¨allt es deshalb relativ leicht zu argumentieren, dass die entsprechenden knappen Ressourcen (Zeit und Geld) die Zielperson davon abhielten, das Lease zu erneuern. Im Gegensatz zur expliziten Autorisie-rung wird also relativ viel Platz f¨ur Mehrdeutigkeit geschaffen.

Abgesehen von reziproken Informationsfl¨ussen setzt der Mechanismus auch gegensei-tiges Interesse an den ausgetauschten Informationen voraus, was w¨unschenswert ist. Die Technik ist sehr einfach anzuwenden und bietet Kontrolle. Vor der Ortung einer anderen Person kann man sich jeweils ¨uberlegen, ob sich dies hinsichtlich der im Gegenzug preiszu-gebenden eigenen Privatsph¨are lohnt. Durch gezielte Vermeidung des Ortens gewisser Per-sonen l¨asst sich ein hoher Korrektheitsgrad erzielen. Gleichzeitig ist es m¨oglich, eine hohe Vollst¨andigkeit zu erreichen, nachdem schließlich jede Person die theoretische M¨oglichkeit hat, jede andere zu orten. Die Identifikatoren der Personen im System k¨onnen dabei statisch und ¨offentlich bekannt sein. Weder zus¨atzlicher Verwaltungsaufwand noch eine spezialisier-te Nutzerschnittsspezialisier-telle ist notwendig.

Ein m¨ogliches Problem ist allerdings, dass initiale Ortungsversuche zwischen zwei Perso-nen per Definition erfolglos bleiben, auch wenn die Zielperson prinzipiell bereit w¨are, sich orten zu lassen. Nachdem der Nutzer sich dieses Problems jedoch bewusst ist, l¨asst sich eine solche Situation einfach aufl¨osen, indem die Zielperson explizit auf die erste Ortung hinge-wiesen wird, so dass sie, falls gew¨unscht, die M¨oglichkeit hat, den Zugriff mittels einer initialen

”Gegenortung“ freizuschalten. Um mehr ¨uber das Langzeitverhalten des Mecha-nismus zu erfahren, wurden die im Folgenden pr¨asentierten Untersuchungen durchgef¨uhrt.

herauszufinden, welchen Einfluss die G¨ultigkeitszeiten der Leases sowie die individuellen Zugriffsraten der beteiligten Personen auf den Anteil vom System gew¨ahrter Zugriffe haben.

Modell und Szenarien

Die Evaluierung basiert auf einem statistischen Modell, welches in der statistischen Pro-grammiersprache R [135] implementiert wurde. In dem Modell versuchen sich zwei Per-sonen A und B gegenseitig zu orten. Das Zugriffsverhalten beider Personen wird jeweils anhand eines Poisson-Prozesses bestimmt, wobei λ_A bzw. λ_B die erwartete Anzahl von Zugriffen pro Stunde von A bzw. B angeben. Versucht A auf den Aufenthaltsort von B zuzugreifen, so erh¨alt B im Gegenzug f¨urδt Stunden das Recht, A zu orten.δt entspricht also der G¨ultigkeitsdauer eines Lease. Die zeitliche Aufl¨osung der Simulationen betr¨agt ei-ne Stunde pro Simulationsschritt. F¨ur jeden Simulationslauf wurden jeweils eiei-ne Million Schritte ausgef¨uhrt.

Den Experimenten werden zwei verschiedene Szenarien, die jeweils einem anderen Ver-h¨altnis der Zugriffsraten der Personen entsprechen, zugrunde gelegt. Beim 1:1-Szenario haben beide Personen dieselbe Zugriffsh¨aufigkeit auf den Ort des jeweils anderen. Im 3:1-Szenario ortet hingegen eine Person die andere dreimal so h¨aufig wie umgekehrt. Beide Sze-narien k¨onnten im Rahmen eines typischen Friend-Finder-Dienstes vorkommen. Im ersten Fall orten sich zwei Freunde mit ausgeglichenem Interesse am Aufenthaltsort des jeweils an-deren. Im zweiten Fall hat eine Person gr¨oßeres Interesse am Aufenthaltsort der anderen als umgekehrt. Die im Folgenden beschriebenen Experimente beziehen sich jeweils auf beide Szenarien. Es wird immer ein Parameter (Zugriffsrate oder Lease-Dauer) konstant gehalten und der andere ver¨andert und im Anschluss der Anteil gew¨ahrter Zugriffe beobachtet.

Auswirkungen der Lease-Dauer

In der ersten Versuchsreihe wurde die Zugriffsrate konstant gehalten (drei Zugriffe pro Tag im 1:1-Szenario, 4,5 bzw. 1,5 pro Tag im 3:1-Szenario), w¨ahrend die Lease-Dauer zwischen einer Stunde und drei Tagen ver¨andert wurde.

Beim 1:1-Szenario (siehe Abbildung 6.8) sind die Auswirkungen der Ver¨anderung der Lease-Dauer auf den Anteil gew¨ahrter Zugriffe nat¨urlich f¨ur beide Personen gleich. Ist die Lease-Dauer hier gr¨oßer als sechs Stunden, so wird etwa die H¨alfte aller Zugriffe gew¨ahrt.

Liegt sie hingegen zwischen 24 und 40 Stunden, so werden zwischen 95% und 99% aller Zugriffe erlaubt. F¨ur dieses Intervall ergibt sich also bereits eine recht hohe Zuverl¨assigkeit im Falle einer gew¨unschten Ortung.

Im 3:1-Szenario (siehe Abbildung 6.9) unterscheidet sich der Anteil gew¨ahrter Zugriffe bei den beiden Personen. Die erste Person, deren Zugriffsrate mit einem Erwartungswert von 4,5 pro Tag angesetzt wird und deren Ortsinformation von der anderen Person im Mittel 1,5-mal pro Tag angefragt wird, ben¨otigt eine Lease-Dauer von mindestens 11 Stunden, um in 50% aller F¨alle Erfolg zu haben. Zwischen 49 und 72 Stunden sind hingegen notwendig, um zwischen 95% to 99% aller Abfragen positiv beantwortet zu bekommen. Die zweite Person, die 1,5-mal pro Tag anfragt und 4,5-mal angefragt wird, erreicht die 50-prozentige Erfolgsrate bereits bei einer Lease-Dauer von vier Stunden. Sollen hier zwischen 95% to 99% aller Abfragen erfolgreich sein, so ist eine Dauer von 16 bis 25 Stunden notwendig.

0 10 20 30 40 50 60 70 80 0

20 40 60 80 100

Szenario: 1:1

Person A Person B

gewährte Zugriffe (%)

Lease-Gültigkeit (h)

Abbildung 6.8: Anteil gew¨ahrter Zugriffe bei gleicher Rate von zwei Zugriffen pro Tag

Auswirkungen der Zugriffsrate

In der zweiten Versuchsreihe wurde die Lease-Dauer konstant bei 48 Stunden gehalten, die akkumulierte Zugriffsrate beider Personen wurde zwischen zweimal w¨ochentlich und 12-mal t¨aglich variiert. Den beiden Szenarien entsprechend wurden also die folgenden Zu-griffsraten verwendet. Beim 1:1-Szenario wurde die Zugriffszahl gleich verteilt, jede Person greift hier zwischen einmal w¨ochentlich und sechsmal t¨aglich auf die Ortsinformation der anderen zu. Entsprechend hat im 3:1-Szenario die eine Person eine Zugriffsrate von 1,5-mal pro Woche bis zu neunmal pro Tag und die andere von 0,5-mal pro Woche bis zu dreimal pro Tag.

Im 1:1-Szenario (siehe Abbildung 6.10) ist das Verh¨altnis der Erfolgsraten der beiden Personen wieder ausgeglichen. Es zeigt sich, dass eine Zugriffsrate von 5,4-mal pro Woche ausreichend ist, um in mindestens der H¨alfte aller F¨alle Erfolg zu haben. Zwischen 22,4 und 38,5 Zugriffe pro Woche sind hingegen notwendig f¨ur eine Erfolgsrate zwischen 95% und 99%.

Im 3:1-Szenario (siehe Abbildung 6.11) unterscheidet sich wiederum die Erfolgsrate der beiden Personen. F¨ur die eine Person ist sie gr¨oßer als 50%, wenn ¨ofter als 3,1-mal pro Wo-che zugegriffen wird. F¨ur die andere Person ist daf¨ur lediglich ein Zugriff pro WoWo-che not-wendig. F¨ur beide Teilnehmer gleichzeitig ist die Erfolgsrate gr¨oßer als 50%, wenn der eine mindestens siebenmal pro Woche zugreift und der andere entsprechend dem 3:1-Verh¨altnis 2,4-mal pro Woche. Eine Bewilligungsrate zwischen 95% und 99% ergibt sich f¨ur die ei-ne Person, wenn ihre Zugriffsrate zwischen 10,5-mal und 18,3-mal pro Woche liegt. F¨ur die andere betr¨agt das Intervall 3,5-mal bis 6,16-mal pro Woche. Beide Erfolgsraten liegen zwischen 95% und 99%, wenn die eine Person zwischen 45,5-mal und 84-mal pro Woche zugreift, was f¨ur die andere dann bedeutet, dass sie zwischen 11,4 und 21 Aufrufe pro Wo-che t¨atigen m¨usste.

0 10 20 30 40 50 60 70 80 0

20 40 60 80 100

Szenario: 3:1

Person A Person B

gewährte Zugriffe (%)

Lease-Gültigkeit (h)

Abbildung 6.9: Anteil gew¨ahrter Zugriffe bei einer Rate von 4,5 bzw. 1,5 Zugriffen pro Tag

Zusammenfassung der Evaluierung

Zusammenfassend l¨asst sich sagen, dass anfragebasierte Autorisierung bei tats¨achlich ge-w¨unschtem Zugriff diesen auch zuverl¨assig erlaubt, wenn zwei Person sich relativ h¨aufig orten und wenn das gegenseitige Interesse an Ortsinformation ausgeglichen ist. Andernfalls werden Zugriffsversuche oft abgewiesen, zumindest bei der h¨aufiger ortenden Person. Wie vermutet sind also Anwendungen, die einseitiges Tracking erfordern, wie Child-Tracker-oder Notfalldienste, mit dem Mechanismus wohl nicht kompatibel. Die Technik scheint je-doch sinnvoll, wenn ein ausgeglichenes Interesse am Aufenthaltsort des anderen besteht, ei-ne Autorisierung tats¨achlich erw¨unscht ist und wenn der LBCS h¨aufig genutzt wird, wie es zum Beispiel f¨ur einen typischen Friend-Finder-Dienst vorstellbar ist. Die Wahl der Lease-Dauer gestaltet sich als Trade-off. Lange Zeitr¨aume erh¨ohen die Zuverl¨assigkeit im Fall einer gew¨unschten Ortung, w¨ahrend eine k¨urzere Dauer die Kontrolle in Bezug auf Korrekt-heit verbessert sowie die M¨oglichkeiten von Mehrdeutigkeit erh¨oht, falls eine Zielperson es vorzieht, von einer bestimmten Person nicht mehr geortet zu werden. Anhand der Simula-tionen scheinen Lease-Dauern von 24 bis 48 Stunden geeignet.