Discretionaire toegangscontrole
Discretionaire toegangscontrole ( DAC ) of door de gebruiker definieerbare toegangscontrole is een beveiligingsconcept voor IT-systemen. De beslissing of een bron al dan niet toegankelijk is, wordt uitsluitend genomen op basis van de identiteit van de actor. Dit betekent dat de toegangsrechten voor (data) objecten per gebruiker zijn gedefinieerd. Het gebruik van gebruikersrollen en groepen vertegenwoordigt een verzwakking van dit concept (zie Role Based Access Control ).
Discretionaire toegangscontrole is het tegenovergestelde van verplichte toegangscontrole , die toegang mogelijk maakt op basis van algemene regels en aanvullende informatie over de actor.
administratie
Formeel kunnen toegangsrechten in een systeem met discretionaire toegangscontrole worden omschreven als een relatie tussen onderwerp, object en recht: (S, O, R) → {ja, nee}; Dit komt overeen met een matrix van S × O-items (één item per subject-object-paar), waarbij elk item de reeks rechten is die het subject heeft op het object, d.w.z .: r (o, s) → R *.
Bijzonder is dat proefpersonen hun eigen rechten kunnen overdragen aan andere onderwerpen, terwijl bij Verplichte Toegangscontrole alleen een centraal bestuursorgaan rechten kan toekennen.
Onderwerpen zijn in deze context actoren , bijvoorbeeld gebruikers , processen of programma's . Objecten zijn gegevens of bronnen (zoals bestanden , printers, enz.) Waarop een onderwerp bewerkingen kan uitvoeren. Overigens kunnen subjecten ook objecten zijn: een administrator (subject) heeft bijvoorbeeld het recht om een gebruiker (in dit verband een object) te verwijderen. Omgekeerd kan een object een onderwerp worden, bijvoorbeeld wanneer een programma wordt "gestart", dwz een proces wordt gemaakt op basis van een bestand.
Een manier om de toegangsrechten weer te geven die met deze factor rekening houden, is de weergave als een grafiek met gerichte, gelabelde randen: elk knooppunt in de grafiek komt overeen met een onderwerp of object, elke rand met een "heeft rechten" -relatie.
Onder Unix en Windows worden rechten toegewezen via een gedeelde toegangscontrolelijst die wordt beheerd door de beheerder, ook wel bekend als een DACL (Discretionary Access Control List). De vermeldingen in deze lijst worden afgekort als ACE (Access Control Entry). Bewakingsinstellingen worden beheerd via de SACL (System Access Control List), die alle beveiligingsrollen bevat en de gebeurtenissen genereert wanneer de DACL wordt geopend.
nadeel
Het kan nodig zijn om de gebruiker uitgebreide toegangsrechten te verlenen voor bepaalde beperkte bewerkingen. Een voorbeeld hiervan is wanneer de gebruiker zijn of haar eigen wachtwoord wijzigt onder Unix .
Om dergelijke bewerkingen mogelijk te maken, wordt het bijbehorende programma onder Unix voorzien van de zogenaamde SUID- vlag, zodat het programma wordt uitgevoerd onder de gebruikersidentificatie van de eigenaar van het programmabestand. Dit is vaak de rootgebruiker die toegang heeft tot alle systeembronnen op een Unix-systeem.
Dit brengt het risico met zich mee dat een onbevoegde persoon de volledige controle over het systeem kan krijgen door een beveiligingslek te benutten .
Om deze reden zijn er extensies ontwikkeld voor bepaalde besturingssystemen, zoals Linux of FreeBSD , die gebaseerd zijn op een ander beveiligingsconcept. Met deze verbeteringen worden beslissingen over toegangsrechten niet langer uitsluitend genomen op basis van de gebruikersidentificatie waaronder een Unix-programma wordt uitgevoerd. Dit voorkomt dat een aanvaller de volledige controle over een systeem krijgt door een beveiligingslek te misbruiken.
Zie ook
Individueel bewijs
- ↑ Rolgebaseerde toegangscontrole (PDF; 62 kB), David F. Ferraiolo en D. Richard Kuhn, 15th National Computer Security Conference, 1992, NIST.
