自主访问控制 (DAC) 是一种访问控制系统，它提供由数据或资源所有者确定的访问策略。所有者可以自行决定授予或拒绝其他用户或进程的访问权限。
自主访问控制的起源和演变
自主访问控制的概念可以追溯到共享计算系统的早期，特别是 20 世纪 60 年代开发的 Multics（多路复用信息和计算服务）系统。 Multics 系统包含 DAC 的基本形式，后来成为现代访问控制系统的灵感来源。随着 20 世纪 80 年代美国国防部“橙皮书”的发布，DAC 成为一个正式的概念，该橙皮书定义了包括 DAC 在内的多个级别的安全控制。
扩大对自主访问控制的理解
自主访问控制基于自主特权的原则。这意味着拥有数据或资源的个人或实体有权决定谁可以访问该数据或资源。此控制可以扩展到读取和写入权限。在 DAC 下，维护一个访问控制列表 (ACL)，它指定用户或用户组对特定资源的访问类型。
自主访问控制的内部结构和功能
DAC 模型主要依赖于两个关键组件：访问控制列表 (ACL) 和功能表。 ACL 与每个资源或对象相关联，并包含主体（用户或进程）及其授予的权限的列表。另一方面，能力表维护特定主体可以访问的对象列表。
当发出访问请求时，DAC 系统检查 ACL 或功能表以确定是否允许请求者访问该资源。如果 ACL 或功能表授予访问权限，则请求会被批准。否则就被拒绝。
自主访问控制的主要特点
- 所有者决定的访问权限：数据或资源的所有者决定谁可以访问它。
- 访问控制列表：ACL 确定每个用户或用户组拥有何种访问权限。
- 能力表：这些表列出了用户或用户组可以访问的资源。
- 灵活性：所有者可以根据需要轻松更改权限。
- 传递访问控制：如果用户有权访问资源，他们可能会向其他用户授予访问权限。
自主访问控制的类型
虽然 DAC 可以通过多种方式实现，但最常见的两种方法是 ACL 和功能列表。
| 方法 | 描述 |
|---|---|
| 访问控制列表 (ACL) | ACL 与一个对象（例如文件）相关联，并指定哪些用户可以访问该对象以及他们可以对其执行哪些操作。 |
| 能力列表 | 功能列表与用户绑定，并指定用户可以访问哪些对象以及他们可以对这些对象执行哪些操作。 |
自主访问控制的应用、挑战和解决方案
DAC 广泛应用于大多数操作系统和文件系统，例如 Windows 和 UNIX，允许用户与选定的个人或组共享文件和资源。
DAC 的一个主要挑战是“混乱的代理问题”，即程序可能会无意中泄露访问权限。例如，用户可能会欺骗具有更多访问权限的程序代表他们执行操作。通过仔细编程和正确使用系统权限可以缓解这个问题。
另一个问题是访问权限可能会快速、不受控制地传播，因为有权访问资源的用户可能会将访问权限授予其他人。这可以通过适当的教育和培训以及系统级控制来限制这种传播来解决。
自主访问控制与类似术语的比较
| 学期 | 描述 |
|---|---|
| 自主访问控制 (DAC) | 所有者对其数据和资源拥有完全控制权。 |
| 强制访问控制 (MAC) | 集中策略根据分类级别限制访问。 |
| 基于角色的访问控制 (RBAC) | 访问权限由用户在组织内的角色决定。 |
随着基于云的平台和物联网 (IoT) 设备的日益普及，DAC 的未来可能会不断发展。细粒度的访问控制提供了对权限更详细的控制，预计将变得更加普遍。此外，随着机器学习和人工智能技术的进步，我们可能会看到 DAC 系统能够学习并适应不断变化的访问需求。
代理服务器和自主访问控制
代理服务器可以使用 DAC 原理来控制对 Web 资源的访问。例如，公司可能会设置代理服务器，在允许访问某些网站或基于 Web 的服务之前检查用户的身份和角色。这确保只有授权人员才能访问特定的在线资源，从而提供额外的安全层。
相关链接
- 计算机安全：艺术与科学 作者：Matt Bishop：有关计算机安全（包括访问控制）的综合资源。
- 了解和使用自主访问控制：CSO 的一篇文章，详细探讨了 DAC。
- NIST 特别出版物 800-12：美国国家标准与技术研究所的计算机安全指南，包括有关 DAC 的讨论。
- 访问控制模型：O'Reilly Media 提供的各种访问控制模型的详细指南。
- DAC、MAC 和 RBAC：一篇比较 DAC、MAC 和 RBAC 模型的科学文章。
