Дискреційний контроль доступу (DAC) — це тип системи контролю доступу, яка забезпечує політику доступу, визначену власником даних або ресурсу. Власник має право на власний розсуд надавати або забороняти доступ іншим користувачам або процесам.
Генезис і еволюція дискреційного контролю доступу
Концепція дискреційного контролю доступу сходить до ранніх днів спільних обчислювальних систем, зокрема, у системі Multics (мультиплексна інформація та обчислювальна служба), розробленій у 1960-х роках. Система Multics включала елементарну форму ЦАП, яка згодом стала джерелом натхнення для сучасних систем контролю доступу. DAC став формалізованим поняттям після випуску «Помаранчевої книги» Міністерства оборони Сполучених Штатів у 1980-х роках, яка визначила кілька рівнів контролю безпеки, включаючи DAC.
Розширення розуміння дискреційного контролю доступу
Дискреційний контроль доступу базується на принципах дискреційних привілеїв. Це означає, що фізична або юридична особа, яка володіє даними або ресурсом, має право вирішувати, хто може отримати доступ до цих даних або ресурсу. Цей контроль може поширюватися як на дозволи на читання, так і на запис. У DAC підтримується список керування доступом (ACL), який визначає тип доступу користувача або групи користувачів до певного ресурсу.
Внутрішня структура та функціонування дискреційного контролю доступу
Модель DAC в основному спирається на два ключові компоненти: списки контролю доступу (ACL) і таблиці можливостей. Списки керування доступом пов’язані з кожним ресурсом або об’єктом і містять список суб’єктів (користувачів або процесів) разом із наданими їм дозволами. З іншого боку, таблиці можливостей зберігають список об’єктів, до яких певний суб’єкт може отримати доступ.
Коли робиться запит на доступ, система DAC перевіряє ACL або таблицю можливостей, щоб визначити, чи запитувачу дозволено доступ до ресурсу. Якщо ACL або таблиця можливостей надає доступ, запит схвалюється. В іншому випадку буде відмовлено.
Основні характеристики дискреційного контролю доступу
- Доступ, який визначає власник: власник даних або ресурсу визначає, хто може отримати до них доступ.
- Списки контролю доступу: ACL визначає, який тип доступу має кожен користувач або група користувачів.
- Таблиці можливостей: у цих таблицях перераховано ресурси, до яких може отримати доступ користувач або група користувачів.
- Гнучкість: власники можуть легко змінити дозволи за потреби.
- Перехідний контроль доступу: якщо користувач має доступ до ресурсу, він потенційно може надати доступ іншому користувачеві.
Типи дискреційного контролю доступу
Хоча DAC можна реалізувати різними способами, двома найпоширенішими підходами є ACL та списки можливостей.
| Підхід | опис |
|---|---|
| Списки контролю доступу (ACL) | Списки керування доступом прив’язані до об’єкта (наприклад, файлу) і визначають, які користувачі можуть отримати доступ до об’єкта та які операції вони можуть виконувати з ним. |
| Списки можливостей | Списки можливостей пов’язані з користувачем і визначають, до яких об’єктів користувач може отримати доступ і які операції він може виконувати з цими об’єктами. |
Застосування, проблеми та рішення дискреційного контролю доступу
DAC широко використовується в більшості операційних і файлових систем, таких як Windows і UNIX, що дозволяє користувачам ділитися файлами та ресурсами з вибраними окремими особами або групами.
Однією з головних проблем, пов’язаних із DAC, є «проблема плутаного заступника», коли програма може ненавмисно злити права доступу. Наприклад, користувач може обманом змусити програму з більшими правами доступу виконати дію від його імені. Цю проблему можна пом’якшити шляхом ретельного програмування та правильного використання системних привілеїв.
Іншою проблемою є можливість швидкого, неконтрольованого поширення прав доступу, оскільки користувачі, які мають доступ до ресурсу, потенційно можуть надати цей доступ іншим. Це можна вирішити за допомогою належної освіти та навчання, а також засобів контролю на системному рівні для обмеження такого розповсюдження.
Порівняння дискреційного контролю доступу з подібними термінами
| термін | опис |
|---|---|
| Дискреційний контроль доступу (DAC) | Власники повністю контролюють свої дані та ресурси. |
| Обов'язковий контроль доступу (MAC) | Централізована політика обмежує доступ на основі рівнів класифікації. |
| Контроль доступу на основі ролей (RBAC) | Доступ визначається роллю користувача в організації. |
Майбутнє DAC, ймовірно, буде розвиватися зі зростанням популярності хмарних платформ і пристроїв Інтернету речей (IoT). Очікується, що детальний контроль доступу, який забезпечує більш детальний контроль над дозволами, стане більш поширеним явищем. Крім того, у міру розвитку технологій машинного навчання та штучного інтелекту ми можемо побачити системи ЦАП, які можуть навчатися та адаптуватися до мінливих потреб доступу.
Проксі-сервери та дискреційний контроль доступу
Проксі-сервери можуть використовувати принципи DAC для контролю доступу до веб-ресурсів. Наприклад, компанія може встановити проксі-сервер, який перевіряє особу та роль користувача, перш ніж дозволити доступ до певних веб-сайтів або веб-служб. Це гарантує, що лише авторизований персонал може отримати доступ до певних онлайн-ресурсів, забезпечуючи додатковий рівень безпеки.
Пов'язані посилання
- Комп’ютерна безпека: мистецтво і наука Метт Бішоп: комплексний ресурс з комп’ютерної безпеки, включаючи контроль доступу.
- Розуміння та використання дискреційного контролю доступу: стаття CSO, яка детально досліджує DAC.
- Спеціальна публікація NIST 800-12: Посібник Національного інституту стандартів і технологій США з комп’ютерної безпеки, включаючи обговорення DAC.
- Моделі контролю доступу: докладний посібник до різних моделей контролю доступу від O'Reilly Media.
- DAC, MAC і RBAC: наукова стаття про порівняння моделей DAC, MAC і RBAC.
