Kiểm soát truy cập tùy ý (DAC) là một loại hệ thống kiểm soát truy cập cung cấp chính sách truy cập được xác định bởi chủ sở hữu dữ liệu hoặc tài nguyên. Chủ sở hữu có toàn quyền cấp hoặc từ chối quyền truy cập cho người dùng hoặc quy trình khác.
Nguồn gốc và sự phát triển của kiểm soát truy cập tùy ý
Khái niệm Kiểm soát truy cập tùy ý có từ những ngày đầu tiên của các hệ thống máy tính dùng chung, đặc biệt là trong hệ thống Multics (Dịch vụ máy tính và thông tin đa kênh) được phát triển vào những năm 1960. Hệ thống Multics bao gồm một dạng DAC thô sơ, sau này trở thành nguồn cảm hứng cho các hệ thống kiểm soát truy cập hiện đại. DAC đã trở thành một khái niệm chính thức với việc phát hành “Sách Cam” của Bộ Quốc phòng Hoa Kỳ vào những năm 1980, trong đó xác định một số cấp độ kiểm soát an ninh, bao gồm cả DAC.
Mở rộng sự hiểu biết về kiểm soát truy cập tùy ý
Kiểm soát truy cập tùy ý dựa trên các nguyên tắc về đặc quyền tùy ý. Điều này có nghĩa là cá nhân hoặc tổ chức sở hữu dữ liệu hoặc tài nguyên có quyền quyết định ai có thể truy cập dữ liệu hoặc tài nguyên đó. Kiểm soát này có thể mở rộng cho cả quyền đọc và ghi. Theo DAC, danh sách kiểm soát truy cập (ACL) được duy trì, trong đó chỉ định loại quyền truy cập của người dùng hoặc nhóm người dùng đối với một tài nguyên cụ thể.
Cấu trúc bên trong và chức năng của Kiểm soát truy cập tùy ý
Mô hình DAC chủ yếu dựa vào hai thành phần chính: Danh sách điều khiển truy cập (ACL) và bảng khả năng. ACL được liên kết với từng tài nguyên hoặc đối tượng và chứa danh sách các chủ thể (người dùng hoặc quy trình) cùng với các quyền được cấp của họ. Mặt khác, các bảng khả năng duy trì một danh sách các đối tượng mà một chủ thể cụ thể có thể truy cập.
Khi yêu cầu quyền truy cập được thực hiện, hệ thống DAC sẽ kiểm tra ACL hoặc bảng khả năng để xác định xem người yêu cầu có được phép truy cập tài nguyên hay không. Nếu ACL hoặc bảng khả năng cấp quyền truy cập thì yêu cầu sẽ được chấp thuận. Ngược lại, nó bị từ chối.
Các tính năng chính của Kiểm soát truy cập tùy ý
- Quyền truy cập do chủ sở hữu xác định: Chủ sở hữu dữ liệu hoặc tài nguyên xác định ai có thể truy cập nó.
- Danh sách kiểm soát truy cập: ACL xác định loại quyền truy cập mà mỗi người dùng hoặc nhóm người dùng có.
- Bảng khả năng: Các bảng này liệt kê các tài nguyên mà người dùng hoặc nhóm người dùng có thể truy cập.
- Uyển chuyển: Chủ sở hữu có thể dễ dàng thay đổi quyền theo yêu cầu.
- Kiểm soát truy cập bắc cầu: Nếu người dùng có quyền truy cập vào tài nguyên, họ có thể cấp quyền truy cập cho người dùng khác.
Các loại kiểm soát truy cập tùy ý
Mặc dù DAC có thể được triển khai theo nhiều cách khác nhau nhưng hai cách tiếp cận phổ biến nhất là ACL và danh sách khả năng.
| Tiếp cận | Sự miêu tả |
|---|---|
| Danh sách kiểm soát truy cập (ACL) | ACL được gắn với một đối tượng (ví dụ: một tệp) và chỉ định người dùng nào có thể truy cập vào đối tượng và những thao tác nào họ có thể thực hiện trên đối tượng đó. |
| Danh sách năng lực | Danh sách khả năng được gắn với người dùng và chỉ định những đối tượng mà người dùng có thể truy cập và những thao tác nào họ có thể thực hiện trên các đối tượng đó. |
Ứng dụng, thách thức và giải pháp kiểm soát truy cập tùy ý
DAC được sử dụng rộng rãi trong hầu hết các hệ điều hành và hệ thống tệp, chẳng hạn như Windows và UNIX, cho phép người dùng chia sẻ tệp và tài nguyên với các cá nhân hoặc nhóm được chọn.
Một thách thức lớn với DAC là “vấn đề cấp phó bối rối”, trong đó một chương trình có thể vô tình làm rò rỉ quyền truy cập. Ví dụ: người dùng có thể lừa một chương trình có nhiều quyền truy cập hơn để thay mặt họ thực hiện một hành động. Vấn đề này có thể được giảm thiểu bằng cách lập trình cẩn thận và sử dụng hợp lý các đặc quyền hệ thống.
Một vấn đề khác là khả năng lan truyền nhanh chóng, không kiểm soát được quyền truy cập, vì người dùng có quyền truy cập vào tài nguyên có thể cấp quyền truy cập đó cho người khác. Điều này có thể được giải quyết thông qua giáo dục và đào tạo phù hợp cũng như các biện pháp kiểm soát ở cấp hệ thống để hạn chế sự lây lan như vậy.
So sánh Kiểm soát truy cập tùy ý với các điều khoản tương tự
| Thuật ngữ | Sự miêu tả |
|---|---|
| Kiểm soát truy cập tùy ý (DAC) | Chủ sở hữu có toàn quyền kiểm soát dữ liệu và tài nguyên của họ. |
| Kiểm soát truy cập bắt buộc (MAC) | Chính sách tập trung hạn chế quyền truy cập dựa trên cấp độ phân loại. |
| Kiểm soát truy cập dựa trên vai trò (RBAC) | Quyền truy cập được xác định bởi vai trò của người dùng trong tổ chức. |
Tương lai của DAC có thể sẽ phát triển với sự phổ biến ngày càng tăng của các nền tảng dựa trên đám mây và các thiết bị Internet of Things (IoT). Kiểm soát truy cập chi tiết hơn, cung cấp khả năng kiểm soát chi tiết hơn đối với các quyền, dự kiến sẽ trở nên phổ biến hơn. Ngoài ra, khi công nghệ máy học và AI phát triển, chúng ta có thể thấy các hệ thống DAC có thể học hỏi và thích ứng với nhu cầu truy cập luôn thay đổi.
Máy chủ proxy và kiểm soát truy cập tùy ý
Máy chủ proxy có thể sử dụng nguyên tắc DAC để kiểm soát quyền truy cập vào tài nguyên web. Ví dụ: một công ty có thể thiết lập một máy chủ proxy để kiểm tra danh tính và vai trò của người dùng trước khi cho phép truy cập vào một số trang web hoặc dịch vụ dựa trên web nhất định. Điều này đảm bảo rằng chỉ những nhân viên được ủy quyền mới có thể truy cập các tài nguyên trực tuyến cụ thể, cung cấp thêm một lớp bảo mật.
Liên kết liên quan
- An ninh máy tính: Nghệ thuật và Khoa học của Matt Bishop: Một nguồn tài nguyên toàn diện về bảo mật máy tính, bao gồm cả kiểm soát truy cập.
- Hiểu và sử dụng Kiểm soát truy cập tùy ý: Bài viết của CSO, tìm hiểu chi tiết về DAC.
- Ấn phẩm đặc biệt của NIST 800-12: Hướng dẫn về bảo mật máy tính của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ, bao gồm phần thảo luận về DAC.
- Mô hình kiểm soát truy cập: Hướng dẫn chi tiết về các mô hình kiểm soát truy cập khác nhau của O'Reilly Media.
- DAC, MAC và RBAC: Bài báo khoa học so sánh các mô hình DAC, MAC, RBAC.
