Список контроля доступа

Список разрешений для системного ресурса

В компьютерной безопасности список контроля доступа ( ACL ) — это список разрешений ^[a] , связанных с системным ресурсом (объектом или средством). ACL определяет, каким пользователям или системным процессам предоставляется доступ к ресурсам, а также какие операции разрешены с данными ресурсами. ^[1] Каждая запись в типичном ACL определяет субъект и операцию. Например,

• Если файловый объект имеет список ACL, содержащий(Алиса: читать, писать; Боб: читать), это даст Алисе разрешение на чтение и запись файла, а Бобу — только на его чтение.
• Если профиль CONSOLE CLASS(TSOAUTH) профиля RACF имеет список ACL, содержащий(АЛИСА:ЧИТАТЬ), это даст ALICE разрешение на использование команды TSO CONSOLE.

Реализации

Многие виды операционных систем реализуют ACL или имеют историческую реализацию; первая реализация списков ACL была в файловой системе Multics в 1965 году. [ ^2]

ACL файловой системы

ACL файловой системы — это структура данных (обычно таблица), содержащая записи, которые определяют права отдельного пользователя или группы на определенные системные объекты, такие как программы, процессы или файлы. Эти записи известны как записи контроля доступа (ACE) в Microsoft Windows NT , ^[3] OpenVMS и Unix-подобных операционных системах , таких как Linux , macOS и Solaris . Каждый доступный объект содержит идентификатор своего ACL. Привилегии или разрешения определяют конкретные права доступа, например, может ли пользователь читать, записывать или выполнять объект. В некоторых реализациях ACE может контролировать, может ли пользователь или группа пользователей изменять ACL для объекта.

Одной из первых операционных систем, предоставивших ACL файловой системы, была Multics . PRIMOS использовал ACL как минимум еще в 1984 году. ^[4]

В 1990-е годы модели ACL и RBAC тщательно тестировались ^{[ кем? ]} и используется для администрирования прав доступа к файлам.

POSIX ACL

Рабочая группа POSIX 1003.1e/1003.2c предприняла попытку стандартизировать списки ACL, в результате чего появилось то, что теперь известно как «POSIX.1e ACL» или просто «POSIX ACL». ^[5] Черновики POSIX.1e/POSIX.2c были отозваны в 1997 году из-за того, что участники потеряли интерес к финансированию проекта и обратились к более мощным альтернативам, таким как NFSv4 ACL. ^[6] По состоянию на декабрь 2019 года ^{[обновлять]}в Интернете не удалось найти живые исходники проекта, но его все еще можно найти в Интернет-архиве . ^[7]

Большинство Unix и Unix-подобных операционных систем (например, Linux с 2.5.46 или ноября 2002 года, ^[8] FreeBSD или Solaris ) поддерживают списки ACL POSIX.1e (не обязательно черновик 17). В этих системах списки ACL обычно хранятся в расширенных атрибутах файла.

Список управления доступом NFSv4

ACL NFSv4 гораздо мощнее черновых ACL POSIX. В отличие от проектов списков ACL POSIX, списки ACL NFSv4 определяются фактически опубликованным стандартом как часть сетевой файловой системы .

ACL NFSv4 поддерживаются многими Unix и Unix-подобными операционными системами. Примеры включают AIX , FreeBSD , ^[9] Mac OS X , начиная с версии 10.4 (« Tiger »), или Solaris с файловой системой ZFS , ^[10] поддерживают списки ACL NFSv4 , которые являются частью стандарта NFSv4. Существует две экспериментальные реализации списков ACL NFSv4 для Linux: поддержка списков ACL NFSv4 для файловой системы Ext3 ^[11] и более поздняя версия Richacls , которая обеспечивает поддержку списков ACL NFSv4 для файловой системы Ext4 . ^[12] Как и списки ACL POSIX, списки ACL NFSv4 обычно хранятся в виде расширенных атрибутов в Unix-подобных системах.

Списки ACL NFSv4 организованы почти идентично спискам ACL Windows NT, используемым в NTFS . ^[13] Списки ACL NFSv4.1 представляют собой расширенный набор списков ACL NT и черновых версий ACL POSIX. ^[14] Samba поддерживает сохранение списков ACL NT для файлов, совместно используемых по SMB, разными способами, один из которых — в виде списков ACL в кодировке NFSv4. ^[15]

Списки ACL Active Directory

Служба Active Directory от Microsoft реализует сервер LDAP , который хранит и распространяет информацию о конфигурации пользователей и компьютеров в домене. ^[16] Active Directory расширяет спецификацию LDAP, добавляя тот же тип механизма списков управления доступом, который Windows NT использует для файловой системы NTFS. Затем Windows 2000 расширила синтаксис записей управления доступом, чтобы они могли не только предоставлять или запрещать доступ ко всем объектам LDAP, но также и к отдельным атрибутам внутри этих объектов. ^[17]

Сетевые списки управления доступом

На некоторых типах проприетарного компьютерного оборудования (в частности, маршрутизаторах и коммутаторах ) список контроля доступа содержит правила, которые применяются к номерам портов или IP-адресам , доступным на узле или другом уровне 3 , каждый из которых содержит список узлов и /или сети, которым разрешено использовать услугу. Хотя дополнительно можно настроить списки контроля доступа на основе имен сетевых доменов , это сомнительная идея, поскольку отдельные заголовки TCP , UDP и ICMP не содержат имен доменов. Следовательно, устройство, реализующее список управления доступом, должно отдельно преобразовывать имена в числовые адреса. Это представляет собой дополнительную поверхность атаки для злоумышленника, который пытается поставить под угрозу безопасность системы, которую защищает список контроля доступа. Как отдельные серверы , так и маршрутизаторы могут иметь сетевые списки управления доступом. Списки контроля доступа обычно можно настроить для управления как входящим, так и исходящим трафиком, и в этом контексте они аналогичны брандмауэрам . Как и межсетевые экраны, списки ACL могут подпадать под действие правил и стандартов безопасности, таких как PCI DSS .

Реализации SQL

Алгоритмы ACL были портированы на SQL и системы реляционных баз данных . Многие «современные» (2000-е и 2010-е годы) системы на базе SQL , такие как системы планирования ресурсов предприятия и системы управления контентом , использовали модели ACL в своих модулях администрирования.

Сравнение с RBAC

Основной альтернативой модели ACL является модель управления доступом на основе ролей (RBAC). «Минимальную модель RBAC», RBACm , можно сравнить с механизмом ACL, ACLg , где в качестве записей в ACL разрешены только группы. Баркли (1997) ^[18] показал, что RBACm и ACLg эквивалентны.

В современных реализациях SQL списки ACL также управляют группами и наследованием в иерархии групп. Таким образом, «современные ACL» могут выражать все, что выражает RBAC, и являются особенно мощными (по сравнению со «старыми ACL») в своей способности выражать политику контроля доступа с точки зрения того, как администраторы рассматривают организации.

Для обмена данными и для «сравнений высокого уровня» данные ACL можно преобразовать в XACML . ^[19]

Смотрите также

• Чаклс
• Безопасность на основе возможностей
• C-список
• Проблема запутанного депутата
• ДАКЛ
• Расширенные атрибуты файла
• Разрешения файловой системы
• Привилегия (вычисления)
• Управление доступом на основе ролей (RBAC)

Примечания

1. Например, разрешения файловой системы , разрешение на выполнение определенных действий.

Рекомендации

1. Р. Шири (август 2007 г.). Глоссарий по интернет-безопасности, версия 2. doi : 10.17487/RFC4949 . РФК 4949 . Проверено 19 мая 2023 г.
2. Элементарная информационная безопасность Ричарда Э. Смита, с. 150.
3. «Управление авторизацией и контролем доступа». Майкрософт Технет . 03.11.2005 . Проверено 08 апреля 2013 г.
4. «PSI Pacer Software, Inc. Gnet-II, версия 3.0» . Коммуникации. Компьютерный мир . Том. 18, нет. 21. 21 мая 1984 г. п. 54. ISSN  0010-4841 . Проверено 30 июня 2017 г. В новой версии Gnet-II (версия 3.0) добавлен механизм безопасности линии, реализованный в подсистеме Primos ACL.
5. Грюнбахер, Андреас. «Списки управления доступом POSIX в Linux». Усеникс . Проверено 12 декабря 2019 г.
6. вюрцкурдле. «Почему POSIX.1e был отозван?». Unix StackExchange . Проверено 12 декабря 2019 г.
7. Трюмпер, Винфрид (28 февраля 1999 г.). «Краткое описание Posix.1e». Архивировано из оригинала 23 июля 2008 г.
8. «Примечания к выпуску Red Hat Enterprise Linux AS 3 (выпуск x86)» . Красная Шапка . 2003. Архивировано из оригинала 02 декабря 2013 г. Проверено 08 апреля 2013 г. Функции EA (расширенные атрибуты) и ACL (списки управления доступом) теперь доступны для файловых систем ext3. Кроме того, для NFS доступна функциональность ACL.
9. «Списки управления доступом NFSv4» . FreeBSD . 12 сентября 2011 г. Проверено 08 апреля 2013 г.
10. «Глава 8. Использование списков ACL и атрибутов для защиты файлов ZFS». Корпорация Оракл . 01.10.2009 . Проверено 08 апреля 2013 г.
11. Грюнбахер, Андреас (май 2008 г.). «Встроенные списки управления доступом NFSv4 в Linux». СУЗЕ . Архивировано из оригинала 20 июня 2013 г. Проверено 08 апреля 2013 г.
12. Грюнбахер, Андреас (июль – сентябрь 2010 г.). «Richacls — собственные списки управления доступом NFSv4 в Linux». bestbits.at. Архивировано из оригинала 20 марта 2013 г. Проверено 08 апреля 2013 г.
13. "ACL" . НФС Linux .
14. «Сопоставление между черновиками ACL NFSv4 и Posix».
15. "vfs_nfs4acl_xattr(8)" . Руководство по Самбе .
16. «[MS-ADTS]: Техническая спецификация Active Directory» .
17. Свифт, Майкл М. (ноябрь 2002 г.). «Улучшение детализации контроля доступа для Windows 2000 ». Транзакции ACM по информационной и системной безопасности . 5 (4): 398–437. дои : 10.1145/581271.581273. S2CID  10702162.
18. Дж. Баркли (1997) «Сравнение простых моделей управления доступом на основе ролей и списков управления доступом», в «Материалах второго семинара ACM по управлению доступом на основе ролей», страницы 127-132.
19. Г. Карджот, А. Шаде и Э. Ван Херревеген (2008) «Реализация политик на основе ACL в XACML», в «Ежегодной конференции по приложениям компьютерной безопасности 2008 года».

дальнейшее чтение

• Роудс, Том. «Списки управления доступом к файловой системе (ACL)». Руководство по FreeBSD . Проверено 08 апреля 2013 г.
• Майкл Фокс; Джон Джордано; Лори Стотлер; Арун Томас (24 августа 2005 г.). «SELinux и grsecurity: пример сравнения улучшений ядра безопасности Linux» (PDF) . Университет Вирджинии . Архивировано из оригинала (PDF) 24 февраля 2012 г. Проверено 08 апреля 2013 г.
• Хинрикс, Сьюзен (2005). «Безопасность операционной системы». Кибербезопасность , весна 2005 г. Университет Иллинойса . Архивировано из оригинала 4 марта 2012 г. Проверено 08 апреля 2013 г.
• Митчелл, Джон. «Контроль доступа и безопасность операционной системы» (PDF) . Стэндфордский Университет . Проверено 08 апреля 2013 г.
• Кларксон, Майкл. "Контроль доступа". Cornell University . Проверено 08 апреля 2013 г.
• Кляйн, Хельге (12 марта 2009 г.). «Разрешения: введение или: объяснение DACL, SACL, владельца, SID и ACE» . Проверено 08 апреля 2013 г.
• «Списки контроля доступа». Библиотека MSDN . 26 октября 2012 г. Проверено 08 апреля 2013 г.
• «Как работают разрешения». Майкрософт Технет . 28 марта 2003 г. Проверено 08 апреля 2013 г.