Дискреционное управление доступом в компьютерной безопасности
Discretionary access control
Дискреционное управление доступом (DAC) в компьютерной безопасности: контроль доступа к объектам на основе идентификации пользователей и групп. Сравнение с MAC.
Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.
Содержание
Введение
В области компьютерной безопасности дискреционный контроль доступа (DAC) — это тип контроля доступа, определенный в критериях оценки надежных компьютерных систем (TCSEC) как способ ограничения доступа к объектам на основе идентификации субъектов и/или групп, к которым они принадлежат. Контроль называется дискреционным, поскольку субъект, обладающий определенным разрешением на доступ, способен передать это разрешение (возможно, косвенно) любому другому субъекту (если это не ограничено обязательным контролем доступа). Дискреционный контроль доступа обычно рассматривается в противопоставление обязательному контролю доступа (MAC). Иногда систему в целом называют "дискреционной" или "полностью дискреционной", если в ней отсутствует обязательный контроль доступа. С другой стороны, системы могут одновременно реализовывать MAC и DAC, при этом DAC относится к одной категории контроля доступа, которую субъекты могут передавать друг другу, а MAC — ко второй категории, которая накладывает ограничения на первую.
In computer security, discretionary access control (DAC) is a type of access control defined by the Trusted Computer System Evaluation Criteria (TCSEC) as a means of restricting access to objects based on the identity of subjects and/or groups to which they belong. The controls are discretionary in the sense that a subject with a certain access permission is capable of passing that permission (perhaps indirectly) on to any other subject (unless restrained by mandatory access control). Discretionary access control is commonly discussed in contrast to mandatory access control (MAC). Occasionally, a system as a whole is said to have "discretionary" or "purely discretionary" access control when that system lacks mandatory access control. On the other hand, systems can implement both MAC and DAC simultaneously, where DAC refers to one category of access controls that subjects can transfer among each other, and MAC refers to a second category of access controls that imposes constraints upon the first.
Реализация
На практике значение этого термина не столь однозначно, как определение, представленное в стандарте TCSEC, поскольку определение DAC в TCSEC не предписывает конкретную реализацию. Существуют как минимум две реализации: на основе владельца (как наиболее распространенный пример) и на основе возможностей.
The meaning of the term in practice is not as clear cut as the definition given in the TCSEC standard, because the TCSEC definition of DAC does not impose any implementation. There are at least two implementations: with owner (as a widespread example) and with capabilities.
С владельцем
Термин DAC обычно используется в контекстах, подразумевающих, что у каждого объекта есть владелец, который управляет правами доступа к этому объекту, вероятно, потому, что многие системы реализуют DAC, опираясь на концепцию владельца. Однако в определении TCSEC ничего не сказано о владельцах, поэтому, технически, система контроля доступа не обязана иметь понятие владения для соответствия определению TCSEC для DAC. В данной реализации DAC пользователи (владельцы) обладают возможностью принимать решения о политике и/или назначать атрибуты безопасности. Прямым примером является режим файлов Unix, который представляет права на запись, чтение и выполнение в виде трех битов для каждого из: пользователя, группы и остальных. (Ему предшествует дополнительный бит, указывающий на дополнительные характеристики).
The term DAC is commonly used in contexts that assume that every object has an owner that controls the permissions to access the object, probably because many systems do implement DAC using the concept of an owner. But the TCSEC definition does not say anything about owners, so technically an access control system doesn't have to have a concept of ownership to meet the TCSEC definition of DAC. Users (owners) have under this DAC implementation the ability to make policy decisions and/or assign security attributes. A straightforward example is the Unix file mode which represent write, read, and execute in each of the 3 bits for each of User, Group and Others. (It is prepended by another bit that indicates additional characteristics).
С возможностями
В качестве другого примера, системы возможностей иногда описываются как обеспечивающие дискреционные средства управления доступом, поскольку они позволяют субъектам передавать свои права доступа другим субъектам, хотя безопасность, основанная на возможностях, по своей сути не направлена на ограничение доступа "на основе идентификации субъектов". В общем случае, системы возможностей не позволяют передавать права доступа "любому другому субъекту"; субъект, желающий передать свои права, должен сначала иметь доступ к субъекту-получателю, и субъекты обычно имеют доступ только к строго ограниченному набору субъектов, что соответствует принципу минимальных привилегий.
As another example, capability systems are sometimes described as providing discretionary controls because they permit subjects to transfer their access to other subjects, even though capability based security is fundamentally not about restricting access "based on the identity of subjects". In general, capability systems do not allow permissions to be passed "to any other subject"; the subject wanting to pass its permissions must first have access to the receiving subject, and subjects generally only have access to a strictly limited set of subjects consistent with the principle of least privilege.