Функция авторизации и управление правами доступа к ресурсам

Введение

Функция определения прав доступа и привилегий к ресурсам

Авторизация или авторизация (см. различия в написании) – это функция определения прав доступа/привилегий к ресурсам, связанная с общей информационной безопасностью и компьютерной безопасностью, и в частности, с контролем доступа. В более формальном смысле, "авторизовать" означает определить политику доступа. Например, сотрудники отдела кадров обычно имеют право доступа к данным о сотрудниках, и эта политика часто формализуется в виде правил контроля доступа в компьютерной системе. В процессе работы система использует эти правила для принятия решения об одобрении (предоставлении) или отклонении (запрете) запросов на доступ от (аутентифицированных) пользователей. Ресурсами могут быть отдельные файлы или данные элементов, компьютерные программы, компьютерные устройства и функциональность, предоставляемая компьютерными приложениями. Пользователями являются, например, пользователи компьютеров, компьютерное программное обеспечение и другое оборудование, подключенное к компьютеру.

Обзор

Контроль доступа в компьютерных системах и сетях основывается на политиках доступа. Процесс контроля доступа можно разделить на следующие фазы: фазу определения политики, где доступ авторизуется, и фазу применения политики, где запросы на доступ одобряются или отклоняются. Авторизация является функцией фазы определения политики, которая предшествует фазе применения политики, где запросы на доступ одобряются или отклоняются на основе ранее определенных авторизаций. Большинство современных многопользовательских операционных систем включают контроль доступа на основе ролей (RBAC) и, таким образом, полагаются на авторизацию. Контроль доступа также использует аутентификацию для проверки личности пользователей. Когда пользователь пытается получить доступ к ресурсу, процесс контроля доступа проверяет, что пользователь авторизован для использования этого ресурса. Авторизация является ответственностью уполномоченного лица, например, руководителя отдела, в рамках предметной области приложения, но часто делегируется ответственному лицу, такому как системный администратор. Авторизации выражаются в виде политик доступа в некоторых типах "приложений определения политик", например, в форме списка контроля доступа или прав доступа, или точки администрирования политик, например, XACML. Исходя из "принципа наименьших привилегий", пользователям следует предоставлять доступ только к тому, что необходимо для выполнения их работы. Старые и однопользовательские операционные системы часто имели слабые или отсутствующие системы аутентификации и контроля доступа. "Анонимные пользователи" или "гости" – это пользователи, которым не требуется проходить аутентификацию. У них часто ограниченные права доступа. В распределенной системе часто желательно предоставлять доступ без требования уникальной идентификации. Примеры токенов доступа включают ключи, сертификаты и билеты: они предоставляют доступ без подтверждения личности. Доверенным пользователям часто предоставляется неограниченный доступ к ресурсам системы, но их необходимо проверить, чтобы система контроля доступа могла принять решение об одобрении доступа. "Частично доверенные" пользователи и гости часто имеют ограниченные права доступа для защиты ресурсов от неправомерного доступа и использования. В некоторых операционных системах политика доступа по умолчанию предоставляет всем пользователям полный доступ ко всем ресурсам. Другие поступают наоборот, требуя, чтобы администратор явно авторизовал пользователя на использование каждого ресурса. Даже когда доступ контролируется с помощью комбинации аутентификации и списков контроля доступа, поддержание данных авторизации – непростая задача, которая часто представляет собой такую же административную нагрузку, как управление учетными данными аутентификации. Часто необходимо изменить или удалить права доступа пользователя: это делается путем изменения или удаления соответствующих правил доступа в системе. Использование атомарной авторизации является альтернативой управлению авторизацией на уровне системы, когда доверенная третья сторона безопасно распространяет информацию об авторизации.

Access control in computer systems and networks rely on access policies. The access control process can be divided into the following phases: policy definition phase where access is authorized, and policy enforcement phase where access requests are approved or disapproved. Authorization is the function of the policy definition phase which precedes the policy enforcement phase where access requests are approved or disapproved based on the previously defined authorizations. Most modern, multi user operating systems include role based access control (RBAC) and thereby rely on authorization. Access control also uses authentication to verify the identity of consumers. When a consumer tries to access a resource, the access control process checks that the consumer has been authorized to use that resource. Authorization is the responsibility of an authority, such as a department manager, within the application domain, but is often delegated to a custodian such as a system administrator. Authorizations are expressed as access policies in some types of "policy definition application", e. g. in the form of an access control list or a capability, or a policy administration point e. g. XACML. On the basis of the "principle of least privilege": consumers should only be authorized to access whatever they need to do their jobs. Older and single user operating systems often had weak or non existent authentication and access control systems. "Anonymous consumers" or "guests", are consumers that have not been required to authenticate. They often have limited authorization. On a distributed system, it is often desirable to grant access without requiring a unique identity. Familiar examples of access tokens include keys, certificates and tickets: they grant access without proving identity. Trusted consumers are often authorized for unrestricted access to resources on a system, but must be verified so that the access control system can make the access approval decision. "Partially trusted" and guests will often have restricted authorization in order to protect resources against improper access and usage. The access policy in some operating systems, by default, grant all consumers full access to all resources. Others do the opposite, insisting that the administrator explicitly authorizes a consumer to use each resource. Even when access is controlled through a combination of authentication and access control lists, the problems of maintaining the authorization data is not trivial, and often represents as much administrative burden as managing authentication credentials. It is often necessary to change or remove a user's authorization: this is done by changing or deleting the corresponding access rules on the system. Using atomic authorization is an alternative to per system authorization management, where a trusted third party securely distributes authorization information.

Государственная политика

В государственной политике авторизация — это характеристика надежных систем, применяемых для обеспечения безопасности или социального контроля.

Банковская деятельность

В банковской сфере авторизация — это резервирование средств на счете клиента при совершении покупки с использованием дебетовой или кредитной карты.

Издательство

В издательском деле иногда публикуются публичные лекции и другие свободно распространяемые тексты без согласия автора. Такие тексты называются несанкционированными. Примером является книга "Теория всего: происхождение и судьба Вселенной" (2002), составленная на основе лекций Стивена Хокинга и опубликованная без его разрешения, что является нарушением авторских прав.