Discretionary Access Control

Discretionary Access Control (DAC) oder Benutzerbestimmbare Zugriffskontrolle ist ein Sicherheitskonzept für IT-Systeme. Hierbei wird die Entscheidung, ob auf eine Ressource zugegriffen werden darf, allein auf der Basis der Identität des Akteurs getroffen. Das heißt, die Zugriffsrechte für (Daten-)Objekte werden pro Benutzer festgelegt. Eine Abschwächung dieses Konzeptes stellt die Verwendung von Benutzerrollen und -Gruppen dar (siehe Role Based Access Control).

Die Discretionary Access Control bildet das Gegenteil der Mandatory Access Control, die den Zugriff aufgrund von allgemeinen Regeln und zusätzlicher Informationen über den Akteur treffen.

Inhaltsverzeichnis

Verwaltung

Formal können Zugriffsrechte in einem System mit Discretionary Access Control als eine Relation von Subjekt, Objekt und Recht beschrieben werden: (S,O,R) → {ja,nein}; Das entspricht einer Matrix von S×O Einträgen (ein Eintrag pro Subjekt-Objekt-Paar), wobei jeder Eintrag die Menge von Rechten ist, die das Subjekt an dem Objekt hat, also: r(o,s) → R*.

Eine Besonderheit ist, dass Subjekte ihre eigenen Rechte an andere Subjekte weitergeben können, während bei Mandatory Access Control ausschließlich eine zentrale Verwaltungsinstanz Rechte vergeben kann.[1]

Subjekte sind in diesem Zusammenhang Akteure, also zum Beispiel Benutzer, Prozesse oder Programme. Objekte sind Daten oder Ressourcen (wie Dateien, Drucker, etc), auf denen ein Subjekt Operationen ausführen kann. Dabei ist zu beachten, dass Subjekte gleichzeitig auch Objekte sein können: Ein Administrator (Subjekt) hat zum Beispiel das Recht, einen Benutzer zu löschen (in diesem Zusammenhang ein Objekt). Umgekehrt kann aus einem Objekt ein Subjekt werden, zum Beispiel wenn man ein Programm „startet“, also aus einer Datei einen Prozess erzeugt.

Eine Möglichkeit zur Darstellung der Zugriffsrechte, die diesem Faktor Rechnung trägt, ist die Darstellung als Graph mit gerichteten, beschrifteten Kanten: Jeder Knoten im Graph entspricht einem Subjekt oder Objekt, jede Kante einer „hat-Recht“-Beziehung.

Unter Unix und Windows erfolgt die Rechtezuweisung über eine vom Administrator verwaltete Freigegebene Zugriffssteuerungsliste, auch DACL (Discretionary Access Control List) genannt. Die Einträge in dieser Liste werden mit ACE (Access Control Entry) abgekürzt. Überwachungseinstellungen werden über die System ACL (SACL) gesteuert, die sämtliche Sicherheits-Rollen enthält und die Ereignisse bei Zugriff auf die DACL generiert.

Nachteile

Unter Umständen ist es notwendig, für bestimmte eingeschränkte Operationen dem Benutzer erweiterte Zugriffsrechte zu gewähren. Ein Beispiel hierfür ist das Ändern des eigenen Passwortes durch den Benutzer unter Unix.

Um solche Operationen zu ermöglichen, wird unter Unix das entsprechende Programm mit dem sogenannten SUID-Flag versehen, sodass das Programm unter der Benutzeridentifikation des Eigentümers der Programmdatei ausgeführt wird. Häufig ist dies der Benutzer root, der auf einem Unix-System Zugriff auf alle Systemresourcen besitzt.

Dadurch entsteht die Gefahr, dass ein Unbefugter durch die Ausnutzung einer Sicherheitslücke die volle Kontrolle über das System erlangen könnte.

Daher wurden für bestimmte Betriebssysteme, wie Linux oder FreeBSD Erweiterungen entwickelt, die auf einem anderen Sicherheitskonzept beruhen. Unter diesen Erweiterungen werden die Entscheidungen über Zugriffsrechte nicht mehr allein auf der Basis der Benutzeridentifikation getroffen, unter der ein Unix-Programm ausgeführt wird. Dadurch wird verhindert, dass ein Angreifer durch Ausnutzen einer Sicherheitslücke die vollständige Kontrolle über ein System erlangen kann.

Siehe auch

Einzelnachweise

  1. Role-Based Access Controls, David F. Ferraiolo and D. Richard Kuhn, 15th National Computer Security Conference, 1992, NIST

Wikimedia Foundation.

Schlagen Sie auch in anderen Wörterbüchern nach:

  • Discretionary access control — In computer security, discretionary access control (DAC) is a kind of access control defined by the Trusted Computer System Evaluation Criteria[1] as a means of restricting access to objects based on the identity of subjects and/or groups to… …   Wikipedia

  • Discretionary access control — Contrôle d accès discrétionnaire Le Contrôle d accès discrétionnaire (DAC pour Discretionary access control) est un genre de contrôle d accès, défini par le Trusted Computer System Evaluation Criteria (TCSEC) comme « des moyens de limiter l… …   Wikipédia en Français

  • Discretionary Access Control List —    Abbreviated DACL. In Microsoft Windows NT, a list of user and group accounts that have permission to access an object s services. The DACL has as many Access Control Entries as there are user or group accounts with access to the object …   Dictionary of networking

  • Дискреционное управление доступом Discretionary access control — 24. Дискреционное управление доступом Разграничение доступа между поименованными субъектами и поименованными объектами. Субъект с определенным правом доступа может передать это право любому другому субъекту Источник: Руководящий документ. Защита… …   Словарь-справочник терминов нормативно-технической документации

  • Access control — is the ability to permit or deny the use of a particular resource by a particular entity. Access control mechanisms can be used in managing physical resources (such as a movie theater, to which only ticketholders should be admitted), logical… …   Wikipedia

  • Access control list — In computer security, an access control list (ACL) is a list of permissions attached to an object. The list specifies who or what is allowed to access the object and what operations are allowed to be performed on the object. In a typical ACL,… …   Wikipedia

  • Access Control List — Muster einer ACL Eine Access Control List, auch ACL, deutsch Zugriffssteuerungsliste, ist eine Software Technik, mit der Betriebssysteme und Anwendungsprogramme Zugriffe auf Daten und Funktionen eingrenzen können. Eine ACL legt fest, welcher… …   Deutsch Wikipedia

  • Mandatory access control — In computer security, mandatory access control (MAC) refers to a type of access control by which the operating system constrains the ability of a subject or initiator to access or generally perform some sort of operation on an object or target.… …   Wikipedia

  • Mandatory Access Control — (MAC) („zwingend erforderliche Zugangskontrolle“) ist ein Oberbegriff für Konzepte zur Kontrolle und Steuerung von Zugriffsrechten, vor allem auf IT Systemen. Die Entscheidungen über Zugriffsberechtigungen werden nicht nur auf der Basis der… …   Deutsch Wikipedia

  • Mandatory Access Control — Contrôle d accès obligatoire Le Mandatory access control (MAC) ou contrôle d accès obligatoire est une méthode de gestion des droits des utilisateurs pour l usage de systèmes d information. Il existe d autres méthodes telles que : le… …   Wikipédia en Français


Share the article and excerpts

Direct link
Do a right-click on the link above
and select “Copy Link”

We are using cookies for the best presentation of our site. Continuing to use this site, you agree with this.