身份与访问
自主访问控制(DAC)
别称: DAC, 所有者控制访问
定义
由资源拥有者自行决定谁可以访问以及执行何种操作的访问控制模型。
自主访问控制是大多数通用操作系统的默认模型:文件或对象的拥有者通常通过 ACL 或 POSIX 的读/写/执行位,把权限授予或收回给其他用户和组。由于信任来自拥有者,权限可以自由传播,对终端用户而言方便,但也使系统容易受到以用户身份运行的恶意软件、混淆代理(confused deputy)以及特洛伊木马类攻击的影响。DAC 适合协作环境和个人数据,但在高度机密信息场景中被认为不够,通常需要叠加 MAC 或严格的 RBAC/ABAC。
示例
- Linux 用户执行 chmod 644 file.txt 授予全员可读权限。
- Windows 文件所有者把同事加入 ACL 并赋予修改权限。
相关术语
强制访问控制(MAC)
由中心策略而非资源拥有者强制执行的访问控制模型,基于赋予主体与客体的密级和许可级别做出决策。
基于角色的访问控制(RBAC)
一种将权限授予角色而非直接授予用户的授权模型,用户通过被指派到角色而继承相应权限。
基于属性的访问控制(ABAC)
一种通过对主体、资源、操作和环境属性进行策略评估,来决定是否允许访问请求的授权模型。
最小权限原则
一种安全原则,要求向每个用户、进程或服务仅授予其完成职责所必需的最少权限,绝不多余。
授权
在身份认证完成后,决定该身份对哪些资源、可以执行哪些操作以及在何种条件下被允许的过程。
访问控制失效
授权规则缺失或执行不当,使用户能够执行超出其权限的操作或访问越权数据的一类漏洞。