Hispanopedia WikiEn seguridad informática , el control de acceso discrecional ( DAC ) es un tipo de control de acceso definido por los Criterios de Evaluación de Sistemas Informáticos Confiables [ 1 ] (TCSEC) como un medio para restringir el acceso a objetos en función de la identidad de los sujetos y/o grupos a los que pertenecen. Los controles son discrecionales en el sentido de que un sujeto con un determinado permiso de acceso puede transmitir ese permiso (quizás indirectamente) a cualquier otro sujeto (a menos que esté restringido por un control de acceso obligatorio ).
El control de acceso discrecional se suele comparar con el control de acceso obligatorio (CAO). En ocasiones, se dice que un sistema en su conjunto tiene un control de acceso "discrecional" o "puramente discrecional" cuando carece de control de acceso obligatorio. Por otro lado, los sistemas pueden implementar tanto CAO como CAO simultáneamente, donde CAO se refiere a una categoría de controles de acceso que los sujetos pueden transferir entre sí, y CAO se refiere a una segunda categoría de controles de acceso que impone restricciones a la primera.
Implementación
En la práctica, el significado del término no es tan claro como la definición dada en el estándar TCSEC, ya que la definición de DAC de TCSEC no impone ninguna implementación. Existen al menos dos implementaciones: con propietario (como ejemplo común) y con capacidades. [ 2 ]
Con el propietario
El término DAC se usa comúnmente en contextos que asumen que cada objeto tiene un propietario que controla los permisos de acceso, probablemente porque muchos sistemas implementan DAC utilizando el concepto de propietario. Sin embargo, la definición de TCSEC no menciona explícitamente a los "propietarios", por lo que un sistema de control de acceso no requiere estrictamente el concepto de propiedad para cumplir con la definición de DAC de TCSEC.
En esta implementación de DAC, los usuarios (propietarios) tienen la capacidad de tomar decisiones sobre políticas y/o asignar atributos de seguridad. Un ejemplo sencillo es el modo de archivo de Unix , que representa escritura, lectura y ejecución en cada uno de los 3 bits correspondientes a Usuario, Grupo y Otros. (Se le añade un bit adicional que indica características adicionales).
Con capacidades
Como otro ejemplo, a veces se describe a los sistemas de capacidades como sistemas que proporcionan controles discrecionales porque permiten a los sujetos transferir su acceso a otros sujetos, aunque la seguridad basada en capacidades no se trata fundamentalmente de restringir el acceso "en función de la identidad de los sujetos". En general, los sistemas de capacidades no permiten que los permisos se transfieran "a cualquier otro sujeto"; el sujeto que desea transferir sus permisos primero debe tener acceso al sujeto receptor, y los sujetos generalmente solo tienen acceso a un conjunto estrictamente limitado de sujetos, de acuerdo con el principio de mínimo privilegio .
Véase también
- Lista de control de acceso
- Control de acceso basado en atributos (ABAC)
- Control de acceso basado en contexto (CBAC)
- Control de acceso basado en grafos (GBAC)
- Control de acceso basado en retículos (LBAC)
- Control de acceso obligatorio (MAC)
- Control de acceso basado en roles (RBAC)
- Control de acceso basado en conjuntos de reglas (RSBAC)
- Seguridad basada en capacidades
- Autenticación basada en riesgos
- XACML (Lenguaje de marcado de control de acceso extensible)
Referencias
Citas
- ↑ Criterios de evaluación de sistemas informáticos confiables . Departamento de Defensa de los Estados Unidos. Diciembre de 1985. Norma DoD 5200.28-STD. Archivado del original el 27 de mayo de 2006.
- ↑ http://fedoraproject.org/wiki/Features/RemoveSETUID – Fedora 15 eliminará SETUID en favor de las capacidades del kernel de Linux.
Fuentes
- PA Loscocco, SD Smalley, PA Muckelbauer, RC Taylor, SJ Turner y JF Farrell. La inevitabilidad del fallo: la errónea suposición de seguridad en los entornos informáticos modernos . En Actas de la 21.ª Conferencia Nacional sobre Seguridad de Sistemas de Información, págs. 303-314, octubre de 1998. Versión en PDF .
- Control de acceso informático
- Modelos de seguridad informática
- Control de acceso
