Делегирование (компьютерная безопасность)

Делегирование — это процесс передачи пользователем компьютера своих учетных данных для аутентификации другому пользователю. ^[1]^[2] В моделях управления доступом на основе ролей делегирование полномочий предполагает делегирование ролей, которые пользователь может взять на себя, или набора разрешений, которые пользователь может получить, другим пользователям.

Виды делегирования в ИТ-сетях

По существу существует два класса делегирования: делегирование на уровне аутентификации /идентификации и делегирование на уровне авторизации / управления доступом .

Делегирование на уровне аутентификации/идентификации

Это определяется следующим образом: если механизм аутентификации обеспечивает эффективную идентификацию, отличную от подтвержденной личности пользователя, то это называется делегированием идентификации. уровень аутентификации при условии, что владелец действующего удостоверения ранее разрешил владельцу подтвержденной личности использовать свою личность. ^[3]

Существующие методы делегирования личности с использованием sudo или su команды UNIX очень популярны. ^{[ нужна ссылка ]} Чтобы использовать sudo команде человек сначала должен начать сеанс со своей оригинальной личностью. Для этого требуется пароль делегированной учетной записи или явные полномочия, предоставленные системным администратором. Делегирование входа пользователя в систему, описанное в патенте Меркреди и Фрея, также является делегированием идентичности. ^[4]

Делегирование на уровне авторизации/контроля доступа

Наиболее распространенным способом обеспечения компьютерной безопасности являются механизмы контроля доступа, предоставляемые такими операционными системами, как UNIX, Linux, Windows, Mac OS и т. д. ^[5]

Если делегирование предназначено для очень конкретных прав, также известных как мелкозернистые, например, при делегировании управления доступом на основе ролей (RBAC), то всегда существует риск недостаточного делегирования, т. е. делегирующий не делегирует все необходимые права. разрешения на выполнение делегированной работы. Это может привести к отказу в обслуживании, что очень нежелательно в некоторых средах, например, в критически важных системах безопасности или в здравоохранении. При делегировании на основе RBAC одним из вариантов делегирования является переназначение набора разрешений роли делегата; однако поиск соответствующих разрешений для конкретной работы — непростая задача для больших и сложных систем. Более того, назначая эти разрешения роли делегата, все остальные пользователи, связанные с этой конкретной ролью, получают делегированные права.

Если делегирование достигается путем назначения ролей делегатора делегату, то это будет не только случай чрезмерного делегирования, но и проблема, заключающаяся в том, что делегатор должен выяснить, какие роли в сложной иерархии RBAC необходимы. для выполнения конкретной работы. Подобные проблемы отсутствуют в механизмах делегирования удостоверений, и обычно пользовательский интерфейс проще.

Более подробную информацию можно найти на сайте RBAC .

Ссылки

^ Барка, Э., Сандху, Р.: Модель делегирования на основе ролей и некоторые расширения. В: Материалы 16-й ежегодной конференции по приложениям компьютерной безопасности, Новый Орлеан, США (декабрь 2000 г.).
^ Механизм делегирования идентичности на уровне аутентификации, Н. Ахмед, К.Д. Дженсен - Материалы 14-й Северной конференции…, 2009 г. - портал.acm.org, 2009 г.
^ Механизм делегирования идентичности на уровне аутентификации, Н. Ахмед, К.Д. Дженсен - Материалы 14-й Северной конференции…, 2009 г. - портал.acm.org, 2009 год
^ Меркреди, Фрей: Делегирование входа пользователя в систему. Публикация патентной заявки США, США 2004/0015702 A1 2004 г.
^ Голлманн, Д.: Компьютерная безопасность 2e. Джон Уайли и сыновья, Чичестер (2005)

[1] Барка, Э., Сандху, Р.: Модель делегирования на основе ролей и некоторые расширения. В: Материалы 16-й ежегодной конференции по приложениям компьютерной безопасности, Новый Орлеан, США (декабрь 2000 г.).

[2] Механизм делегирования идентичности на уровне аутентификации, Н. Ахмед, К.Д. Дженсен - Материалы 14-й Северной конференции…, 2009 г. - портал.acm.org, 2009 г.

[3] Механизм делегирования идентичности на уровне аутентификации, Н. Ахмед, К.Д. Дженсен - Материалы 14-й Северной конференции…, 2009 г. - портал.acm.org, 2009 год

[4] Меркреди, Фрей: Делегирование входа пользователя в систему. Публикация патентной заявки США, США 2004/0015702 A1 2004 г.

[5] Голлманн, Д.: Компьютерная безопасность 2e. Джон Уайли и сыновья, Чичестер (2005)

[1]

[2]

[3]

[4]

[5]