Hvordan fungerer adgangskontrolister?
Adgangskontrolister (ACL’er) styrer processers og brugeres adgang til individuelle områder på en computer, såsom filer eller registre. Dermed sikrer de, at kun autoriserede brugere kan få adgang til bestemte ressourcer.
Hvad er en adgangskontroliste?
Adgangskontrolister er, ligesom obligatorisk adgangskontrol eller rollebaseret adgangskontrol, en form for adgangskontrol. Grundlæggende er ACL’er et sæt regler, der bruges af operativsystemer eller applikationer til at administrere adgangen til bestemte programdele eller ressourcer. En adgangskontroliste er altså en måde at administrere fil- eller andre ressourcerettigheder på en computer.
Du kan derfor forestille dig adgangskontrolister som en slags tabel, der indeholder brugerne og den type adgang, de har. De mest almindelige adgangsrettigheder er:
- retten til at læse en fil
- retten til at skrive en fil (skrive)
- retten til at udføre en fil
Indgangene i en adgangskontroliste kaldes også adgangskontrolenheder (ACE).
Adgangskontrolister fungerer efter et meget simpelt princip, nemlig at hvis en bestemt bruger ønsker at få adgang til en ressource, vil ACL kontrollere, om vedkommende har adgangstilladelse. Med andre ord, om der findes en ACE for brugeren. Hvis dette er tilfældet, vil adgangen blive tilladt, hvis ikke, vil den blive nægtet.
Typer af adgangskontrolister og anvendelser
Der findes forskellige typer adgangskontrolister, hvilket betyder, at der er en lang række anvendelsesmuligheder for ACL’er. Generelt er der to primære forskellige adgangskontrolister: Netværks- og filsystem-ACL’er.
Netværks-ACL’er
Netværksadgangskontrol lister er tabelformede lister, der fungerer som en slags firewall for indgående datatrafik, for eksempel inden for routere. En netværks-ACL som denne bestemmer, hvilke pakker der kan komme ind i et netværk, og hvilke der ikke kan. Det betyder, at man ved hjælp af en netværks-ACL kan kontrollere adgangen til netværket.
Inden for netværks-ACL’er er det også værd at bemærke, at der er en forskel mellem normale og udvidede adgangskontrolister. Normale ACL’er tager kun højde for kilde-IP-adressen og skelner ikke mellem forskellige netværksprotokoller såsom TCP, UDP eller http. De bruges til enten at tillade eller nægte adgang til hele netværket. Udvidede ACL’er tager derimod også højde for mål-IP-adressen og filtrerer pakker på en væsentlig anderledes måde, f.eks. på basis af netværksprotokollen eller pakkens kilde- og målporte.
Filsystem-ACL’er
I modsætning hertil styrer filsystem-ACL’er adgangen til filer og ressourcer i operativsystemet. Listerne bruges i operativsystemer til eksempelvis at kontrollere og styre individuelle brugeres adgangsrettigheder til bestemte filer.
Opbygning af adgangskontrolister
Hver adgangskontroliste består i det væsentlige af flere adgangskontrolenheder. Disse poster udgør adgangskontrolistens sæt regler og består igen af individuelle komponenter. Hvilke komponenter det drejer sig om, afhænger af den specifikke type ACL. Selvom alle ACE’er har et ID samt oplysninger om adgangsrettigheder, er de meget forskellige fra hinanden. Mens netværks-ACL’er også indeholder oplysninger om IP-adresser, oplysninger om protokollen eller portnumre, indeholder filsystem-ACL’er oplysninger om brugergrupper.
ACL-implementering
Der er også en forskel i, hvordan adgangskontrolister implementeres, afhængigt af om de bruges som en netværks-ACL eller en filsystem-ACL. Mens sidstnævnte kan konfigureres ved hjælp af terminalkommandoer, implementeres netværks-ACL’er i netværkskomponenter såsom routere.
Den nøjagtige implementering af en adgangskontroliste afhænger ikke kun af typen (netværk eller filsystem), men også af operativsystemet og den nøjagtige anvendelsessituation.
Fordele
Adgangskontrolister tilbyder en række fordele. Især filsystem-ACL’er giver brugerne mulighed for at konfigurere deres computer, så kun autoriserede brugere kan få adgang til bestemte ressourcer. Adgangskontrolister udvider derfor den integrerede rettighedsstyring i Linux med mere detaljeret adgangsbeskyttelse og forbedrer systemsikkerheden.
Netværks-ACL’er er et forholdsvis ukompliceret alternativ til en firewall. De giver dig også mulighed for at kontrollere datatrafikken mellem netværk. Dette forbedrer ikke kun ydeevnen, men øger også sikkerheden.