Role-based access control: differenze tra le versioni
Contenuto cancellato Contenuto aggiunto
Recupero di 1 fonte/i e segnalazione di 0 link interrotto/i.) #IABot (v2.0.9.5 |
m assegnazione al posto di assegnamento + minuzie |
||
Riga 3:
Nella [[sicurezza informatica]], il '''role-based access control'''<ref name=":0">{{Cita pubblicazione|autore=|data=October 1992|titolo=Role-Based Access Control|rivista=15th National Computer Security Conference|volume=|numero=|pp=554–563|lingua=Inglese|url=http://csrc.nist.gov/groups/SNS/rbac/documents/ferraiolo-kuhn-92.pdf|autore2=Kuhn, D.R.|autore1=Ferraiolo, D.F.|lastauthoramp=yes|formato=PDF}}</ref><ref>{{Cita pubblicazione|autore=|cognome=Sandhu, R., Coyne, E.J., Feinstein, H.L. and Youman, C.E.|data=August 1996|titolo=Role-Based Access Control Models|rivista=IEEE Computer|editore=IEEE Press|volume=29|numero=2|pp=38–47|lingua=Inglese|doi=10.1109/2.485845|url=http://csrc.nist.gov/rbac/sandhu96.pdf|formato=PDF}}</ref> (in italiano: '''controllo degli accessi basato sui ruoli'''; in sigla '''RBAC''') è una tecnica di accesso a sistemi ristretto per utenti autorizzati. È una più recente alternativa al [[mandatory access control]] ("controllo degli accessi vincolato", in sigla MAC) e al [[discretionary access control]] ("controllo degli accessi discrezionale", in sigla DAC).
Si tratta di un meccanismo di accesso definito basandosi sui concetti di ruolo e privilegio. I componenti del RBAC, come i permessi dei ruoli, il ruolo utente e le relazioni ruolo-ruolo,
== Design ==
Riga 44:
Prima dello sviluppo del RBAC, il [[modello Bell-LaPadula]] (BLP) era sinonimo di MAC e i [[Permessi (Unix)|permessi del file system]] erano equivalenti al DAC. Essi erano considerati gli unici modelli conosciuti per il controllo dell'accesso: se un modello non ricadeva in un modello BLP, allora era considerato un DAC, e viceversa. Diverse ricerche della fine degli anni Novanta hanno dimostrato che il RBAC non ricade in nessuna delle due categorie.<ref>{{Cita web|url=http://csrc.nist.gov/rbac/rbac-faq.html|titolo=Role Based Access Control - FAQs {{!}} CSRC|sito=csrc.nist.gov|accesso=2017-12-13}}</ref><ref>{{Cita web|url=http://csrc.nist.gov/groups/SNS/rbac/documents/ferraiolo-kuhn-92.pdf|titolo=Role-Based Access Controls|autore=David Ferraiolo, Richard Kuhn|sito=csrc.nist.gov|lingua=EN-US|accesso=2017-12-13}}</ref> A differenza del [[Context-Based Access Control]] (CBAC), il RBAC non si basa sui messaggi di contesto (come la fonte della connessione). Il RBAC è stato criticato in quanto comporta un grande numero di ruoli<ref>{{Cita pubblicazione|autore=|anno=2010|titolo=Role Explosion: Acknowledging the Problem|rivista=Proceedings of the 2010 International Conference on Software Engineering Research & Practice|volume=|numero=|lingua=Inglese|url=http://knight.segfaults.net/papers/20100502%20-%20Aaron%20Elliott%20-%20WOLRDCOMP%202010%20Paper.pdf|autore2=G. S. Knight|autore1=A. A. Elliott|lastauthoramp=yes|formato=PDF}}</ref>, un problema nei sistemi delle grandi imprese, che richiedono un controllo degli accessi più fine rispetto a quello che il RBAC può fornire tramite i ruoli assegnati attraverso ereditarietà ad operazioni e ai tipi di dato. In somiglianza al CBAC, un sistema basato su Entity-Relationship Based Access Control (ERBAC, da non confondere con l'Extended Role-Based Access Control, una versione modificata del RBAC<ref name=":0" /> che usa lo stesso acronimino), è capace di assicurare istanze di dati considerando la loro associazione con il soggetto che sta eseguendo.<ref>{{Cita web|url=http://www.tynamo.org/tapestry-security-jpa+guide/|titolo=tapestry-security-jpa|autore=Kalle Korhonen|accesso=2017-12-13}}</ref>
Il RBAC è diverso anche dalle [[Lista di controllo degli accessi|liste di controllo degli accessi]] (ACL), usate nei sistemi tradizionali a controllo discrezionale degli accessi, in cui si assegnano permessi per specifiche operazioni legate ad oggetti di alto livello, più che a dati di basso livello. Per esempio, una lista di controllo degli accessi può essere usata per permettere o vietare l'accesso in scrittura ad un particolare file di sistema, ma non può stabilire come quel file può essere cambiato. In un sistema basato su RBAC, un'operazione può essere definita a livello molto più dettagliato: ad esempio, può esistere l'operazione di creazione di un account di credito in un'applicazione bancaria oppure l'aggiunta di un esame del livello degli zuccheri nel sangue in un software medico. L'
=== Confronto con il Discretionary Access Control (DAC) ===
Riga 72:
L'uso del RBAC per gestire i privilegi utente (e i permessi su un computer) all'interno di un singolo sistema o applicazione è largamente accettata come la tecnica migliore. Un report del 2010 preparato dal NIST dal Reasearch Triangle Institute ha analizzato il valore economico del RBAC per le imprese ed ha stimato i benefici per impiegato, come un ridotto tempo di inattività ed una più efficiente amministrazione della politica del controllo degli accessi.<ref name="autogenerated2002">{{Cita libro|autore2=R.J. Loomis|titolo=Economic Analysis of Role-Based Access Control|url=http://csrc.nist.gov/groups/SNS/rbac/documents/20101219_RBAC2_Final_Report.pdf|formato=PDF|data=March 2002|editore=Research Triangle Institute|lingua=Inglese|p=|autore1=A.C. O'Connor|lastauthoramp=yes}}</ref>
In un'organizzazione con infrastrutture informatiche eterogenee e requisiti che coprono decine o centinaia di sistemi ed applicazioni, usare il RBAC per gestire ruoli sufficienti ed assegnare gli utenti a ruoli adeguati diventa estremamente complesso senza la creazione gerarchica di ruoli ed
== Note ==
| |||