9.5. Kirishni boshqarish modellari va Unix fayl ruxsatlari

Avtorizatsiya bosqichida tizim foydalanuvchining qaysi resursga qanday huquq bilan kirishini hal qiladi. Bu qaror qanday qoida asosida qabul qilinishi kirishni boshqarish modeli deb ataladi. To'rtta asosiy model mavjud bo'lib, ular huquqni kim va nima asosida belgilashi bilan farqlanadi (9.9-rasm).

Ixtiyoriy model (DAC). Bu modelda resursning egasi kimga qanday huquq berishni o'zi hal qiladi. Masalan, foydalanuvchi o'z faylini boshqa xodimga o'qish uchun ochib qo'yishi mumkin. Modelning afzalligi moslashuvchanlik va soddalik, kamchiligi esa markazlashgan nazoratning yo'qligi: egasi noto'g'ri qaror qabul qilsa yoki uning hisobi buzilsa, resurs himoyasiz qoladi. Shaxsiy kompyuterlar va oddiy fayl tizimlari odatda shu modelga tayanadi.

Majburiy model (MAC). Bu modelda huquqni resurs egasi emas, tizim belgilaydi. Har bir obyektga maxfiylik belgisi, har bir subyektga esa ruxsat darajasi beriladi va kirish shu ikkisining nisbatiga qarab hal qilinadi. VI-bobda ko'rilgan davlat siri maxfiylik darajalari aynan shu mantiqqa mos keladi. Model juda qat'iy himoya beradi, biroq uni joriy etish va yuritish katta mehnat talab qiladi, shu sababli u asosan harbiy va yuqori xavfsizlikli tizimlarda qo'llaniladi.

Rolga asoslangan model (RBAC). Bu modelda huquq alohida foydalanuvchiga emas, rolga, ya'ni lavozimga beriladi. Foydalanuvchi esa tegishli rolga biriktiriladi. Masalan, «buxgalter» roli moliyaviy hujjatlarga kirish huquqiga ega bo'ladi va bu rolga biriktirilgan har bir xodim shu huquqni oladi. Modelning katta amaliy afzalligi shundaki, yangi xodim kelganda unga o'nlab huquqni alohida berish shart emas: uni rolga qo'shish yetarli. Ishdan bo'shaganda esa roldan chiqarish barcha huquqlarni bir vaqtda bekor qiladi.

Atributga asoslangan model (ABAC). Bu eng yangi va eng moslashuvchan model bo'lib, unda kirish faqat rol emas, balki bir necha atribut asosida hal qilinadi: foydalanuvchi atributlari, resurs atributlari, amal turi va tashqi shart-sharoit. Masalan, qoida quyidagicha bo'lishi mumkin: buxgalteriya bo'limi xodimi moliyaviy hujjatlarni faqat ish kunlari va faqat ofis tarmog'idan o'qishi mumkin. Model juda kuchli, biroq qoidalar soni ortgan sari uni boshqarish murakkablashadi.

Amalda tashkilotlarning aksariyati rolga asoslangan modelni tanlaydi, chunki u xavfsizlik va boshqaruv qulayligi o'rtasida eng yaxshi muvozanatni beradi. Bundan tashqari, u VII-bobda ko'rilgan kamida imtiyoz tamoyilini amalga oshirishni sezilarli osonlashtiradi: huquqlar to'plami har bir lavozim uchun bir marta puxta belgilanadi va keyin qayta-qayta ishlatiladi.

Kirish huquqlarini rasmiylashtirishning eng qulay usuli kirish matritsasi hisoblanadi. Bu jadvalning satrlarida subyektlar (foydalanuvchilar yoki rollar), ustunlarida esa obyektlar (resurslar) joylashadi, kesishmada esa berilgan huquq ko'rsatiladi. Quyida «Raqamli Yechim» uchun soddalashtirilgan matritsa keltirilgan (9.4-jadval).

9.4-jadval. Kirish matritsasiga misol (muallif ishlanmasi).

Matritsaning amaliy qiymati shundaki, u huquqlarni ko'rgazmali qiladi va ortiqcha ruxsatlarni darhol ko'rsatadi. VII-bobda ko'rilgan huquqlarning to'planib qolishi muammosi aynan shunday jadval yordamida aniqlanadi: agar biror katakda vazifa uchun zarur bo'lmagan huquq turgan bo'lsa, u bekor qilinadi.

Kirishni boshqarishning eng keng tarqalgan amaliy ko'rinishlaridan biri Unix oilasidagi operatsion tizimlarning fayl ruxsatlari tizimidir. U ixtiyoriy modelga (DAC) asoslangan va IT-mutaxassis uchun kundalik bilim hisoblanadi, chunki serverlarning katta qismi shu tizimlarda ishlaydi.

Unix dastlabidan ko'p foydalanuvchili muhit sifatida loyihalangan, shuning uchun unda har bir faylning egasi va guruhi bo'ladi. Ruxsatlar uch toifa uchun alohida belgilanadi: faylning egasi, uning guruhi va qolgan barcha foydalanuvchilar. Har bir toifa uchun uch xil huquq mavjud: o'qish, yozish va bajarish (9.10-rasm).

Ruxsatlar sakkizlik sanoq tizimida yoziladi va bu yozuvni o'qish sodda qoidaga tayanadi: o'qish huquqi 4 ga, yozish huquqi 2 ga, bajarish huquqi 1 ga teng. Toifa uchun berilgan huquqlar yig'indisi shu toifaning raqamini beradi. Masalan, o'qish va bajarish huquqi 4 va 1 ning yig'indisi, ya'ni 5 bilan ifodalanadi. Uch toifa uchun uchta raqam ketma-ket yoziladi.

Shunday qilib, 754 yozuvi quyidagini bildiradi: egasi faylni o'qishi, o'zgartirishi va bajarishi mumkin (7 = 4+2+1); guruh a'zolari o'qishi va bajarishi mumkin, biroq o'zgartira olmaydi (5 = 4+1); qolgan foydalanuvchilar esa faqat o'qiy oladi (4). Amaliy jihatdan bu tizim kamida imtiyoz tamoyilini bevosita qo'llash imkonini beradi. Xavfsizlik nuqtai nazaridan eng ko'p uchraydigan xato, faylga barcha foydalanuvchilar uchun to'liq huquq berish, ya'ni 777 qo'yishdir. Bunday sozlama muammoni tez hal qilganday tuyuladi, biroq aslida faylni har qanday foydalanuvchi uchun ochib qo'yadi va serverda jiddiy zaiflik yaratadi.