什么是自主访问控制呢？

自主访问控制是一种去中心化的访问控制策略，它允许用户自行控制对对象的访问权限。在智能手机应用程序、Google文档以及各种操作系统中，都可以看到这种访问控制机制的应用。

在DAC系统中，用户可以与其他用户共享信息。他们还可以授予其他用户某些权限。他们还可以更改对象的属性，或者选择哪些属性与新创建的对象相关联。此外，他们还可以在不经过中央授权的情况下，设置不同的访问控制方式。

在强制访问控制（MAC）机制下，通常不允许使用这些功能。而DAC则允许对象所有者自行设定其访问策略。而MAC则通过诸如权限级别之类的工具来集中管理访问策略。

但是，DAC是否真的是一种适用于您组织的、安全的访问控制方法呢？本文将对此进行说明。

• 自由访问控制的工作原理是什么？
• 自主访问控制所带来的好处
• 与自主访问系统相关的挑战
• DAC的例子/示例
• DAC与MAC之间的区别

自主访问控制是如何工作的呢？

自主访问控制依赖于两个核心概念来管理和控制对网络资源的访问。

• 主题：那些希望访问受DAC保护的资源的用户或用户群体。
• 对象：系统资源，比如应用程序，或者存储在网络上的数据。
  
  

DAC依赖于用户身份识别来决定是否允许访问某个对象。用户必须提供能够证明其身份的认证信息，系统才会允许其访问该对象。之后，访问控制系统会判断该用户是否拥有访问该特定对象的权限。

DAC系统主要有两种类型：

• 访问控制列表（ACLs）：访问控制列表是一种包含有关授权用户信息的文档。通过这种方式，管理员可以为每个对象设置基于规则的访问控制系统。访问控制列表中包含了用户的身份以及每位用户所拥有的权限。此外，这些访问控制列表还可以与用户组相关联，从而作为基于角色的访问控制系统的一部分来发挥作用。
• 能力体系：这些去中心化的系统并不依赖于ACL。相反，访问权限与所访问对象的身份相关。例如，持有私钥的人可以访问自己的加密货币。而Imgur的用户则可以通过拥有每张图片的隐藏URL来编辑这些图片。
  
  

这两种类型都是可自由选择的。对象所有者可以修改访问控制列表，以限制或允许访问权限，从而扩展用户的权限。例如，某些组可能拥有写入权限，而另一些组则只能读取数据库中的条目。

Imgur的用户可以通过公共链接来限制对文件的访问权限。如果文件所有者同意的话，使用加密货币就可以通过公钥来进行交易。

DAC带来的好处

在限制访问权限时，选择“自主访问控制”解决方案的原因有很多。DAC系统的主要优势包括：

• 灵活性：能够灵活应对各种情况的能力。对于使用DAC的用户来说，可以针对各个对象设置权限。对象所有者可以将用户划分为不同的组，从而实现对访问设置的精细控制。这种功能在强制访问控制系统中是无法实现的。
• 速度与效率：这种自主性的控制方式使得信息能够在网络中自由流动。用户只需点击一下按钮，就可以授予某个对象访问权限。对于新入职的员工来说，无需创建复杂的用户档案或审批级别。
• 较低的行政负担：去中心化意味着，资源的所有者可以自行管理访问权限。管理员无需为每一位用户、每一种资源都管理访问控制规则。相反，用户可以在需要时自行决定如何获取所需的信息。
• 简单的政策管理：所有管理员只需要为用户分配对象访问权限即可。有了合适的访问控制列表管理系统之后，自主访问功能的使用就变得非常简单了。
  
  

这些优点使得这种自主管理型安全系统在需要注重速度和简便性的情况下非常受欢迎。对于处理少量敏感数据的较小组织或公司来说，DAC显然是一个不错的选择。

DAC所面临的挑战

尽管自主访问控制具有诸多优点，但它也存在着一些问题。以下是需要特别注意的主要问题。

• 安全性：最重要的是，DAC的安全性被认为不如强制访问控制。自由访问机制允许攻击者将恶意软件植入目标系统的访问点中。而权限膨胀则可能导致用户获得过多的访问权限。用户可能会授予过于广泛的访问权限，或者他们可能并不清楚自己所同意的内容是什么。
• 缺乏可见性：去中心化可能会导致混乱，以及行政管理的效率低下。安全团队需要了解哪些人正在访问敏感资源。而自主性的控制机制则难以被有效监控和管控，这就会导致安全漏洞以及合规性问题。
• 维护：对象所有者有责任维护最新且相关的访问控制列表。随着访问控制列表的不断增加以及网络的扩展，这些列表的有效性可能会降低。例如，访问控制列表中可能包含前员工的访问权限信息。或者，访问控制列表可能无法根据用户的角色进行相应调整。
• 数据保护不足：安全最佳实践建议采用集中式控制方式来保护最敏感的数据。那些需要自主决策的系统无法提供组织所需求的那种安全保障，以保护与健康或财务相关的数据。

自主访问控制示例

DAC是日常生活中以及私有网络管理中常见的功能。我们大多数人在不知不觉中就已经使用了这种技术。其重要的应用场景包括：

社交媒体

Facebook上的群组是通过一种称为“自主访问控制”的方式来管理的。群组的所有者可以决定谁有权访问每个群组中的内容。通常情况下，群组成员只能有限地转移和分享内容，而无法在Facebook平台之外进行分享。

智能手机应用程序

当你允许应用程序访问你的智能手机时，实际上你是在使用“自主访问控制”机制。智能手机的拥有者可以决定哪些应用程序能够访问诸如联系人列表或GPS等功能。用户则可以自行决定是否允许那些可能存在安全风险的操作。

文件系统管理

大多数操作系统技术都使用某种类型的DAC来管理文件。例如，UNIX的文件模式允许文件所有者设置读取、查看和写入权限。Windows或DOS也是如此。用户还可以自行决定是否可以传输或编辑文件。他们还可以隐藏文件的某些属性，比如大小或路径信息。此外，他们还可以拒绝未经适当认证的用户访问权限。

协作平台

像 Dropbox 或 Google Docs 这样的生产力工具，会利用 DAC 来设定用户对文件的访问权限。例如，Google 文档的所有者可以创建一个 ACL，将相关员工纳入其中。该小组中的某些成员可以编辑文件，而另一些成员则只能查看文件内容。此外，所有者仍然有权删除文档或关闭该项目。

加密货币钱包

DAC允许访问加密钱包，前提是用户同时拥有私钥和公钥。不过，用户也可以通过公钥来转移加密货币。这样一来，所有者就可以安全地保护自己的资产并进行交易。

脚本/程序

这些脚本实际上是与MS Excel等应用程序相关的可执行文件。开发者将这些脚本发送给用户，以便用户能够完成那些单独执行起来过于复杂的任务。不过，这种做法存在一定的安全隐患。不安全的脚本可能会访问系统文件，从而导致数据泄露。不过，大多数现代系统都提供了对脚本来源的控制功能，从而可以防范这种风险。

自主访问控制与强制访问控制

在构建访问系统时，用户通常需要在这两种访问控制方式之间做出选择：强制型访问控制和自主型访问控制。下表列出了这两种技术之间的主要区别，它们适用于不同的应用场景。

MAC

DAC

由访问控制机制所实施的访问控制

访问控制策略的形式

维护/保养

实施成本

粒度

安全等级

值得信赖的用户

在涉及安全和保密问题的情况下，会采用强制性控制措施。政府机构使用MAC技术来保护机密数据和军事秘密。强制性访问系统使得管理者能够设定不同的访问权限等级。只有拥有经过中央批准的权限的用户才能访问这些机密数据。

在需要灵活性和定制性的情况下，就会使用这种自主控制方式。例如，智能手机用户希望让某些应用程序能够查看他们的联系人列表。不过，他们也可能希望禁止其他应用程序访问这一功能。

企业可以使用灵活的控制机制来精细化管理各个项目。管理者可以分别为数据库、图像目录、代码以及各个应用程序设置不同的访问权限。