Metodi per il Controllo Accessi
I metodi di controllo degli accessi sono i mezzi con cui implementiamo l’autorizzazione e neghiamo o consentiamo l’accesso a qualcuno o qualcosa, in base alle risorse a cui abbiamo stabilito che dovrebbero essere autorizzati ad accedere.
Sebbene il termine possa sembrare molto tecnico e orientato nella direzione di strutture informatiche ad alta sicurezza, i controlli degli accessi sono qualcosa con cui abbiamo a che fare quotidianamente.
Quando chiudiamo a chiave o apriamo le porte della nostra casa, utilizziamo una forma di controllo dell’accesso fisico, basata sulla chiave (qualcosa che hai) che usiamo.
Quando accendiamo la nostra macchina, è probabile che usiamo una chiave allo stesso modo.
Per alcune auto più recenti, la nostra chiave può anche includere un ulteriore livello di sicurezza aggiungendo tag di identificazione a radiofrequenza (RFID), identificatori simili a certificati memorizzati sulla chiave stessa e altre tecnologie di sicurezza.
Una volta raggiunto il nostro posto di lavoro, potremmo usare un badge o una chiave (ancora qualcosa che possiedi) per entrare nell’edificio, ancora una volta un controllo di accesso fisico.
Quando ci sediamo davanti al nostro computer al lavoro e digitiamo la nostra password (qualcosa che conosci), ci stiamo autenticando e utilizzando un sistema di controllo degli accessi logico per accedere alle risorse per le quali ci è stato dato il permesso.
A seconda degli ambienti che attraversiamo nel corso del lavoro, dell’andare a scuola e dello svolgimento delle altre attività che compongono la nostra giornata, potremmo essere più o meno esposti ai controlli di accesso, ma la maggior parte di noi vede implementazioni multiple come queste ogni giorno nel corso della vita.
Modelli di controllo accessi
Esistono diversi modelli per implementare il controllo degli accessi, in cui potremmo imbatterci nei diversi ambienti a cui accediamo quotidianamente, qui tratteremo i modelli più comuni.
Il set più probabile che incontreremo nel mondo della sicurezza informatica include il controllo dell’accesso discrezionale, il controllo dell’accesso obbligatorio, il controllo dell’accesso basato su regole, il controllo dell’accesso basato sui ruoli e il controllo dell’accesso basato sugli attributi.
Controllo discrezionale degli accessi
Il controllo discrezionale degli accessi (DAC) è un modello di controllo degli accessi basato sull’accesso determinato dal proprietario della risorsa in questione.
Il proprietario della risorsa può decidere chi ha accesso e chi non ha accesso ed esattamente che tipo di accesso può avere.
Possiamo vedere un implementazione del modello DAC nei sistemi operativi Microsoft.
Se decidiamo di creare una condivisione di rete, ad esempio, possiamo decidere a chi vogliamo consentire l’accesso.
Controllo degli accessi obbligatorio
Il controllo degli accessi obbligatorio (MAC) è un modello di controllo degli accessi in cui il proprietario della risorsa non può decidere chi può accedervi, ma invece l’accesso è deciso da un gruppo o da un individuo che ha l’autorità per impostare l’accesso sulle risorse.
Spesso possiamo trovare MAC implementato nelle organizzazioni governative, dove l’accesso a una determinata risorsa è in gran parte dettato dall’etichetta di sensibilità applicata ad essa (secret, top secret, ecc.), dal livello di informazioni sensibili a cui l’individuo è autorizzato ad accedere, e dal fatto che l’individuo abbia effettivamente bisogno di accedere alla risorsa, come abbiamo discusso quando abbiamo parlato del principio dei privilegi minimi.
Controllo degli accessi in basato su Ruoli (RBAC)
Il controllo degli accessi basato sui ruoli (RBAC) è un modello di controllo degli accessi che, analogamente al MAC, funziona sui controlli degli accessi impostati da un’autorità responsabile, piuttosto che dal proprietario della risorsa.
La differenza tra RBAC e MAC è che il controllo degli accessi in RBAC si basa sul ruolo che ha l’individuo a cui è concesso l’accesso.
Ad esempio, se abbiamo un dipendente il cui unico ruolo è inserire dati in una particolare applicazione, tramite RBAC consentiremmo al dipendente l’accesso solo a tale applicazione, indipendentemente dalla sensibilità di qualsiasi altra risorsa o dato a cui potrebbe potenzialmente accedere.
Se abbiamo un dipendente con un ruolo più complesso, ad esempio il servizio clienti per un’applicazione di vendita al dettaglio online, il ruolo del dipendente potrebbe richiedergli di avere accesso alle informazioni sullo stato dei pagamenti e delle informazioni dei clienti, sullo stato della spedizione, sugli ordini precedenti e sui resi, al fine di essere in grado di assistere tutti i clienti.
In questo caso, RBAC gli concederebbe un accesso notevolmente maggiore alle risorse.
Possiamo vedere RBAC implementato in molte applicazioni su larga scala che sono orientate al servizio clienti.
Sebbene ciò fornisca una granularità della sicurezza molto maggiore, è anche molto più laborioso da implementare e gestire.
Controllo degli accessi basato sugli attributi (ABAC)
Il controllo degli accessi basato sugli attributi (ABAC) è logicamente basato sugli attributi.
Questi possono essere gli attributi di una particolare persona, di una risorsa o di un ambiente.
Gli attributi del soggetto sono quelli di un particolare individuo. Potremmo scegliere un numero qualsiasi di attributi, come il classico “devi essere alto X per entrare”, che esiste per impedire alle persone con “problemi” di altezza di accedere ad un parco divertimenti che potrebbe essere dannoso per loro.
Un altro esempio molto comune può essere visto nell’utilizzo di un Captcha.
I captcha vengono utilizzati per controllare l’accesso, in base al fatto che la persona dall’altra parte possa superare un test che è, in teoria, troppo difficile da completare per una macchina, dimostrando così di essere un umano.
Captcha o, più propriamente, CAPTCHA, sta per Completely Automated Public Turing Test to Tell Humans and Computers Apart.
I captcha vengono utilizzati per impedire a strumenti automatizzati di eseguire attività come la registrazione di nuovi account o l’aggiunta di commenti spam sui blog.
Gli attributi della risorsa sono quelli che si riferiscono a una particolare caratteristica, come un sistema operativo o un’applicazione.
Spesso vediamo che ciò si verifica, anche se di solito per motivi tecnici piuttosto che per motivi di sicurezza, quando incontriamo un software che funziona solo su un particolare sistema operativo o siti Web che funzionano solo con determinati browser.
Potremmo applicare questo tipo di controllo accessi come misura di sicurezza richiedendo l’utilizzo di software specifici o protocolli particolari per la comunicazione.
Gli attributi ambientali possono essere utilizzati per abilitare i controlli di accesso che operano in base alle condizioni ambientali.
Usiamo comunemente l’attributo del tempo per controllare l’accesso, sia in senso fisico che logico, in base alla durata del tempo trascorso o all’ora del giorno.
I controlli di accesso sugli edifici sono spesso configurati per consentire l’accesso solo in determinati orari, ad esempio durante l’orario di lavoro.
Vediamo anche limiti di tempo impostati sulle connessioni VPN, costringendo l’utente a riconnettersi ogni 24 ore.
Questo viene spesso implementato per impedire agli utenti di mantenere tale connessione in esecuzione dopo che la loro autorizzazione per l’utilizzo è stata rimossa.
Spesso possiamo trovare ABAC implementato su sistemi infrastrutturali, come quelli in ambienti di rete o di telecomunicazioni, al fine di prevenire comportamenti degli utenti imprevisti o non autorizzati.
Controllo accessi multilivello
I modelli di controllo dell’accesso multilivello vengono utilizzati laddove i modelli di controllo dell’accesso più semplici che abbiamo appena discusso non sono considerati sufficientemente robusti da proteggere le informazioni a cui stiamo controllando l’accesso.
Tali controlli di accesso sono ampiamente utilizzati da organizzazioni militari e governative, o da quelle che spesso gestiscono dati di natura molto sensibile.
Potremmo vedere modelli di sicurezza multilivello utilizzati per proteggere una varietà di dati, dai segreti nucleari alle informazioni sanitarie protette (PHI).
Il modello Bell-LaPadula implementa una combinazione di DAC e MAC e si occupa principalmente della riservatezza della risorsa in questione.
Generalmente, nei casi in cui vediamo DAC e MAC implementati insieme, MAC ha la precedenza su DAC e DAC funziona all’interno degli accessi consentiti dalle autorizzazioni MAC.
Ad esempio, potremmo avere una risorsa classificata come segreta e un utente che ha un livello di autorizzazione segreto, che normalmente consente loro di accedere alla risorsa con gli accessi consentiti da MAC.
Tuttavia, potremmo anche avere un livello aggiuntivo di DAC sotto l’accesso MAC e, se il proprietario della risorsa non ha concesso l’accesso all’utente, non sarebbe in grado di accedervi, nonostante le autorizzazioni MAC.
In Bell-LaPadula, abbiamo due proprietà di sicurezza che definiscono come le informazioni possono fluire da e verso la risorsa:
- la proprietà di sicurezza semplice: il livello di accesso concesso a un individuo deve essere almeno pari alla classificazione della risorsa affinché l’individuo possa accedervi.
- la proprietà *: Chiunque acceda a una risorsa X può scrivere il suo contenuto solo su uno classificato allo stesso livello o superiore.
Queste proprietà sono generalmente riassunte rispettivamente come “no read up” e “no write down”.
In breve, ciò significa che quando gestiamo informazioni riservate, non possiamo leggere oltre il nostro livello di autorizzazione e non possiamo scrivere dati riservati a un livello inferiore.
Il modello di controllo accessi Biba si occupa principalmente di tutelare l’integrità dei dati, anche a discapito della riservatezza.
Biba ha due regole di sicurezza che sono l’esatto contrario di quelle che abbiamo discusso nel modello Bell-LaPadula:
- assioma di integrità semplice: il livello di accesso concesso a un individuo non deve essere inferiore alla classificazione della risorsa.
- assioma di integrità *: chiunque acceda a una risorsa può scrivere il suo contenuto solo su uno classificato allo stesso livello o inferiore.
Possiamo riassumere queste regole rispettivamente come “no read down” e “no write up”.
Questo può sembrare controintuitivo quando consideriamo la protezione delle informazioni, ma ricordiamo che abbiamo posto l’attenzione sull’integrità e non sulla riservatezza.
In questo caso, proteggiamo l’integrità assicurando che la nostra risorsa possa essere scritta solo da coloro con un livello di accesso elevato e che, coloro con un livello di accesso elevato, non accedano a una risorsa con una classificazione inferiore.
Il modello Brewer e Nash, noto anche come Chinese Wall, è un modello di controllo degli accessi progettato per prevenire i conflitti di interesse.
Chinese Wall è comunemente usato nei settori che gestiscono dati sensibili, come quelli che si trovano nel settore finanziario, medico o legale.
In questo modello vengono considerate tre classi di risorse principali:
- Oggetti: risorse come file o informazioni, appartenenti a una singola organizzazione.
- Gruppi di società: tutti gli oggetti relativi a una particolare organizzazione.
- Classi di conflitto: tutti i gruppi di oggetti che riguardano le parti in competizione.
Se osserviamo l’esempio di uno studio legale commerciale che lavora per aziende in un determinato settore, potremmo avere file che riguardano vari individui e aziende che lavorano in quel settore.
Poiché un singolo avvocato dello studio accede ai dati e lavora per diversi clienti, potrebbe potenzialmente accedere a dati riservati che genererebbero un conflitto di interessi mentre lavora su un nuovo caso.
Nel modello Brewer/Nash, le risorse e i materiali del caso a cui l’avvocato può accedere, cambierebbero dinamicamente in base ai dati a cui ha avuto accesso in precedenza.
