アクセス制御リスト

コンピュータセキュリティにおいて、アクセス制御リスト（ACL ）は、システムリソース（オブジェクトまたは機能）に関連付けられた権限^{[a]のリストです。ACLは、どの}ユーザーまたはシステムプロセスにリソースへのアクセスを許可するか、および特定のリソースに対してどのような操作を許可するかを指定します。^[1]一般的なACLの各エントリは、サブジェクトと操作を指定します。たとえば、

ファイルオブジェクトにACLが含まれている場合、(アリス: 読む、書く; ボブ: 読む)これにより、アリスにはファイルの読み取りと書き込みの権限が与えられ、ボブには読み取りのみの権限が与えられます。
RACFプロファイルCONSOLE CLASS(TSOAUTH)に次のACLが含まれている場合(アリス:読む)これにより、ALICE に TSO CONSOLE コマンドを使用する権限が与えられます。

実装

多くの種類のオペレーティングシステムがACLを実装しているか、歴史的に実装されています。ACLの最初の実装は1965年のMulticsのファイルシステムでした。 ^[2]^[3]

ファイルシステム ACL

ファイルシステムACL は、プログラム、プロセス、ファイルなどの特定のシステムオブジェクトに対する個々のユーザーまたはグループの権限を指定するエントリを含むデータ構造(通常はテーブル)です。これらのエントリは、Microsoft Windows NT、^[4]OpenVMS、およびLinux、macOS、SolarisなどのUnix 系オペレーティングシステムではアクセス制御エントリ (ACE) と呼ばれます。アクセス可能な各オブジェクトには、その ACL への識別子が含まれています。特権または許可によって、ユーザーがオブジェクトから読み取り、書き込み、または実行できるかどうかなど、特定のアクセス権が決まります。一部の実装では、ACE によって、ユーザーまたはユーザーグループがオブジェクトの ACL を変更できるかどうかを制御できます。

ファイルシステムACLを提供した最初のオペレーティングシステムの1つはMulticsでした。PRIMOSは少なくとも1984年にはACLを搭載していました。^[5]

1990 年代には、ACL およびRBACモデルが^{[誰によって? ]}広範囲にテストされ、ファイル権限の管理に使用されました。

POSIX ACL

POSIX 1003.1e/1003.2cワーキンググループはACLの標準化に取り組み、現在では「POSIX.1e ACL」または単に「POSIX ACL」として知られるものを生み出しました。^[6] POSIX.1e/POSIX.2cのドラフトは、参加者がプロジェクトへの資金提供に興味を失い、NFSv4 ACLなどのより強力な代替手段に目を向けたため、1997年に撤回されました。^[7] 2019年12月現在、ドラフトのライブソースはインターネット上で見つかりませんでしたが、インターネットアーカイブ^{[アップデート]}ではまだ見つけることができます。^[8]

UnixおよびUnix系オペレーティングシステムのほとんど（例：Linux 2.5.46または2002年11月以降、^[9] FreeBSD、Solaris）はPOSIX.1e ACL（必ずしもドラフト17ではない）をサポートしています。ACLは通常、これらのシステム上のファイルの拡張属性に格納されます。

NFSv4 ACL

NFSv4 ACL は、POSIX ドラフト ACL よりもはるかに強力です。ドラフト POSIX ACL とは異なり、NFSv4 ACL は、ネットワークファイルシステムの一部として、実際に公開された標準によって定義されています。

NFSv4 ACL は、多くの Unix および Unix ライクなオペレーティングシステムでサポートされています。例としては、AIX、FreeBSD、^{[10] 、バージョン 10.4 ("} Tiger ")以降のMac OS X 、 ZFSファイルシステムを搭載したSolaris ^{[11]などが挙げられます。これらは NFSv4 標準の一部である}NFSv4 ACL をサポートしています。Linux 用の NFSv4 ACL の実験的な実装には、 Ext3ファイルシステムの NFSv4 ACL サポート^[12]と、Ext4ファイルシステムの NFSv4 ACL サポートを実現する最近のRichacls の2 つがあります。^[13] POSIX ACL と同様に、NFSv4 ACL は通常、Unix ライクなシステムでは拡張属性として保存されます。

NFSv4 ACLは、 NTFSで使用されるWindows NT ACLとほぼ同じように構成されています。^[14] NFSv4.1 ACLは、NT ACLとPOSIXドラフトACLの両方のスーパーセットです。^[15] Sambaは、SMB共有ファイルのNT ACLをさまざまな方法で保存することをサポートしています。その1つは、NFSv4エンコードACLです。^[16]

アクティブディレクトリ ACL

MicrosoftのActive Directoryサービスは、ドメイン内のユーザーとコンピューターに関する構成情報を保存および配布するLDAPサーバーを実装します。 ^[17] Active Directory は、Windows NT が NTFS ファイルシステムに使用するのと同じタイプのアクセス制御リストメカニズムを追加することで、LDAP 仕様を拡張します。その後、Windows 2000 ではアクセス制御エントリの構文が拡張され、LDAP オブジェクト全体へのアクセスを許可または拒否できるだけでなく、これらのオブジェクト内の個々の属性へのアクセスも許可または拒否できるようになりました。^[18]

ネットワーク ACL

一部の種類の独自仕様のコンピュータハードウェア (特に、ルーターとスイッチ) では、アクセス制御リストが、ホストまたはその他のレイヤー 3で使用可能なポート番号またはIP アドレスに適用されるルールを提供します。各ポート番号または IP アドレスには、サービスの使用が許可されているホストおよび/またはネットワークのリストがあります。ネットワークドメイン名に基づいてアクセス制御リストを構成することもできますが、個々の TCP、UDP、およびICMPヘッダーにはドメイン名が含まれていないため、これは疑問のあるアイデアです。その結果、アクセス制御リストを適用するデバイスは、名前を数値アドレスに個別に解決する必要があります。これにより、アクセス制御リストが保護しているシステムのセキュリティを侵害しようとする攻撃者にとって、追加の攻撃対象領域が提供されます。個々のサーバーとルーターの両方にネットワーク ACL を設定できます。アクセス制御リストは通常、着信トラフィックと発信トラフィックの両方を制御するように設定でき、この点ではファイアウォールに似ています。ファイアウォールと同様に、ACL はPCI DSSなどのセキュリティ規制や標準の対象となる場合があります。

SQL実装

ACL アルゴリズムは、 SQLおよびリレーショナルデータベースシステムに移植されています。エンタープライズリソースプランニングやコンテンツ管理システムなど、多くの「最新」(2000 年代および 2010 年代) SQLベースのシステムでは、管理モジュールで ACL モデルが使用されています。

RBACとの比較

ACL モデルの主な代替モデルは、ロールベースのアクセス制御(RBAC) モデルです。「最小限の RBAC モデル」であるRBACm は、ACL のエントリとしてグループのみが許可される ACL メカニズムACLgと比較できます。Barkley (1997) ^{[19] は、}RBACmとACLgが同等であることを示しました。

最新の SQL 実装では、ACL はグループと、グループの階層内の継承も管理します。そのため、「最新の ACL」は RBAC が表現できるすべての機能を表現でき、管理者が組織を表示する方法に関してアクセス制御ポリシーを表現する機能において (「古い ACL」と比較して) 非常に強力です。

データ交換や「高レベルの比較」のために、ACLデータはXACMLに変換することができます。^[20]

参照

注記

^ 例:ファイルシステムの権限、特定のアクションを実行する権限。

参考文献

^ R. Shirey (2007年8月). インターネットセキュリティ用語集、バージョン2. doi : 10.17487/RFC4949 . RFC 4949 . 2023年5月19日閲覧。
^ リチャード・E・スミス。初級情報セキュリティ。p.150。
^ Daley, RC; Neumann, PG (1965)。「二次記憶装置用の汎用ファイルシステム」。AFIPS '65 (秋季、パート I): 1965 年 11 月 30 日～12 月 1 日秋季合同コンピュータカンファレンスの議事録、パート I。ACM Press。p. 213。doi : 10.1145/1463891.1463915。
^ 「承認とアクセス制御の管理」。Microsoft Learn。2009年 9 月 11 日。2024 年 5 月 15 日に取得。
^ 「PSI Pacer Software, Inc. Gnet-II リビジョン 3.0」。通信。Computerworld。第 18 巻、第 21 号。1984 年 5 月 21 日。p. 54。ISSN 0010-4841。2017 年6 月 30 日取得。Gnet - II の新バージョン (リビジョン 3.0) では、Primos ACL サブシステムで実装される回線セキュリティメカニズムが追加されました。
^ Grünbacher, Andreas. 「Linux 上の POSIX アクセス制御リスト」。Usenix。2019年12 月 12 日閲覧。
^ wurtzkurdle. 「なぜPOSIX.1eは撤回されたのか？」Unix StackExchange . 2019年12月12日閲覧。
^ Trümper, Winfried (1999 年 2 月 28 日). 「Posix.1e の概要」。2008 年 7 月 23 日時点のオリジナルよりアーカイブ。
^ 「Red Hat Enterprise Linux AS 3 リリースノート (x86 版)」。Red Hat。2003年。2013 年 12 月 2 日にオリジナルからアーカイブ。2013 年 4 月 8 日に取得。EA (拡張属性) および ACL (アクセス制御リスト) 機能が、ext3 ファイルシステムで利用できるようになりました。さらに、ACL 機能が NFS でも利用できます。
^ 「NFSv4 ACL」。FreeBSD。2011年9月12日。 2013年4月8日閲覧。
^ 「第 8 章 ACL と属性を使用して ZFS ファイルを保護する」。Oracle Corporation 2009 年 10 月 1 日。2013年 4 月 8 日に取得。
^ Grünbacher, Andreas (2008 年 5 月). 「Linux 上のネイティブ NFSv4 ACL」. SUSE . 2013 年 6 月 20 日時点のオリジナルよりアーカイブ。2013年 4 月 8 日閲覧。
^ Grünbacher, Andreas (2010 年 7 月 - 9 月)。「Richacls - Linux 上のネイティブ NFSv4 ACL」。bestbits.at。2013 年 3 月 20 日時点のオリジナルよりアーカイブ。2013年 4 月 8 日閲覧。
^ 「ACL」。Linux NFS。
^ 「NFSv4 と Posix ドラフト ACL 間のマッピング」。
^ "vfs_nfs4acl_xattr(8)". Sambaマニュアル.
^ 「[MS-ADTS]: Active Directory 技術仕様」。2024 年 6 月 7 日。
^ Swift, Michael M. (2002 年 11 月)。「 Windows 2000のアクセス制御の粒度の向上」。ACM Transactions on Information and System Security。5 ( 4): 398–437。doi : 10.1145 /581271.581273。S2CID 10702162 。
^ J. Barkley (1997)「単純なロールベースアクセス制御モデルとアクセス制御リストの比較」、『ロールベースアクセス制御に関する第 2 回 ACM ワークショップの議事録』、127-132 ページ。
^ G. Karjoth、A. Schade、E. Van Herreweghen (2008)「XACML での ACL ベースのポリシーの実装」、『2008 Annual Computer Security Applications Conference』より。

さらに読む

Rhodes, Tom. 「ファイルシステムアクセス制御リスト (ACL)」。FreeBSD ハンドブック。2013 年 4 月 8 日閲覧。
Michael Fox、John Giordano、Lori Stotler、Arun Thomas (2005-08-24)。「SELinux と grsecurity: Linux セキュリティカーネル拡張機能の比較ケーススタディ」(PDF)。バージニア大学。2012-02-24 のオリジナル(PDF)からアーカイブ。2013-04-08に取得。
Hinrichs, Susan (2005)。「オペレーティングシステムセキュリティ」。サイバーセキュリティ 2005 年春。イリノイ大学。2012 年 3 月 4 日のオリジナルからアーカイブ。2013年 4 月 8 日に取得。
Mitchell, John. 「アクセス制御とオペレーティングシステムのセキュリティ」(PDF)。スタンフォード大学。2013 年 4 月 8 日閲覧。
クラークソン、マイケル。「アクセス制御」。コーネル大学。2013年 4 月 8 日閲覧。
Klein, Helge (2009-03-12)。「アクセス許可: 入門書、または: DACL、SACL、所有者、SID、および ACE の説明」。2013-04-08に取得。
「アクセス制御リスト」。Microsoft Learn。2023年 2 月 7 日。2024 年 5 月 15 日に取得。
「アクセス許可の仕組み」。Microsoft Learn。2013年 7 月 3 日。2024 年 5 月 15 日に取得。

[1] 例:ファイルシステムの権限、特定のアクションを実行する権限。

[2] R. Shirey (2007年8月). インターネットセキュリティ用語集、バージョン2. doi : 10.17487/RFC4949 . RFC 4949 . 2023年5月19日閲覧。

[3] リチャード・E・スミス。初級情報セキュリティ。p.150。

[4] Daley, RC; Neumann, PG (1965)。「二次記憶装置用の汎用ファイルシステム」。AFIPS '65 (秋季、パート I): 1965 年 11 月 30 日～12 月 1 日秋季合同コンピュータカンファレンスの議事録、パート I。ACM Press。p. 213。doi : 10.1145/1463891.1463915。

[5] 「承認とアクセス制御の管理」。Microsoft Learn。2009年 9 月 11 日。2024 年 5 月 15 日に取得。

[6] 「PSI Pacer Software, Inc. Gnet-II リビジョン 3.0」。通信。Computerworld。第 18 巻、第 21 号。1984 年 5 月 21 日。p. 54。ISSN 0010-4841。2017 年6 月 30 日取得。Gnet - II の新バージョン (リビジョン 3.0) では、Primos ACL サブシステムで実装される回線セキュリティメカニズムが追加されました。

[7] Grünbacher, Andreas. 「Linux 上の POSIX アクセス制御リスト」。Usenix。2019年12 月 12 日閲覧。

[8] wurtzkurdle. 「なぜPOSIX.1eは撤回されたのか？」Unix StackExchange . 2019年12月12日閲覧。

[9] Trümper, Winfried (1999 年 2 月 28 日). 「Posix.1e の概要」。2008 年 7 月 23 日時点のオリジナルよりアーカイブ。

[10] 「Red Hat Enterprise Linux AS 3 リリースノート (x86 版)」。Red Hat。2003年。2013 年 12 月 2 日にオリジナルからアーカイブ。2013 年 4 月 8 日に取得。EA (拡張属性) および ACL (アクセス制御リスト) 機能が、ext3 ファイルシステムで利用できるようになりました。さらに、ACL 機能が NFS でも利用できます。

[11] 「NFSv4 ACL」。FreeBSD。2011年9月12日。 2013年4月8日閲覧。

[12] 「第 8 章 ACL と属性を使用して ZFS ファイルを保護する」。Oracle Corporation 2009 年 10 月 1 日。2013年 4 月 8 日に取得。

[13] Grünbacher, Andreas (2008 年 5 月). 「Linux 上のネイティブ NFSv4 ACL」. SUSE . 2013 年 6 月 20 日時点のオリジナルよりアーカイブ。2013年 4 月 8 日閲覧。

[14] Grünbacher, Andreas (2010 年 7 月 - 9 月)。「Richacls - Linux 上のネイティブ NFSv4 ACL」。bestbits.at。2013 年 3 月 20 日時点のオリジナルよりアーカイブ。2013年 4 月 8 日閲覧。

[15] 「ACL」。Linux NFS。

[16] 「NFSv4 と Posix ドラフト ACL 間のマッピング」。

[17] "vfs_nfs4acl_xattr(8)". Sambaマニュアル.

[18] 「[MS-ADTS]: Active Directory 技術仕様」。2024 年 6 月 7 日。

[19] ^ Swift, Michael M. (2002 年 11 月)。「 Windows 2000のアクセス制御の粒度の向上」。ACM Transactions on Information and System Security。5 ( 4): 398–437。doi : 10.1145 /581271.581273。S2CID 10702162 。

[20] J. Barkley (1997)「単純なロールベースアクセス制御モデルとアクセス制御リストの比較」、『ロールベースアクセス制御に関する第 2 回 ACM ワークショップの議事録』、127-132 ページ。

[21] G. Karjoth、A. Schade、E. Van Herreweghen (2008)「XACML での ACL ベースのポリシーの実装」、『2008 Annual Computer Security Applications Conference』より。

実装