Computer & Network Security Access Control and Authorization Erişim Kontrolü ve Yetkilendirme Dr.Yuksel Celik

Access Control and Authorization Computer & Network Security Definitions Tanım Access control is a process to determine “Who does what to what “ based on a policy. Access control is one of the major cornerstones of system security. It is essential to determine how access control protection can be provided to each of the system resources. Policy has benefits including the following It focuses the organization’s attention on security issues, and probably, this attention results in resource allocation toward system security. It helps in configuring appropriate security for each system resource based on role and importance in the system. • It allows system auditing and testing. Erişim kontrolü bir politika temelinde “Kim Ne Ne yapar” belirleme işlemleridir. Erişim kontrol sistemi güvenliğin önemli taşlarından biridir. Her bir sistem kaynaklarına nasıl erişim sağlanabileceğine ilişkin gereklerin belirlenmesi esasına dayanır. Politika şu avantajları içerir; Organizasyonun güvenlik sorunlarına odaklanır ve bu odaklanmanın sonuçları muhtemelen doğru kaynakların sistem güvenliğine ayrılmasına sebep olur Bu sistemde role ve öneme dayalı her bir kaynak için uygun bir güvenlik sistemi yapılandırmasında yardımcı olur. Bu sistemin denetim ve test edilmesini sağlar.

Access Control and Authorization Computer & Network Security Resource access recapitulated Kaynak erişimi Süreci 1- Kimlik saptama Hangi O öznesinin R kaynağına erişme isteği 2- Kimlik doğrulama O iddia ettiği şey gerçekten var mı? 3- Yetkilendirme O R kaynağına erişmeye yetkili mi? 4- Sorumluluk O R İşlem erişim günlüğü

Access Control and Authorization Computer & Network Security Access control overview Erişim kontrol genel bakışı Verilen bir Özne hangi nesneye erişebilir ve nasıl ? Verilen bir Nesne hangi Özne erişebilir ve nasıl ? Özne Referens Ekranı Nesne Erişim İsteği Kaynak Erişim Politikası

Access Control and Authorization Computer & Network Security Main concepts of access control Erişim kontrolü temel kavramlar Subject is an entity that initiates an access request. Object is an entity an access to which is requested. Rights represent different types of access. Reference monitor makes authorization decisions. Goals of access control: Granting access Limiting access Preventing access Revoking access Özne, bir erişim talebi başlatan bir varlıktır. Nesne, bir erişimin talep edildiği bir varlıktır. Haklar farklı erişim türlerini temsil eder. Referans monitörü yetkilendirme kararları verir. Erişim izni verme Erişimi sınırlama Erişimi önleme Erişimi iptal etme

Access Control and Authorization Computer & Network Security Subjects Özneler Subjects are any active entities in a system. Subjects operate on behalf of principals. Each subject must be bound to a unique principal; a principal may be bound to several subjects. Examples: Principal: user ID. Subject: process ID. Özneler sistemin herhangi aktif varlıklardır. Özenler sorumluları adına faaliyet faaliyet yaparlar Her özne benzersiz bir sorumluya bağlı olmalıdır; bir sorumlu birden fazla özneye bağlanabilir örnekler: Sorumlu: Kullanıcı ID. Özne: süreç ID.

Access Control and Authorization Computer & Network Security Nesneler Objects Objects represent passive resources of a system: memory, files, , directories, nodes on a network, etc. The distinction of objects and subjects is made purely in terms of access requests. Depending on circumstances, a resource may be an object or a subject. Nesneler bir sistemin pasif kaynaklarını Temsil ederler: hafıza, dosyalar dizinleri, Bir ağdaki düğüm, vs. Nesneler ve özenlerin ayrım tamamen erişim istekleri açısından yapılır. Koşullara bağlı olarak, bir kaynak, bir nesne ya da bir özne olabilir.

Access Control and Authorization Computer & Network Security Referans monitör ve erişim politikaları Reference monitor and access policies Reference monitor is an abstract notion of a mechanism for controlling access requests. Access rights represent various access operations supported by a system: read write append execute delete search change owner change permissions Access policies map principals, objects and access rights. Referans monitör erişim isteklerini kontrol eden bir mekanizma soyut bir kavramıdır. Erişim hakları bir sistem tarafından desteklenen çeşitli erişim işlemleri temsil eder; okumak yazmak eklemek çalıştırma silmek arama sahip değiştirme İzinleri değiştirme vb. Erişim politikaları Sorumluluk Haritası, nesneler ve erişim hakları.

Access Control and Authorization Computer & Network Security Erişim Kontrol Yapısı Access control structures Access control structures are mechanisms for implementing access policies: access control matrix capabilities access control lists intermediate controls (groups, negative permissions, roles, protection rings etc.) Requirements for access control structures: an ability to express control policies verifiability of correctness. scalability and manageability Erişim Kontrol Yapısı erişim politikaların uygulanması için bir mekanizmadır Erişim kontrol matrisi Yetenekler Erişim kontrol listeleri Ara controller (Gruplar, negatif izinler, roller koruma halkalarıvb) Erişim Kontrol Yapısı için Gereklilikler Kontrol politikalarını ifade etme yeteneği Doğruluğun doğrulanabilirliği. Ölçeklenebilirlik ve yönetilebilirlik

Access Control and Authorization Computer & Network Security Access control matrix Erişim Kontrol matrisi Advantages: clarity of definition easy to verify Disadvantages: poor scalability poor handling of changes Avantajları: Tanımın netliği Doğrulaması kolay Dezavantajları: Zayıf ölçeklenebilirlik Değişiklikleri işlemesi zayıftır

Access Control and Authorization Computer & Network Security Capabilities Yetenekler Capability is a subject-centered description of access rights: (Öznem Merkezli erişim hakları) Alice: {edit.exe: execute}, {fun.com: execute, read} Bob: {bill.doc: read, write}, {edit.exe: execute}, {fun.com:execute, read,write} Advantages: easy ownership transfer easy inheritance of access rights Disadvantages: poor overview of access rights per object difficulty of revocation need for extra integrity protection Avantajları: Sahiplik transferi kolaylığı Erişim haklarının kolaylıkla devralınması Dezavantajları: Erişimin zayıf genel görünümü Nesne başına hak iptali zorluğu bütünlüğün korunması için Ekstra önelmlere ihtiyaç duyar

Access Control and Authorization Computer & Network Security Access control lists (ACL) Eritişim Kontrol listesi (ACL) ACL is an object-centered description of access rights: (Nesne merkezli erişim hakları) bill.doc: {Bob: read,write} exit.exe: {Alice: execute}, {Bob: execute} fun.com: {Alice: execute, read}, {Bob: execute, read,write} Advantages: easy access to object access rights relative easiness of management using abstractions Disadvantages: poor overview of access rights per subject difficulty of revocation difficulty of sharing Avantajları: Nesne erişim haklarına kolay erişim Soyutlamalar kullanarak yönetimin göreceli kolaylığı Dezavantajları: Özne başına erişim haklarının zayıf bir şekilde incelenmesi Iptal zorluğu, paylaşım zorluğu

Access Control and Authorization Computer & Network Security Zorunlu erişim denetimi (MAC) Mandatory access control (MAC) Centralized access control by means of system-wide policy. Access control rights are fixed by an administrators. A limited number of implementations, e.g. SELinux, Systrace. Advantages: strict control over information flow strong exploit containment Disadvantages: major usability problems cumbersome administration Sistem genelinde politika vasıtasıyla merkezi erişim kontrolü. Erişim kontrolü haklarını bir yönetici belirler. Sınırlı sayıda uygulama, ör. SELinux, Systrace. Avantajları: Bilgi akışı üzerinde sıkı kontrol Güçlü sömürme sınırlaması Dezavantajları: Önemli kullanılabilirlik sorunları Hantal yönetim

Access Control and Authorization Computer & Network Security Role based access control (RBAC) Rol tabanlı erişim kontrol (RBAC) RBAC attempt to handle the complexity of access control by extensive used of abstractions: Data types are defined for all objects. Procedures are high level access control methods with a more complex semantics than elementary access control rights. Procedures can be only applied to certain data types. Procedures are grouped into roles assigned to users. A user can have more than one role and more than one user can have the same role. Role hierarchies can be used to match natural relations between roles. Example: A Lecturer can create a role Student and give it a privilege “read course material”. RBAC, kapsamlı soyutlamayla erişim kontrolünün karmaşıklığını ele almaya çalışmaktadır: Veri türleri, tüm nesneler için tanımlanır. Prosedürler, temel erişim denetimi haklarına kıyasla daha karmaşık bir semantik ile üst düzey erişim kontrol yöntemleridir. İşlemler yalnızca belirli veri türlerine uygulanabilir. Prosedürler, kullanıcılara verilen roller olarak gruplandırılır. Bir kullanıcı birden fazla role sahip olabilir ve birden fazla kullanıcı aynı role sahip olabilir. Rol hiyerarşileri, roller arasındaki doğal ilişkileri eşleştirmek için kullanılabilir. Örnek: Bir Öğretim görevlisi bir Öğrenci rolü oluşturabilir ve “ders materyali oku” ayrıcalığı verebilir.

Access Control and Authorization Computer & Network Security Erişim Kontrol Sistemleri Access Control Systems Physical Access Control Access Cards Electronic Surveillance Biometrics Fingerprint Readers Voice Recognition Hand Geometry Iris Scan Fiziksel Erişim Denetimi Erişim Kartları Elektronik Gözetleme Biyometrik Parmak İzi Okuyucular Ses Tanıma El Geometri iris tarama

Hostile Scripts (Zararlı Kod Parçacıkları) Computer & Network Security Thanks

Hostile Scripts (Zararlı Kod Parçacıkları) Computer & Network Security References: Kizza, Joseph Migga, Guide to Computer Network Security, Springer,2014