Autorisation
Une autorisation est la fonction spécifiant les droits d'accès vers les ressources liées à la sécurité de l'information et la sécurité des systèmes d'information en général et au contrôle d'accès en particulier. Plus formellement, "autoriser" consiste à définir une politique d'accès. Par exemple, le personnel des ressources humaines est normalement autorisé à accéder aux informations sur les employés et cette politique est généralement formalisée dans des règles de contrôle d'accès dans un système informatique. Pendant l'exécution, le système utilise les règles de contrôle d'accès pour décider si une requête d'accès venant d'un client (authentifié) va être approuvée (accordée) ou désapprouvée (rejetée). Les ressources incluent les fichiers, les données, les programmes les appareils et autres fonctionnalités fournies par les applications sur un ordinateur. Le client peut être des utilisateurs, des programmes et d'autres appareils sur l'ordinateur.
Description
Dans les systèmes informatiques, le contrôle d'accès s'appuie sur les politiques d'accès. Le processus de contrôle d'accès peut être divisé en deux phases: 1) la phase de définition où les accès sont autorisés et 2) la phase d'exécution où les requêtes d'accès sont approuvées ou désapprouvées.
Les systèmes modernes, multi-utilisateurs incluent un contrôle d'accès et s'appuie donc sur des autorisations. Le contrôle d'accès utilise aussi l'(authentification) pour vérifier l'identité des clients. Quand un client essaie d'accéder à une ressource, le processus de contrôle d’accès vérifie que le client a été autorisé à accéder à cette ressource. L'autorisation est la responsabilité d'une autorité, telle que le chef de département, dans le domaine d'application, mais est souvent délégué à un gardien tel qu'un administrateur système. Les autorisations sont exprimées en tant que politique d'accès dans un système dédié, selon un modèle de sécurité (MAC, DAC, RBAC), par exemple sous la forme d'Access Control List ou de capacités, selon le principe du moindre privilège : les clients devraient uniquement être autorisés à accéder à ce dont ils ont besoin pour faire leur travail, et rien de plus. Les systèmes d'exploitations plus anciens ou mono-utilisateur disposent souvent d'un système d'authentification ou de contrôle d’accès faible, voire inexistant.
Les « clients anonymes » ou « invités » sont des clients qui n'ont pas eu à s’authentifier. Ils ont souvent des autorisations limitées. Sur un système distribué, il est souvent préférable de donner l’accès sans demander une identité unique. Un exemple familier de jeton d’accès sont les clés et tickets : ils donnent un accès sans devoir prouver son identité.
Les clients de confiance se voient souvent accorder un accès sans restriction aux ressources d'un système, mais doivent être authentifiés pour que le système de contrôle d’accès puisse prendre la décision d'approuver les accès. Les clients partiellement de confiance et les invités reçoivent souvent des autorisations restreintes pour protéger les ressources contre les accès et les usages inappropriés. Par défaut, la politique d’accès de quelques systèmes d'exploitation donne à tous les clients un accès sans restriction à toutes les ressources. D'autres systèmes font complètement l’opposé, demandant que l'administrateur autorise explicitement un client à utiliser chaque ressource.
Même lorsque l’accès est contrôle par un combinaison d'authentification et d'Access Control List, maintenir les données d'autorisation n'est pas trivial et représente souvent un fardeau d'administration comparable à la gestion des données d'authentification. Il est souvent nécessaire de changer ou de supprimer les autorisations des utilisateurs, ce qui est fait en supprimant les règles d’accès correspondantes dans le système. L'utilisation d'autorisation atomiques est une alternative à la gestion des autorisations pour chaque système grâce à un tiers de confiance qui distribue les informations d'autorisation de manière sécurisée.
Références
- (en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « Authorization » (voir la liste des auteurs).